Miten apache konfataan niin, että cgi skriptit suorittaisiin käyttäjän oikeuksilla eikä apache -palvelimen oikeuksilla?
Esim jos käyttäjällä kotihakemistossa ~/public_html/cgi-bin hakemistossa on skripti test.cgi, niin se suoritettaisiin tämä käyttäjän oikeuksilla eikä WWW.
Esim jos käyttäjällä kotihakemistossa ~/public_html/cgi-bin hakemistossa on skripti test.cgi, niin se suoritettaisiin tämä käyttäjän oikeuksilla eikä WWW.
Vastaukset 14
Vanhimmat
Miksi ihmeessä sellaista haluaisi? Antaa, nyt jollekin skriptille täydet oikeudet käyttäjän tietoihin?
Koska niin tarvitaan.
kysy googlelta
Jos et tiedä miestään mitään, niin kannattako edes avata suu?
Jättäisit vastaaminen niille jotka oikeasti osaavat jotain, ja menisit itse vaikka ulos potkimaan palloa?
Nimittäin monikäyttäjäjärjestelmissä on turvallisempaa suorittaa ohjelmat sen käyttäjän oikeuksilla, kuin kaikki ohjelmat samoilla oikeuksilla. Tämä on ihan tietoturvan alkeita.
Öh jaa ? Vielä turvallisemapaa on ajaa Apachea yhden tietyn Apachelle varatun käyttäjän oikeuksilla joilla ei siten olekaan oikeuksia mihinkään muuhun.
Apachen voi ja pitää ajaa yhden tietyn apachelle varatun käyttäjän oikeuksilla, mutta käyttäjien cgi-ohjelmat kannattaa ajaa jurri sen käyttäjän oikeuksilla, kenen ohjelma se on, eikä tällä "apache-tunnuksella"
Tietoturvasyistä www-palvelin ja sen käyttämä (väli)tietokanta on parempi laittaa palomuurin ulkopuolelle. Varsinainen tuotantokanta pidetään palomuurin sisällä, minne ei ole ulkopuolelta pääsyä. Lisäykset käydään ajoittain hakemassa välikannasta tuotantokantaan.
Jos meinaat taas ylläpitää virtual-hosteja asiakkaille, jotka tarvitsevat eri käyttäjäoikeudet, niin enpä luottaisi sinun palveluun, koska et tiedä edes kuinka se www-palvelin konfiguroidaan. Häpeä.
Voi jumalauta! Etkö oikeasti tajua mitä kaikkea voi tehdä, jos kaikkien käyttäjien ohjelmat suoritan samoilla oikeuksilla?
Ja tällä asialla ole mitään tekemistä palomuurien ja tietokantojen kanssa.
Koska et vaikuta kovin fiksulta kaverilta, niin yritän vääntää ihan rautalangasta:
Jos apache ajetaan tunnuksella www ja ryhmällä www (niin kuin oletuksena se on). Niin tällä www-tunnuksella ja www ryhmällä pitäisi olla luku/kirjoitus oikeudet tiedostoihin joita cgi-skipti lukee ja kirjoittaa. Jo tässä vaiheessa kellojen pitäisi soida! Mieti vähän, mitä eroa on sillä, että kaikkien käyttäjien skriptit ajetaan samalla tunnuksella/ryhmällä (www/www) ja sillä, ettei käyttöoikeuksia olisi ollenkaan!
Jos et vieläkään tässä vaiheessa tajunnut mitä tästä seuraa, niin annan yksinkertaisen esimerkin:
Käyttäjä X asentaa cgi-skriptin joka kirjoittaa/lukee tiedostoa xxx.txt - tähän tiedoston on käyttäjällä www/www luku&kirjoitus oikeudet koska kaikki skriptit ajetaan samalla tunnuksella. Nyt käyttäjä Y asentaa saman skriptin, ja yrittää lukea/kirjoittaa käyttäjän X tiedostoa. Jippii käyttäjällä Y on täys pääsy käyttäjän X tiedostoihin, koska käyttäjän Y cgi-skriptit ajetaan samoilla www/www oikeuksilla!
Tajusitko?
Jos tietäisit montako keskustelufoorumia / vieraskirjaa / top-listaa jne.. olen hakkeroinut tällä tavalla, kun yhdellä nimeltä mainitsemattomalla palveluntarjoajalla olivat tällaiset asetukset, onneksi tajusivat vaihtaa oikeudet käyttäjäkohtaisiksi.
PS: Ja tällä ei kysytty sinun mielipidettäsi asiasta, vaan vastausta kysymykseen. Jos olet niin tyhmä, että et edes tajua kysymystä, niin kannattaa pitää turpa kiinni.
PS2: Kaiken lisäksi käyttäjäoikeuksien muuttaminen käyttäjäkohtaisiksi cgi-skripteille, on joka ikisen tietoturvaoppaan ensimmäisiä tapoja parantaa tietoturva!
Ja koska sun kaltaisilta idiooteilta on turhaa odottaa asiallisia vastauksia, niin kerron itse vastauksen:
http://techrepublic.com.com/5100-1035-1058416.html
Tuossakin oppaassa tuo oli kolmas tapa/vaihe parantaa turvallisuutta.
Toivottavasti et joudu koskaan antamaan neuvoja ihmisille tietoturvasta, tai joudu tekemisiin sen kanssa. Kannattaisi käyttää jotain DOSia se on yksinkertaisempi sun aivoille.
Mietipäs vähän mitä sillon voi tehdä, jos skripti ajetaan käyttäjän tunnuksella. Sillon pääsy on kaikkialle mihin käyttäjälläkin, mukaanlukien oikeus suorittaa samoja ohjelmia koneella. Kyllä se on turvallisempoaa ajaa ne skriptit tunnuksella, joka on siihen varattu.
Ja jos on tarve kiejottaa tiedostoon tai tietokantaan, niin sillon webbisivua käyttävältä käyttäjältä on tietenkin vaadittava autentikointi jonka perusteella pääsy annetaan tiedostoihin. Yhteyden voi vielä salata SSL:llä.
Samalla tavalla kuin skripti ajetaan käyttäjän oikeuksilla kuin siihen varatulla tunnuksella, sillä on pääsy vain sen tunnuksen tiedostoihin. Ainoana erona, että jos kaikkien käyttäjien ohjelmat ajetaan samalla tunnuksella, niin joka ikisellä käyttäjällä on pääsy kaikkiin tiedostoihin. Mutta jos skripti suoritan jokaisen käyttäjän omalla tunnuksella, niin ainoastaan sillä käyttäjällä on pääsy omiin tiedostoihin.
Ja tuo www tunnus ihan samanlainen tunnus kuin mikä tahansa muu tunnus, samat oikeudet sillä on kuin muillakin tunnuksilla.
Tällä oli puhe kokoajan palvelimen sisäisestä turvallisuudesta. Siitä että koneen käyttäjä X pääsee helposti käyttäjän Y tiedostoihin.
SSL ja ulkoinen autentikointi ei liity asiaan mitenkään.
Se on mahdollista. Kannattaa kuitenkjin todellakin lukea ohjeet huolella ja olla tarkkana konfiguroitaessa, muuten saat aikaan potentiaalisen turvareijän yrittäessäsi estää semmosia.
http://httpd.apache.org/docs/2.2/suexec.html