[RFC] Security through obscurity mnohých týmů na SF.net (diskuse)

[Joseph]

kedysi som ich na to upozornoval i ja. vedia o tom ale nevidia jednoduche riesenie. mozno skutocne zaberie az ked nejake script-kiddie to vyuzije k mass defacementu.

[Filip Jirsák]

Ono totiž asi jediné řešení je to, aby Apache k souborům každého projektu přistupoval s právy uživatele nebo skupiny, která má k tomu projektu práva (a nemá práva k ničemu jinému). Nestačilo by ani povolit přes ACL přístup jednomu uživateli, pod kterým by běžel web server, protože s možností psát CGI skripty by se k těm souborům stejně mohl dostat každý, kdo má práva vytvářet nebo upravovat skripty.

Ostatně webhosting asi nebude ta hlavní služba, kterou SF provozuje, takže pokud má někdo potřebu používat nějaké skripty či databázi, může web hostovat jinde a ze SF používat „pouze“ CVS/SVN, bugzillu, fórum, atd. atd.

[Joseph]

to je sice pravda, ale i tak si nemyslim ze je to stastne riesenie. hladal som nejake vychodiska z tej situacie ale na nic som neprisiel (nehladal som az tak dlho aby som prisiel ;) ). Mne to pripada tak trochu ako kostlivec v skrini. raz to vypadne a bude to pruser.

[Luk]

Ono příliš nemá smysl něco dávat do hostingu na SF.net, má trvalé problémy s rychlostí (přesněji řečeno pomalostí).

[andree]

aspon jeden dalsi dobry prvy zapisok :o)

inak riesenie by mohlo byt v "externej" centralnej databaze hesiel (dost hnusne, suhlasim) - a pristup do hesiel pre dany projekt by mal len vlastnik a/alebo skripty v jeho adresari (co by mozno nemuselo byt take tazke zariadit)... alebo som na nieco zabudol, alebo to napadlo aj inych ale tiez si myslia ze to je prilis nechutne riesenie :o)

[Luboš Doležel (Doli)]

Nestačilo by změnit skupinu konkrétních souborů na apache/něco obdobného a nedávat čtení ostatním?

[Filip Jirsák]

Jednak je nejspíš skupina souborů nastavená tak, aby s nimi mohl manipulovat kdokoliv z daného projektu (nbo vybraní správci) – každopádně to ale asi nebude pouze jeden uživatel. Druhak když ty soubory může přečíst Apache, a já si můžu napsat libovolný CGI skript, stejně k nim mám přístup…

[lefti]

Co takhle napsat do apache modul ktery by umel neco jako toto http://www.proftpd.org/docs/directives/linked/config_ref_DefaultRoot.html ?

[jnc]

suexec?

[PP]

Ano, to by mělo být jedno z řešení. Je uvedeno i v odkazovaném návodu, ale taktéž tam je "vysvětleno", proč není použito:

Group membership of 'nobody' user: SourceForge.net staff continue to evaluate methods for improving the overall security of the project web services. Methods such as suexec and cgiwrap do not suitably address our performance and scalability needs. Though users have requested this in the past, we will not add the project web server user (nobody) to your project group, nor change file ownership to match the project web server user. You are encouraged to make regular backups of your data, make use of our project database service, and carefully consider the security limitations of the shared web environment before implementing any applications.