Sicherheit im Hostingbereich!

[cane]

Hallo @all,

ich werde in der nächsten Zeit die Webserver-Umgebung eines Hosters absichern. Gehen wir mal von ca. 1000 Kunden aus die alle PHP nutzen und in seltenen Fällen auch .cgi.

Erstmal möchte ich allen Kunden den FTP/SSH Zugang wegnehmen und in einen scp-only-Zugang verwandeln. Dumme Frage: Die .php Scripte sollten doch normal weiterfunktionieren, oder?

Mit PHP safe_mod schieße ich mir ja selber ins Bein da dann von PHP-Scripten erzeugte Dateien (z.B. Gästebücher) nicht mehr verwendet werden können.

open_basedir finde ich da wesentlich sinnvoller, leider lassen sich damit die Systemfunktionen von PHP (z.B. exec) nicht einschränken.

Das müßte wiederum über disable_functions möglich sein.
Die Frage ist ob ich disable_functions global oder userspezifisch setzen kann?
Einige User müssen auf diverse Dateien zugreife können...

Der session.save_path müßte auch pro User angepasst werden, oder?

Dann habe ich noch einen netten PHP-Patch gefunden der mir die ganze Arbeit vielleicht eventuell abnehmen könnte: http://titov.net/safemodepatch/

Hat jemand Erfahrungen mit diesem Patch?

Wie würdet ihr eine solche Umgebung vernünftig absichern?

[cane]

Natürlich wird die optimale Lösung wie immer sauber dokumentiert und der Community zur Verfügung gestellt :)

mfg
cane

[WYSIIB]

ich schätze das was du suchst ist suphp (www.suphp.org)

damit kanns du eine eigene php.ini für jeden user verwenden. ausserdem werden damit phpscripte nur noch mit den rechten des jeweiligen users ausgeführt

[cane]

ich schätze das was du suchst ist suphp

Damit wird PHP im CGI-Mode ausgeführt und ist träge und langsam...

Ich möchte PHP der Performance wegen schon weiter als Apache-Modul laufen lassen außer jemand hat Benchmarks die mir beweisen dass PHP in einer Umgebung mit ~1000 Usern nicht wesentlich träger wird...

mfg
cane

[cane]

Nochmal zu suphp:


Please note that the suPHP binary has to be installed setuid-root to work, so a security bug in suPHP probably will allow atackers to run commands with root privileges.

Ich möchte kein Apache-Modul haben das SUID läuft...

mfg
cane

[Roger Wilco]

Ich möchte kein Apache-Modul haben das SUID läuft...
Bei Einsatz von Apache 2 könntest du es noch mit MPM metux + mod_php versuchen, allerdings treten dabei die gleichen Probleme wie bei allen threaded MPMs des Apache auf: Nicht alle Bibliotheken von PHP sind threadsicher, d. h. du kannst mitunter seltsame Ergebnisse erzielen, wenn du PHP als Modul verwendest. Ausserdem benötigen die Threads dadurch auch mehr Speicher, als wenn PHP als CGI aufgerufen wird.

Eine weitere Möglichkeit ist die Kombination FastCGI + PHP-CGI, siehe auch http://www.rootforum.de/forum/viewtopic.php?t=28561.

[cane]

Sehr interessanter Link!

thx Roger