Maana ya drwxr-xr-x katika ruhusa za faili za Linux

Maana ya drwxr-xr-x

drwxr-xr-x inaelezea saraka ambayo mmiliki wake anaweza kuibadilisha, na kila mtumiaji mwingine anaweza kuisoma na kuipitia bila kubadilisha chochote. Katika mfumo wa octal, mode hiyo ni 755. Linux huchapisha herufi hizi kumi mwanzoni mwa kila mstari wa matokeo ya ls -l, na kila mara huwa na maana ileile katika mpangilio uleule, hivyo kujifunza mfuatano mmoja kunakufundisha yote.

Kanuni moja hutangulia nyingine zote, kwa sababu ndiyo huamua kama majaribio yako yatakupa matokeo sahihi. Mtumiaji root hupuuza bits za ruhusa. Kernel humpa root uwezo wa CAP_DAC_OVERRIDE (discretionary access control override), kwa hivyo root hufungua faili ambazo mode yake inakataza. Kila mfano kwenye ukurasa huu hufanikiwa kwa root, bila kujali bits zinasema nini. Ingia kama mtumiaji wa kawaida unapotaka kuona kanuni hizi zikifanya kazi.

Herufi kumi, moja baada ya nyingine

Tengeneza saraka (directory) na faili kwa ajili ya majaribio. Hakuna hatua hapa itakayogusa chochote nje ya saraka hiyo mpya.

mkdir -p ~/permdemo/inner
printf 'hello\n' > ~/permdemo/inner/notes.txt
ls -ld ~/permdemo ~/permdemo/inner ~/permdemo/inner/notes.txt

Kwa kutumia umask ya kawaida ya 022, mistari miwili ya saraka huanza na drwxr-xr-x na mstari wa faili huanza na -rw-r--r--.

Herufi ya 1 ni aina ya faili, si ruhusa. d ni saraka. - ni faili la kawaida. l ni symbolic link. c na b ni node za vifaa vya aina ya character na block. s ni socket, na p ni named pipe. Hii haimo ndani ya thamani ya octal, ndiyo maana drwxr-xr-x inakuwa 755 badala ya kitu kinachoanza na d.

Herufi tisa zinazofuata zimegawanywa katika makundi matatu ya herufi tatu, na mpangilio wake haubadiliki kamwe.

• Herufi 2 hadi 4 ni kundi la mmiliki (owner), bits zinazotumika kwa mtumiaji anayemiliki faili hilo.
• Herufi 5 hadi 7 ni kundi la kikundi (group), bits zinazotumika kwa kikundi cha faili hilo.
• Herufi 8 hadi 10 ni kundi la wengine (other), bits zinazotumika kwa kila mtu mwingine.

Ndani ya kundi, nafasi ni daima r, ikifuatiwa na w, kisha x, na alama ya mchoro (dash) inamaanisha bit hiyo imezimwa. Herufi hazibadili nafasi kamwe. r-x ni kusoma (read) bila kuandika (write). -w- ni kuandika bila kusoma, jambo ambalo ni halali lakini ni nadra.

Kwa hivyo, drwxr-xr-x inagawanyika hivi: d kwa ajili ya saraka, kisha rwx kwa mmiliki, kisha r-x kwa kikundi, kisha r-x kwa wengine.

Baadhi ya mifumo huchapisha herufi ya kumi na moja. Nukta ya mwisho, drwxr-xr-x., inamaanisha faili lina muktadha wa SELinux (security enhanced Linux), ambao usambazaji wa SELinux kama Fedora na Rocky huuchapisha kwa chaguo-msingi. Alama ya kujumlisha ya mwisho, drwxr-xr-x+, inamaanisha faili lina POSIX ACL (access control list), seti ya ziada ya sheria nje ya hizi bits tisa. Soma sheria hizo za ziada kwa kutumia getfacl <path>.

r, w na x hufanya kazi tofauti kwenye saraka

Hii ndiyo kanuni ya kwanza ambayo wanaoanza hujikwaa. Herufi hizi ni zilezile kwenye faili na kwenye saraka. Mamlaka zinazotolewa si sawa.

