Web sitesi dosyalarımın / klasörlerimin Linux web sunucusunda hangi izinleri olmalıdır?

Hangi izinlerin kullanılacağına karar verirken, kullanıcılarınızın tam olarak kim olduğunu ve neye ihtiyaç duyduklarını bilmeniz gerekir. Bir web sunucusu iki tür kullanıcıyla etkileşime girer.

Kimliği doğrulanmış kullanıcıların sunucuda bir kullanıcı hesabı vardır ve belirli ayrıcalıklarla sağlanabilir. Bu genellikle sistem yöneticilerini, geliştiricileri ve hizmet hesaplarını içerir. Genellikle SSH veya SFTP kullanarak sistemde değişiklik yaparlar.

Anonim kullanıcılar web sitenizi ziyaret edenlerdir. Dosyalara doğrudan erişim izinleri olmamasına rağmen, bir web sayfası isteyebilirler ve web sunucusu kendi adlarına hareket eder. Web sunucusu işleminin hangi izinlere sahip olduğuna dikkat ederek anonim kullanıcıların erişimini sınırlandırabilirsiniz. Birçok Linux dağıtımında, Apache www-data Kullanıcısı olarak çalışır, ancak farklı olabilir. Apache'nin sisteminizde hangi kullanıcıyı kullandığını görmek için ps aux | grep httpd Veya ps aux | grep Apache Kullanın.

Linux izinleri hakkında notlar

Linux ve diğer POSIX uyumlu sistemler geleneksel unix izinlerini kullanır. Wikipedia hakkında Dosya sistemi izinleri hakkında mükemmel bir makale var, bu yüzden burada her şeyi tekrar etmeyeceğim. Ancak bilmeniz gereken birkaç şey var.

Yürütme biti
Yorumlanan komut dosyaları (ör. Ruby, PHP) yürütme izni olmadan gayet iyi çalışır. Yalnızca ikili dosyalar ve Shell betikleri yürütme bitine ihtiyaç duyar. Bir dizinde dolaşmak (girmek) için, o dizinde yürütme izninizin olması gerekir. Web sunucusu bu dizini listelemek veya içindeki dosyaları sunmak için bu izne ihtiyaç duyar.

Varsayılan yeni dosya izinleri
Bir dosya oluşturulduğunda, normalde onu oluşturan kişinin grup kimliğini devralır. Ancak bazen yeni dosyaların oluşturuldukları klasörün grup kimliğini devralmasını istersiniz, böylece üst klasörde SGID bitini etkinleştirirsiniz.

Varsayılan izin değerleri umask'ınıza bağlıdır. Umask, yeni oluşturulan dosyalardan izinleri çıkarır, bu nedenle ortak 022 değeri 755 ile oluşturulan dosyalara neden olur. Bir grupla işbirliği yaparken, oluşturduğunuz dosyaların grup üyeleri tarafından değiştirilebilmesi için umask'nizi 002 olarak değiştirmeniz yararlı olur. Yüklenen dosyaların izinlerini özelleştirmek istiyorsanız, Apache için umask'i değiştirmeniz veya dosya yüklendikten sonra chmod'u çalıştırmanız gerekir.

777 ile ilgili sorun

Web sitenizi chmod 777 Yaptığınızda, hiçbir güvenliğiniz olmaz. Sistemdeki herhangi bir kullanıcı web sitenizdeki herhangi bir dosyayı değiştirebilir veya silebilir. Ancak daha ciddisi, web sunucusunun web sitenize gelen ziyaretçiler adına hareket ettiğini ve şimdi web sunucusunun yürüttüğü aynı dosyaları değiştirebildiğini unutmayın. Web sitenizde herhangi bir programlama güvenlik açığı varsa, bilmeden web sitenizi tahrif etmek, kimlik avı saldırıları eklemek veya sunucunuzdan bilgi çalmak için bunlardan yararlanılabilir.

Ayrıca, sunucunuz iyi bilinen bir bağlantı noktası (root olmayan kullanıcıların dünya çapında erişilebilir dinleme hizmetlerini üretmesini önlemek için) üzerinde çalışırsa, sunucunuzun root tarafından başlatılması gerektiği anlamına gelir ( bağlantı noktası bağlandıktan sonra herhangi bir aklı başında sunucu hemen daha az ayrıcalıklı bir hesaba düşecektir). Diğer bir deyişle, ana yürütülebilir dosyanın sürüm kontrolünün (ör. Bir CGI uygulaması) bir parçası olduğu bir web sunucusu çalıştırıyorsanız, kullanıcı adını yeniden adlandırabileceği için izinlerini (veya bu nedenle içeren dizinin izinlerini bırakarak) yürütülebilir) 777'de herhangi bir kullanıcının root olarak çalıştırılabilir çalıştırılmasına izin verir .

