Pergunta : Perl + Unix: Melhores práticas da segurança da transferência de arquivo pela rede da lima

Olá! todos,

I am um programador do Perl do veterano, mas razoavelmente novo à segurança de Unix. Eu tenho usado o módulo do cgi por muito tempo para segurar transferências de arquivo pela rede, mas não paguei realmente muita atenção às questões de segurança. até aqui. negócios da pergunta do

This especificamente com Unix, os usuários, os grupos, as permissões da lima e as posições do diretório. Eu não tenho nenhum problema fazer a multa do trabalho das transferências de arquivo pela rede apenas, mas eu estou querendo saber o que as melhores práticas are.

Here são minha pergunta específica: o

- eu não sou um usuário privilegiado neste system
- do linux meus certificados todos do Perl funcionados sob o usuário “apache” e sou um membro o Br/>- do apache'< do grupo 'nenhuma diretórios ou as limas que eu me crio são criadas com o proprietário “tom” e grupo 'o Br/>- do dev'< eu não tenho permissões à transferência de arquivo pela rede do chown ou do chgrp
- I sempre a um diretório eu criei 'a falha chamada das transferências de arquivo pela rede do Br/>- do uploads'< a menos que o diretório das “transferências de arquivo pela rede” chmodded a 777 <-- SEGURANÇA RISK

Since eu não posso do “as transferências de arquivo pela rede do colaborador chown” que me permitiriam pelo menos ao “chmod 774 transferências de arquivo pela rede” que outro pode mim fazer?

Thanks para seu conselho útil adiantado,

Tom class= do

Resposta : Perl + Unix: Melhores práticas da segurança da transferência de arquivo pela rede da lima

No caso que você é agora, mim faria estas recomendações:
- Criar um sistema de arquivo separado sem o atributo executável. /tmp/yourfolder podia ser bastante. Isto tomará do fato que você precisa de ter transferências de arquivo pela rede limitadas, assim que um filesystem separado de /tmp é a melhor coisa a fazer com um linux na produção. se você não tem aquele, você pode pedir a raiz para criar uma lima e para montá-la como um filesystem separado, com a opção do noexec. isso trabalhará assim como.
  Neste caso, se o ponto de montagem é possuído pela raiz e pelo grupo “apache”, você precisa de ajustar estas permissões no tempo da montagem: 2775 para as limas, e asseguram limas estão em 664 com apache: apache como o proprietário: grupo.

- Pedir a raiz para criar um crontab que toma estas limas do dobrador e do apache provisórios: permissões de apache, ao diretório final com as permissões e a posse corretas. dizer o wwwdata: wwwgroup e permissões 664 para limas e 775 para diretórios. Aquele será bastante para que apache alcance mas escreve sem permissões.

- Nunca. Nunca esquerda as limas em seu web server possuído pelo mesmo usuário que está funcionando apache. isso é porque eu recomendo criar algo como o wwwdata: wwwgroup

Esperar esta ajuda você. Eu tenho este tipo da instalação funcionar no tráfego muito elevado e em Web site muito sensíveis sem problemas.