• r kwenye faili husoma yaliyomo. r kwenye saraka huorodhesha majina yaliyomo ndani yake, jambo ambalo ndilo hitaji la msingi la ls.
• w kwenye faili hubadilisha yaliyomo. w kwenye saraka huongeza na kuondoa faili au saraka nyingine ndani yake. Kufuta faili ni mabadiliko kwenye saraka, kwa hivyo ruhusa ya kuandika (write) kwenye saraka ndiyo huamua hilo, na hali ya faili yenyewe haina nguvu hapo.
• x kwenye faili huiendesha kama programu. x kwenye saraka huiruhusu mfumo kuipitia (traverse), ikimaanisha kuwa kernel inaweza kutatua jina moja ndani yake wakati wa kutafuta njia (path lookup).

Kupitia (traverse) ndiyo sehemu inayowashangaza watu. x kwenye saraka haitekelezi chochote. Kufungua /srv/site/index.html kunahitaji x kwenye /, kisha x kwenye /srv, kisha x kwenye /srv/site, na hatimaye r kwenye faili husika. Ikiwa saraka moja katika mnyororo huo haina x kwa ajili yako, utafutaji huishia hapo, na mtumiaji huambiwa Permission denied kwa njia nzima hata kama faili iliyo mwishoni inaweza kusomwa na kila mtu. namei -l /srv/site/index.html huchapisha kila hatua ya mnyororo huo pamoja na hali yake na mmiliki, ili uweze kuona ni sehemu ipi inayozuia.

Saraka yenye r na isiyo na x ni hali ya ajabu ambayo ni vyema kuitambua. Mtumiaji wa kawaida anaweza kuorodhesha majina, kwa sababu kuorodhesha ndilo jambo ambalo r hutoa, lakini hawezi kuona taarifa za faili (stat), kwa hivyo ls -l hujaza safu wima za ukubwa na hali kwa alama za kuuliza na kuchapisha ls: cannot access ...: Permission denied kwa kila moja.

Kubadilisha herufi kuwa 755

Kila triad ni namba ya biti tatu. r ni 4, w ni 2, x ni 1. Jumlisha biti zilizowashwa.

• rwx ni 4 + 2 + 1 = 7
• rw- ni 4 + 2 = 6
• r-x ni 4 + 1 = 5
• r-- ni 4
• --- ni 0

drwxr-xr-x kwa hivyo ni 7 kwa mmiliki, 5 kwa kundi na 5 kwa wengine: 755. -rw-r--r-- ni 6, 4, 4: 644. drwxrwxr-x ni 7, 7, 5: 775, ambayo ni 755 ikiwa na ruhusa ya kuandika (write) iliyoongezwa kwa kundi. Huna haja ya kuhesabu herufi kwa mkono, kwa sababu stat huchapisha aina zote mbili kwa wakati mmoja.

stat -c '%A %a %U %G %n' ~/permdemo ~/permdemo/inner/notes.txt

%A ni umbo la herufi, %a ni umbo la octal, na %U pamoja na %G hutaja mtumiaji mmiliki na kundi mmiliki.

Mfuatano wa ruhusa unaotafutwa na watu

Hizi ndizo modes unazokutana nazo kwenye seva halisi, zikiwa na thamani ya octal na mahali ambapo kila moja hutumika.

• -rw-r--r-- ni 644. Faili za kawaida ambazo huduma husoma pekee, kama faili ya usanidi (config file) au ukurasa wa HTML.
• -rw------- ni 600. Siri: ufunguo wa kibinafsi wa SSH (SSH private key), au faili ya .env ya programu.
• -rw-rw-r-- is 664. Faili iliyo kwenye saraka (directory) inayoshirikiwa na kikundi, ambapo wenzako wanahitaji ruhusa ya kuandika.
• -rwxr-xr-x ni 755. Skripti na binaries, kama /usr/local/bin/backup.sh na sehemu kubwa ya /usr/bin.
• -rwx------ ni 700. Skripti ya kibinafsi ambayo mmiliki wake pekee ndiye anayeweza kuiendesha.
• drwxr-xr-x ni 755. Takriban kila saraka ya mfumo, na mzizi wa hati (document root) wa tovuti.
• drwx------ ni 700. ~/.ssh, na saraka za nyumbani (home directories) kwenye seva iliyolindwa.
• drwxrwxr-x ni 775. Saraka ambayo kikundi cha mmiliki kinaweza kuandika ndani yake.
• drwxrwsr-x ni 2775. Hiyo hiyo, pamoja na setgid bit, ili faili mpya ndani yake zirithi kikundi cha saraka hiyo.
• drwxrwxrwt ni 1777. /tmp. t iliyo mwishoni ni sticky bit, ili mtumiaji aweze kufuta faili zake pekee.
• -rwsr-xr-x ni 4755. Binary ya setuid inayojiendesha kama mmiliki wake, kama /usr/bin/passwd na /usr/bin/sudo.
• -rw-rw-rw- ni 666, na drwxrwxrwx ni 777. Faili zinazoweza kuandikwa na mtu yeyote (world writable), jambo ambalo kwenye seva karibu kila mara ni kosa.
• lrwxrwxrwx ndiyo inayoonekana kwenye kila symbolic link. Linux hupuuza bits za mode kwenye link na badala yake hukagua lengo (target), kwa hivyo mfuatano huu hauna maana yoyote.

