Web server na desktopu a bezpečnost

[Aleš Krejčí]

Dobrý den,
 
chtěl bych provozovat na desktopu pokud bude zapnutý web.
Tedy php, mysql, apache. OS linux (ubuntu).

Pokud by se někomu povedl hack. Jsou ohrožena všechna data? Nebo pouze v adresářích které jsem určil pro webovkou prezentaci? (DocumentRoot /cokoli)

Děkuji 

[Reklama]

[Petr Krčmář]

Pokud to poběží opravdu v jednom systému, tak je tu samozřejmě riziko, že při úspěšném napadení se útočník projde po celém systému. Nevím k čemu to bude sloužit, ale pokud to bude jen na nějaké občasné akce (což při běhu webserveru na desktopu předpokládám), tak bych použil virtualizaci. Dojde tak k naprostému oddělení systémů (pokud to tak bude nastaveno) a útočník může server uvnitř celý rozbít, ale do hostitele se nedostane.

[Aleš Krejčí]

(ano, jen na občasné akce)

S tou virtualizací mě to ani moc nenapadlo  Velice dobrý nápad, díky

[Petr Krčmář]

Výbornou výhodou navíc je, že do té virtualizace vůbec nemusíš dávat Ubuntu, ale klidně si tam dáš cokoliv od Debianu přes Gentoo až třeba po OpenBSD.

[Aleš Krejčí]

To je pravda. Pro mě budu asi nejlepší zvolit nějakou serverovou verzi, aby to mělo co nejmenší nároky na výkon 

A zřejmě nasadit XEN, popřípadě Virtualbox s kterým mám už trošku zkušenosti.

[Reklama]

[Woky]

Ahoj,
   bezpecnosti bych se obaval zejmena asi u Apache, nicmene jeho chrootnuti do vlastniho jailu by mohlo byt dostacujici....
http://www.linux.com/archive/feed/36331

Taky by Ti mohlo pomoct tohle
http://www.seaoffire.net/fcgi-faq.html

Virtualizace je samozrejme take bezpecnou variantou, ale osobne nejsem moc jejim zastancem.

Stan

[Aleš Krejčí]

Díky, prostuduji   

[Petr Krčmář]

Já bych chroot rozhodně nedoporučoval jako jediný bezpečnostní prvek. Pokud v něm uživatel (útočník) získá přes nějakou díru roota, tak se může mnoha různými způsoby dostat do zbytku systému. Samozřejmě rozšíření jádra jako SELinux nebo AppArmor umožňují výrazně chroot vylepšit, ale proti plnému oddělení ve virtualizaci je to pořád jen hračka.

[PCnity]

Pokial ide len o obcasny testing, VirtualBox... A nemas problem.

[pepazdepa]

Dobrý den,
 
chtěl bych provozovat na desktopu pokud bude zapnutý web.
Tedy php, mysql, apache. OS linux (ubuntu).

Pokud by se někomu povedl hack. Jsou ohrožena všechna data? Nebo pouze v adresářích které jsem určil pro webovkou prezentaci? (DocumentRoot /cokoli)

Děkuji 

autor hlavne nerekl, jestli to dava k mani celemu internetu nebo ne... pokud ne, tak si daemony nabinduj na localhost pokud jen pro par lidi na internetu (tvy kamosi, kliosi), tak si to nabinduje na localhost a vyzaduj po nic napr. ssh socks tunnel nebo ssh port forwarding. pokud mas openbsd - man authpf

[Mordae]

Presne jak rekl muj predrecnik. A pokud to potrebujes zdilet jen vramci par stroju, neni problem odfiltrovat jine pristupy pres netfilter (iptables + ip6tables).