Gereksinimleri tanımlayın

• Geliştiricilerin web sitesini güncelleyebilmeleri için dosyalara okuma/yazma erişimi gerekir
• Geliştiricilerin dizinlere göz atma/yazma/yürütme gereksinimi vardır.
• Apache'nin dosyalara ve yorumlanmış komut dosyalarına okuma erişimi gerekir
• Apache'nin hizmet verilebilir dizinlere okuma/yürütme erişimi gerekiyor
• Apache'nin yüklenen içerik için dizinlere okuma/yazma/yürütme erişimi gerekiyor

Tek bir kullanıcı tarafından korunur

Sitenin bakımından yalnızca bir kullanıcı sorumluysa, web sitesi dizininde kullanıcı sahibi olarak ayarlayın ve kullanıcıya tam rwx izinleri verin. Apache'nin dosyalara hizmet verebilmesi için hala erişime ihtiyacı vardır, bu nedenle www-data'yı grup sahibi olarak ayarlayın ve gruba r-x izinleri verin.

Sizin durumunuzda, kullanıcı adı eve olabilecek Havva, contoso.com

chown -R eve contoso.com/
chgrp -R www-data contoso.com/
chmod -R 750 contoso.com/
chmod g+s contoso.com/
ls -l
drwxr-s--- 2 eve      www-data   4096 Feb  5 22:52 contoso.com

Apache tarafından yazılabilmesi gereken klasörleriniz varsa, grup sahibinin izin değerlerini yalnızca www-data yazma erişimine sahip olacak şekilde değiştirebilirsiniz.

chmod g+w uploads
ls -l
drwxrws--- 2 eve      www-data   4096 Feb  5 22:52 uploads

Bu yapılandırmanın yararı, sistemdeki diğer kullanıcıların göz atması zorlaşır (ancak imkansız değildir *), çünkü yalnızca kullanıcı ve grup sahipleri web sitesi dizininize göz atabilir. Bu, yapılandırma dosyalarınızda gizli verileriniz varsa kullanışlıdır. Umask'ınıza dikkat edin! Burada yeni bir dosya oluşturursanız, izin değerleri büyük olasılıkla varsayılan olarak 755 olacaktır. umask 027 Çalıştırarak yeni dosyaların varsayılan olarak 640 (rw- r-- ---) Olmasını sağlayabilirsiniz.

Bir grup kullanıcı tarafından korunur

Siteyi korumaktan birden fazla kullanıcı sorumluysa, izinleri atamak için kullanmak üzere bir grup oluşturmanız gerekir. Her web sitesi için ayrı bir grup oluşturmak ve gruba bu web sitesinin adını vermek iyi bir uygulamadır.

groupadd dev-fabrikam
usermod -a -G dev-fabrikam alice
usermod -a -G dev-fabrikam bob

Önceki örnekte, grup sahibini Apache'ye ayrıcalık vermek için kullandık, ancak şimdi geliştiriciler grubu için kullanılıyor. Kullanıcı sahibi artık bizim için yararlı olmadığından, root olarak ayarlamak hiçbir ayrıcalığın sızdırılmamasını sağlamanın basit bir yoludur. Apache'nin hala erişime ihtiyacı var, bu yüzden dünyanın geri kalanına okuma erişimi veriyoruz.

chown -R root fabrikam.com
chgrp -R dev-fabrikam fabrikam.com
chmod -R 775 fabrikam.com
chmod g+s fabrikam.com
ls -l
drwxrwxr-x 2 root     dev-fabrikam   4096 Feb  5 22:52 fabrikam.com

Apache tarafından yazılabilir klasörleriniz varsa Apache'yi kullanıcı sahibi veya grup sahibi yapabilirsiniz. Her iki durumda da, ihtiyaç duyduğu tüm erişime sahip olacaktır. Şahsen, geliştiricilerin yükleme klasörlerinin içeriğine göz atabilmesi ve değiştirebilmesi için kullanıcı sahibi yapmayı tercih ediyorum.

chown -R www-data uploads
ls -l
drwxrwxr-x 2 www-data     dev-fabrikam   4096 Feb  5 22:52 uploads

Bu ortak bir yaklaşım olmasına rağmen, bir dezavantaj var. Sistemdeki diğer tüm kullanıcılar web sitenizde Apache ile aynı ayrıcalıklara sahip olduğundan, diğer kullanıcıların sitenize göz atması ve yapılandırma dosyalarınız gibi gizli veriler içerebilecek dosyaları okuması kolaydır.