Ni triad ipi inayokuhusu

Hii hapa ni kanuni ya pili ambayo wanaoanza hujikwaa. Kernel huchagua triad moja tu na kuishia hapo.

Ikiwa kitambulisho chako cha mtumiaji (user ID) kinalingana na mmiliki wa faili, unapata triad ya mmiliki, na bits za kundi (group) na wengine (other) hazitazamwi kamwe. Vinginevyo, ikiwa kundi la faili ni moja ya makundi yako, unapata triad ya kundi. Vinginevyo unapata triad ya wengine.

Mambo mawili yanajitokeza. Triad ya mmiliki hutumika hata pale inapokuwa na vikwazo vikali zaidi. Faili yenye mode 0466, inayochapishwa kama -r--rw-rw-, humpa mmiliki ruhusa ya kusoma pekee wakati kila mtu mwingine anaweza kuandika, kwa sababu ukaguzi wa mmiliki ulikubaliana kwanza na hakuna kilichosomwa baada ya hapo. Hiyo ni halali, na huwachanganya watu wote mara ya kwanza wanapokutana nayo.

Triad ya kundi huchaguliwa na kundi la faili, si kwa orodha ya makundi unayomiliki. ls -l huchapisha majina mawili kwenye kila mstari: mmiliki, kisha kundi. Kundi hilo la pili pekee ndilo lenye mamlaka juu ya faili hiyo. Kuwa mwanachama wa makundi ishirini husaidia tu wakati faili inabeba moja ya makundi hayo.

id
stat -c '%U %G %A %n' ~/permdemo/inner/notes.txt

id huchapisha mtumiaji wako na kila kundi ulilomo. stat huchapisha mmiliki na kundi la faili. Linganisha hayo mawili na utajua ni triad ipi ambayo kernel itakutumia.

Hii ndiyo sababu saraka (directory) iliyoshirikiwa kwa kawaida hupata kundi na setgid bit. sudo chmod 2775 /srv/shared huchapishwa kama drwxrwsr-x, na faili zinazotengenezwa ndani yake hurithi kundi la saraka badala ya kundi la kibinafsi la mtengenezaji, ili mtu anayefuata aweze bado kuzihariri. Kupa kila huduma akaunti yake binafsi ni nusu nyingine ya hadithi hii, na imeelezewa katika mtumiaji mmoja wa Linux kwa kila huduma kwenye VPS.

umask huamua mode ya kila faili mpya

Faili mpya haichukui mode yake kutoka kwako. Inachukua kutoka kwa programu iliyoiunda, ikiondoa bits ambazo umask yako inafuta. Umask ni mask ya bits za kuondoa, kwa hivyo umask kubwa hutoa faili za faragha zaidi.

Usambazaji mwingi wa Linux husafirisha 022. Programu inayounda faili ya kawaida huomba 0666. Programu inayounda saraka (directory) huomba 0777. Umask hufuta 022 kutoka kwa maombi yote mawili, kwa hivyo unapata 644 kwenye faili na 755 kwenye saraka. Hiyo ndiyo jozi kamili unayoiona kila mahali kwenye VPS mpya.

umask
umask -S
touch ~/permdemo/new.txt && mkdir -p ~/permdemo/newdir
ls -ld ~/permdemo/new.txt ~/permdemo/newdir

umask -S huchapisha thamani hiyo hiyo kama herufi, ambayo ni rahisi kusoma kuliko 0022. Weka umask 027 katika ~/.profile kwa chaguo-msingi kali zaidi: 640 kwenye faili na 750 kwenye saraka, ili kundi lako liweze kusoma kazi yako na mtu mwingine yeyote asiweze.

