[AlternC-dev] redesign suEXEC du bureau

Retour à l'archive de la liste
Le site d'AlternC
Google Custom Search

The Anarcat anarcat at anarcat.ath.cx
Mar 4 Mai 16:31:26 CEST 2004


Salut à tous,

J'ai commencé à regarder comment on pourrait sécuriser un peu plus le
bureau et AlternC en général en ce qui a trait au safe mode et
compagnie.

En général, il est mauvaise coutume d'installer les fichiers gérés par
le webserver chown par l'usager qui roule le webserver, parce que tout
script que l'usager réussi à installer peut alors détruire, ré-écrire,
modifier (etc) tous les fichiers du webserver, pas seulement les siens.

On a vu les effets de ce problème dans les bugs suivants:

http://mantis.alternc.org/bug_view_page.php?bug_id=0000145
http://bugs.koumbit.net/bug_view_advanced_page.php?bug_id=0000047

Le premier bug semble être résolu, mais c'est tout de même un sérieux
problème qui risque toujours de se reproduire.

Le second problème se produit lorsqu'on désactive le safe mode sur un
vhost car l'application qui roule derrière ne le supporte pas.

J'ai commencé à travailler sur un moyen de contourner ce problème en
utilisant suEXEC:

http://koumbit.net/wiki/Proc%E9dures/SuExecPhp

Mes tests sont concluants. L'idée serait d'avoir un vhost séparé pour le
bureau, qui roulerait sous un usager différent. Les fichiers de config
lui appartiendrait, tout comme les fichier des usagers, qui resteraient
cependant chown :200X, pour que le FTP fonctionne toujours.

Ainsi, même si quelqu'un "bypasserait" le safe_mode ou réussirait à
rouler un script, il roulerait comme un usager différent (e.g. www-data)
et ainsi les fichiers et les configs seraient en sécurité.

Je crois qu'il ne serait pas trop compliqué d'implanter ceci.

Qu'en pensez-vous?

A.
-------------- section suivante --------------
Une pièce jointe autre que texte a été nettoyée...
Nom: non disponible
Type: application/pgp-signature
Taille: 187 octets
Desc: non disponible
URL: <http://lists.alternc.org/arch/dev/attachments/20040504/67f40d20/attachment.pgp>


Plus d'informations sur la liste de diffusion Dev