Pastanızı alabilir ve yiyebilirsiniz

Bu daha da geliştirilebilir. Sahibinin gruptan daha az ayrıcalığa sahip olması son derece yasaldır, bu nedenle kullanıcı sahibini root'a atayarak israf etmek yerine, Apache'yi web sitenizdeki dizinlerde ve dosyalarda kullanıcı sahibi yapabiliriz. Bu, tek sürdürücü senaryosunun tersidir, ancak eşit derecede iyi çalışır.

chown -R www-data fabrikam.com
chgrp -R dev-fabrikam fabrikam.com
chmod -R 570 fabrikam.com
chmod g+s fabrikam.com
ls -l
dr-xrwx--- 2 www-data  dev-fabrikam   4096 Feb  5 22:52 fabrikam.com

Apache tarafından yazılabilir olması gereken klasörleriniz varsa, kullanıcı sahibinin izin değerlerini yalnızca www-data yazma erişimine sahip olacak şekilde değiştirebilirsiniz.

chmod u+w uploads
ls -l
drwxrwx--- 2 www-data  dev-fabrikam   4096 Feb  5 22:52 fabrikam.com

Bu çözümde dikkat edilmesi gereken bir şey, yeni dosyaların kullanıcı sahibinin www-data olarak ayarlanmak yerine yaratıcıyla eşleşmesidir. Bu nedenle, oluşturduğunuz yeni dosyalar siz onları seçene kadar Apache tarafından okunamaz.

* Apache ayrıcalık ayrımı

Daha önce, diğer kullanıcıların ne tür ayrıcalıklar kullandığınızdan bağımsız olarak web sitenizi araştırmasının mümkün olduğunu söylemiştim. Varsayılan olarak, tüm Apache işlemleri aynı www-data kullanıcısı olarak çalışır, böylece herhangi bir Apache işlemi aynı sunucuda yapılandırılmış tüm diğer web sitelerinden dosyaları okuyabilir ve hatta bazen değişiklik bile yapabilir. Apache'nin bir komut dosyası çalıştırmasını sağlayabilen herhangi bir kullanıcı, Apache'nin kendisiyle aynı erişimi elde edebilir.

Bu sorunla mücadele etmek için Apache'de ayrıcalık ayrımı için çeşitli yaklaşımlar vardır. Ancak, her yaklaşım çeşitli performans ve güvenlik dezavantajlarına sahiptir. Kanımca, yüksek güvenlik gereksinimleri olan herhangi bir site, VirtualHosts'u paylaşılan bir sunucuda kullanmak yerine özel bir sunucuda çalıştırılmalıdır.

Dikkat edilecek diğer noktalar

Daha önce bahsetmedim, ancak geliştiricilerin web sitesini doğrudan düzenlemeleri genellikle kötü bir uygulamadır. Daha büyük siteler için, web sunucusunu bir sürüm kontrol sisteminin içeriğinden güncelleyen bir çeşit yayın sistemine sahip olmanız çok daha iyidir. Tek sürdürücü yaklaşımı muhtemelen idealdir, ancak bir kişi yerine otomatik yazılımınız vardır.

Web siteniz sunulması gerekmeyen yüklemelere izin veriyorsa, bu yüklemelerin web kökünün dışında bir yerde saklanması gerekir. Aksi takdirde, insanların gizli olması amaçlanan dosyaları indirdiğini görebilirsiniz. Örneğin, öğrencilerin ödev göndermesine izin verirseniz, öğrencilerin Apache tarafından sunulmayan bir dizine kaydedilmesi gerekir. Bu, sır içeren yapılandırma dosyaları için de iyi bir yaklaşımdır.

Daha karmaşık gereksinimleri olan bir web sitesi için Erişim Kontrol Listeleri kullanımını incelemek isteyebilirsiniz. Bunlar ayrıcalıkların çok daha sofistike kontrolünü sağlar.

Web sitenizin karmaşık gereksinimleri varsa, tüm izinleri ayarlayan bir komut dosyası yazmak isteyebilirsiniz. İyice test edin, sonra güvende tutun. Kendinizi herhangi bir nedenden dolayı web sitenizi yeniden oluşturmanız gerektiğinde bulursanız, altın ağırlığına değebilir.