Mipaka miwili ni muhimu. Umask inaweza tu kufuta bits, kamwe haiongezi, ndiyo sababu faili iliyoundwa hivi karibuni haiwezi kuwa executable bila kujali unachoweka. Na huduma ya systemd haisomi kamwe shell profile yako, kwa hivyo weka thamani hiyo kwenye unit file badala yake.

[Service]
UMask=0027

Kwa nini faili za wavuti ni 644 na saraka za wavuti ni 755

Seva ya wavuti huendeshwa chini ya akaunti yake yenyewe, www-data kwenye Debian na Ubuntu, nginx kwenye Rocky na Alma. Mchakato huo unahitaji kusoma faili inazohudumia na kupita kwenye saraka zilizo juu yake. Haina sababu ya kuzibadilisha, na tovuti tuli haipaswi kuruhusu hilo kamwe.

644 kwenye faili inatoa ruhusa ya kuandika kwa mmiliki na kusoma kwa kila mtu, kwa hivyo mtumiaji anayechapisha anaweza kuweka faili na mtumiaji wa wavuti anaweza kuzihudumia. 755 kwenye saraka inatoa ruhusa ya kuandika kwa mmiliki na kupita kwa kila mtu, kwa hivyo mtumiaji wa wavuti anaweza kupita kwenye njia hiyo bila kuweza kuongeza au kufuta chochote. Hitilafu katika programu basi haiwezi kubadilisha kurasa inazohudumia.

Kanuni ya kupita (traverse) inaleta changamoto hapa. Ikiwa tovuti ipo kwenye /home/deploy/site na /home/deploy ni 750, mtumiaji wa wavuti hawezi kuingia kwenye saraka ya nyumbani kabisa, na ombi litaishia kama HTTP 403 ikiwa na mstari kama huu kwenye /var/log/nginx/error.log:

open() "/home/deploy/site/index.html" failed (13: Permission denied), client: 203.0.113.5

Hiyo 13 ni EACCES, kukataliwa kwa ruhusa na kernel. Hakuna hitilafu kwenye mtandao: port inasikiliza na ombi limefika, jambo ambalo hufanya hili kuwa gumu kueleweka wakati bado unajifunza jinsi port zinavyosikiliza kwenye Linux. Endesha namei -l /home/deploy/site/index.html na usome chini kwenye mnyororo huo kwa ajili ya saraka ya kwanza isiyo na x kwa wengine.

Saraka ambayo programu huandikia, kama vile njia ya kupakia faili (upload path), ni ubaguzi. Ipe ruhusa hiyo kwa kutumia umiliki badala ya kutumia mode pana zaidi: sudo chown -R www-data:www-data /srv/site/uploads na uache mode ikiwa 755. Weka ruhusa ya kuandika kwenye saraka moja tu inayohitaji kufanya hivyo.

chmod, bila kubadilisha muundo mzima wa saraka

chmod inakubali aina zote mbili. Njia ya octal huweka bits zote tisa kwa wakati mmoja: chmod 644 notes.txt. Njia ya symbolic hubadilisha tu kile unachotaja na kuacha vingine kama vilivyo: chmod u+x deploy.sh huongeza ruhusa ya execute kwa mmiliki, na chmod go-w notes.txt huondoa ruhusa ya write kwa kundi na watumiaji wengine.

Recursion ndipo miti ya saraka inapoharibika. chmod -R 755 . huweka kila picha na kila faili ya usanidi kuwa executable, kwa sababu chmod haiwezi kutofautisha script na JPEG. Tumia herufi kubwa X badala yake.

chmod -R u=rwX,go=rX ~/permdemo
stat -c '%a %n' ~/permdemo ~/permdemo/inner/notes.txt

Herufi kubwa X huongeza ruhusa ya execute kwenye saraka, na kwenye faili ambazo tayari zilikuwa na bit ya execute mahali fulani. Saraka huwa 755, faili za kawaida huwa 644, na script ambazo tayari zilikuwa executable hubaki hivyo. Wakati faili moja tayari ina mode unayoiamini, chmod --reference=good.sh other.sh huinakili kwenye faili nyingine.

