Dotaz: přístup do složek

[halva-jr]

Dobrý den,

tak mě napadla jedna taková věc Asi je to blbost, ale docela by mě to zajímalo. Mám webový server (Debian Lenny 502a) a jsou tam klasické programy (Apache2 apod., prostě klasika). Když si na něj nyní někam uložím svoje data, na která není nasměrovaný žádný virtuální host, dá se k nim z internetu dostat? Myslím např. nějak přes ip adresu a zadání cesty v serveru nebo nevím. Jde mi o to, že bych si na něj rád zálohoval svoje věci, ale jsou opravdu v bezpečí před ostatními? Že si je nikdo nestáhne ani nezobrazí. Ještě jednou připomínám, že se jedná o složku na kterou není nasměrovaný žádný virtuální host.

Díky za odpověď.

---

---

Odpovědi

[d.c.]

Nepočítáme-li takové věci jako bezp. díry a chyby v konfiguraci, tak zbývá třeba PHP. To má pochopitelně přístup i mimo document root.

[Šangala]

Jo dá, přes cokoliv co to umožní. ;)
Ta otázka je dost divná…
Pokud vše je správně nastaveno a není žádná chyba „někde“, a není žádná služba co by tato data zpřístupnila, tak ne (ukradení přihlašovacích údajů s osmi-písmenkovým heslem je oprávněný přístup :) ).
Máte přece několik bezpečnostních vrstev, například Firewall a ten když nepustí nic jiného než 80ku a na 80 běží apache a ten to tam nepustí…, dále máme disková práva.
Samozřejmě pokud PHP může chodit po celé mašině (což je bohužel časté), a jen neopatrně se napíše nějaký skriptík, toš to zobrazí cokoliv na co vidí uživatel na kterého běží apache.
Pokud si dáte uživatele pepa ve skupině pepa a bude tam oprávnění rw -- --, tak se na to dostane jen pepa a root, takže pokud apache neběží na roota, tak na to nemůže.
Zabezpečení dat, máte vždy takové jaké chcete (z 98% :)), nic Vám nebrání tato data i zašifrovat, klíč mít na flashce a heslo v hlavě.

[halva-jr]

Vyčerpávající odpověď. Díky

Tak já to trošku popíšu. Firewall samozřejmě mám, ten běží na 80, na 80 běží Apache. Práva jsou taková, že složky a soubory patří ftpuser a fptgroup a drwxr-xr-x, protože data se nahrávají přes ftp. Jsou v umístění mnt/disk/zaloha/... a apache přistupuje do umístění mnt/disk/www/.... Složka /mnt/disk/www a /mnt/disk/zaloha patří rootovi, všechno ostatní co je v nich ftpuser a ftpgroup. Apache pak běží pod uživatelem i skupinou www-data.

Z Vaší odpovědi mi připadá nejjednodušší nastavit správně PHP, že? Jak ho můžu prosím nastavit aby nemohlo chodit po celém stroji?

Díky moc

[halva-jr]

Chroot pomůže, třeba tady něco píšou a zakázat FollowSymLinks.
Dále SafeMode   nebo(ne 'a')   měkčí cesta je použití open_basedir

A samozřejmě práva nastavit tak, aby se tam nedostala neoprávněná osoba. 750,640 nebo třeba 700, 600.
Uložit data na uživatele „pepa“ ve skupině „pepa“ s právy 700 na adresář a 600 na soubory, je co se diskových práv týče dosažitelné maximum.
Ale stačí když odepřete přístup ostatním 750,640, pokud nebude www-data ve skupině stejné jako „pepa“ už se tam nedostane.

[halva-jr]

Pokoušel jsem se nastavit chroot, ale nějak se mi rozhodil celý apache. Takže jsem to zase odstranil. Nevím proč, se to rozhazovalo. Zkusím se na to ještě mrknout.

FollowSymLinks řeším u každého virtuálního hosta takto:

< Directory /mnt/disk/www/examplenet>
        Options FollowSymLinks
        AllowOverride All
< / Directory>

PHP jsem zatím ještě nezkoumal.

Práva jsem nastavil na 750. Stačí tedy pouze to nebo mám vyřešit i ty další věci? Tím myslím chroot php apod.

Díky

[Šangala]

Na to není jednoduchá odpověď, to záleží na Vás.
„Ano stačí“ :)

[halva-jr]

OK. Pokusím se ještě vyřešit ještě i ty další věci. Mnohokrát Vám děkuji.

[Šangala]

Není zač.
Asi by pro Vás bylo vhodné si postupně některé věci nastudovat a vyzkoušet aspoň rámcově.