[LUGOS-PROG] PHP modul in pravice

[Metod Kozelj]

Howdy!

Anze wrote:

>>>Mogoce ni cisto prava mailing lista, ampak domnevam, da imajo programerji
>>>s tem vec izkusenj kot administratorji... :)
>>>      
>>>
>>Jaz mislim, da je zgornja domneva pretežno zgrešena, saj (dobri)
>>administratorji skrbijo ravno za spodaj opisane 'težave'. In se ne
>>vtikajo v same programe. In obratno, programerji delajo (dobre) programe
>>in se ne obremenjujejo s tem, kdo jih bo smel poganjati in s kakšnimi
>>pravicami.
>>    
>>
>Naceloma se strinjam. Samo "naceloma" pa zato, ker vsi administratorji niso 
>dobri administratorji, in ker ima kaksna security zadeva tudi implikacije za 
>(dobrega) programerja - zato moras poznati malo sirse okolje kot samo PHP. Se 
>pa strinjam, da moras samo poznati - resevati (in poznati v podrobnosti) mora 
>administrator.
>

Yeah, zato sem pa tam dodal (sicer res v oklepajih) še 'dober'.

>>Ti skriptam spremeniš grupo in permissione takole:
>># chgrp apache script.php; chmod 710 script.php
>>    
>>
>To bi sicer resilo problem, ampak na zalost (kot je tudi Boris Sagadin 
>napisal) pravica execute ne zadostuje, ce pa dodas se read, lahko drugi 
>uporabniki spet berejo tvoje skripte. :(
>

Seveda. Vendar pa moraš moj nasvet vzeti kot celoto. Torej narediti 
grupo, v kateri ni nobenega uporabnika (vendar pa naj jo http daemon 
uporablja za efektivno grupo) in potem dovoliti branje skript samo tej 
grupi. In seveda lastniku. Če si paranoičen, potem lahko zamenjaš 
lastništvo na roota, tako da noben navaden user ne bo več imel dostopa 
do datotek.

Če pa te skrbi, da bi kakšen uporabnik naredil PHP skripto, ki bi 
prebrala drugo in mu jo vrnila, .... hja, potem pa potegni iz zidu žico 
za 230 V.

In tale zgornji odstavek karikativno ilustrira mojo trditev, da mora za 
varnost sistema in izvajanja programov skrbeti (dober) administrator, 
saj to ne gre prepuščati programerjem. Torej mora administrator 
preveriti tudi delovanje programov, preden jih spusti v produkcijo (temu 
se reče auditing). In pri tem je zelo zaželjeno, da administrator in 
programer nista ista oseba.

-- 
Peace!
  Mkx

---- perl -e 'print $i=pack(c5,(41*2),sqrt(7056),(unpack(c,H)-2),oct(115),10);'