Ujumbe unaouona wakati bit imekosea

bash: ./deploy.sh: Permission denied inamaanisha kuwa script haina bit ya x katika triad inayokuhusu, au saraka kwenye njia yake haina x. chmod u+x deploy.sh hurekebisha kisa cha kwanza.

bash: ./deploy.sh: cannot execute: required file not found ni kosa tofauti lenye jina linalochanganya. Bit ya x iko sawa, na mkalimani (interpreter) aliyetajwa kwenye mstari wa kwanza hayupo. Sababu ya kawaida ni mwisho wa mistari wa Windows, kwa hivyo kernel inatafuta mkalimani anayeitwa /bin/bash\r. Rekebisha hili kwa sed -i 's/\r$//' deploy.sh.

Permissions 0644 for '/home/deploy/.ssh/id_ed25519' are too open. inatoka kwa SSH client, ambayo inakataa kutumia private key ambayo akaunti nyingine zinaweza kuisoma. Key inahitaji 600 na ~/.ssh inahitaji 700. Usimamizi kamili wa key uko katika usimamizi wa SSH keys na ruhusa za faili zake.

Authentication refused: bad ownership or modes for directory /home/deploy/.ssh inaonekana kwenye journal ya seva wakati home directory au .ssh yake inaweza kuandikwa na kundi (group writable). Mpangilio wa sshd wa StrictModes unakataa key hiyo, na kwa upande wa client inaonekana kama ombi la password lisilotarajiwa bila maelezo yoyote.

sudo: /etc/sudoers is world writable, ikifuatiwa na sudo: no valid sudoers sources found, quitting, inamaanisha kuwa sudo imekagua mode ya configuration yake yenyewe na kukataa kufanya kazi. Faili hiyo lazima iwe 0440. Hii ni matokeo ya kawaida ya chmod ya kina (recursive), na inaweza kutokea pamoja na ujumbe wa sshd hapo juu, jambo linalofanya console ya mtoa huduma kuwa njia pekee ya kuingia tena.

Kwa nini 777 si suluhisho

777 inatoa ruhusa ya kuandika kwa kila akaunti kwenye mashine, na kwa kila mchakato unaoendeshwa chini ya akaunti hizo. Seva huendesha huduma chini ya watumiaji wake, kwa hivyo "kila mtu" inajumuisha vitu vingi zaidi kwenye VPS kuliko kwenye kompyuta ya kibinafsi. Huduma iliyoathiriwa inaweza kuandika popote ambapo 777 inaruhusu.

Chini ya web root, madhara ni ya moja kwa moja. Saraka inayoweza kuandikwa na kila mtu ambayo seva pia inaitumikia inamaanisha kuwa hitilafu ya kupakia faili inakuwa njia ya kupanda script na kisha kuiomba tena.

777 karibu kila mara ni jibu lisilo sahihi kwa swali la umiliki. Dalili ni "programu haiwezi kuandika kwenye saraka hii". Sababu ni kwamba saraka hiyo ni ya mtumiaji asiye sahihi. sudo chown -R appuser:appuser /srv/app/storage yenye mode 755 inatatua hili na kuzuia akaunti nyingine zote. Kuunda akaunti hizo kabla ya kitu chochote kupelekwa ni sehemu ya dakika kumi za kwanza kwenye VPS mpya.

Ruhusa ya kuandika kwa kila mtu ni halali katika sehemu moja inayojulikana, /tmp, na inaandikwa drwxrwxrwt. t ya mwisho ni sticky bit: saraka inaweza kuandikwa na wote, lakini mtumiaji anaweza kufuta faili anazozimiliki pekee. Bila bit hiyo, akaunti yoyote inaweza kufuta faili za muda za akaunti nyingine.

Soma mode kabla ya kuibadilisha

Amri hizi husoma hali pekee, kwa hivyo ni salama kuziendesha popote.

id
umask
stat -c '%A %a %U %G %n' ~/permdemo ~/permdemo/inner/notes.txt
namei -l ~/permdemo/inner/notes.txt
find ~/permdemo -perm -0002

find <path> -perm -0002 huorodhesha kila kitu chini ya path ambayo ina bit ya world write, hii ndiyo njia ya haraka zaidi ya kukagua seva baada ya mtu kurekebisha mambo kwa kutumia chmod 777.

Ili kuuliza kama akaunti fulani ya huduma inaweza kuingia kwenye directory, uliza kama akaunti hiyo. sudo -u www-data test -x /srv/site && echo yes || echo no huchapisha yes wakati mtumiaji huyo anayo ruhusa ya traverse kwenye directory hiyo, na no wakati hana. Kuuliza kama root hakuthibitishi chochote, kwa sababu root huruka ukaguzi huo na jibu huwa ni yes kila wakati.

FAQ

d inamaanisha nini katika Linux?

Hii ni saraka (directory), kama inavyoonyeshwa na d mwanzoni, ikiwa na mode 755. Triad ya mmiliki ni rwx, kwa hivyo mmiliki ana ruhusa zote juu yake. Triad ya kundi ni r-x na triad ya wengine ni r-x, kwa hivyo kila mtu mwingine anaweza kuorodhesha majina yaliyomo na kupita kwenye saraka hiyo, wakati hakuna mtu isipokuwa mmiliki anayeweza kuongeza au kuondoa chochote. Thibitisha njia yoyote kwa stat -c '%A %a %U %G %n' <path>, ambayo huchapisha umbo la herufi na umbo la octal kando kando.

Kwa nini faili za wavuti ni 644 na saraka za wavuti ni 755?

Seva ya wavuti huendeshwa chini ya akaunti tofauti, www-data kwenye Ubuntu. Inahitaji ruhusa ya kusoma faili inazohudumia na ruhusa ya kupita (traverse) kwenye kila saraka iliyo juu yake, na haina sababu ya kuandika kwenye yoyote kati ya hizo. 644 humpa mmiliki ruhusa ya kuandika na kila mtu mwingine ruhusa ya kusoma. 755 humpa mmiliki ruhusa ya kuandika na kila mtu mwingine ruhusa ya kupita. Saraka ambayo programu inahitaji kuandika ndani yake inapaswa kukabidhiwa kwa mtumiaji wa programu hiyo kwa kutumia chown, badala ya kupanua ruhusa kwa kila mtu.

Je, bit ya x inamaanisha ninaweza ku-execute saraka?

Hapana. Kwenye saraka, x inamaanisha kupita (traverse), ambayo ni haki ya kutatua jina moja ndani yake wakati kernel inapotembea kwenye njia. cd inahitaji ruhusa hii, na vilevile kila ufunguzi wa faili iliyo chini yake. Kila saraka kwenye njia inahitaji x, kwa hivyo faili yenye mode 644 bado haiwezi kufikiwa ikiwa saraka iliyo juu yake haina x kwa ajili yako. namei -l /path/to/file huchapisha mode ya kila saraka katika mnyororo, jambo linaloonyesha mahali ambapo utafutaji husimama.

Je, chmod 777 ni suluhisho sahihi wakati wowote?

Karibu kamwe kwenye seva. Inatoa ruhusa ya kuandika kwa kila akaunti kwenye mashine, ikiwemo akaunti ambazo huduma huendeshwa chini yake, kwa hivyo huduma moja iliyoathiriwa inaweza kuandika upya faili hiyo. Wakati programu haiwezi kuandika kwenye saraka, tatizo la kweli mara nyingi ni umiliki: sudo chown -R appuser:appuser /srv/app/storage yenye mode 755 huipa programu kile inachohitaji na kuwaacha wengine nje. Isipokuwa inayojulikana ni /tmp katika 1777, na hiyo hufanya kazi tu kwa sababu sticky bit huwazuia watumiaji kufuta faili za wengine.

Kwa nini ls huchapisha nukta au alama ya kujumlisha baada ya ruhusa?

Herufi hiyo ya kumi na moja inaelezea sheria zilizo nje ya bits tisa za ruhusa. Nukta, kama ilivyo katika drwxr-xr-x., inamaanisha muktadha wa usalama wa SELinux umeambatishwa, jambo ambalo ni la kawaida kwenye Fedora na Rocky. Alama ya kujumlisha, kama ilivyo katika drwxr-xr-x+, inamaanisha kuwa POSIX ACL (access control list) imewekwa, kwa hivyo mtumiaji au kundi fulani lina haki ambazo triads tatu hazionyeshi. Endesha getfacl <path> ili kuorodhesha maingizo hayo ya ziada.