On Fri, 28 Aug 2009 19:41:01 +0400 Alexey Pechnikov <pechnikov@mobigroup.ru> wrote: > Hello! > > On Friday 28 August 2009 19:24:59 Alexander Galanin wrote: > > Ты меня не понял. То, что тебе приходится возиться с sudo и запускать от > > www-data --- тоже проблема, созданная тобой. > > И в самом деле не понял. Вы предлагаете запускать веб-сервер с правами > пользователя, имеющего ssh доступ, неурезанный шелл и проч.? Я-то > говорил о запуске от имени пользователя и переключением на www-data, > вместо запуска пользователем через sudo и сменой юзера/группы на www-data. > Соответственно, домашняя директория www-data урезана в правах только > на чтение. Делать запуск от имени пользователя - потенциальная дыра, > а т.к. пользователь имеет право записи в свою домашнюю директорию, то > принципиально возможно туда нечто закачать через веб-сервер и запустить > (какой-нибудь макрос для ООО, который имхо далеко не доверенное > приложение). Каша какая-то. Ты не различаешь разработку и эксплуатацию? Соответственно, при разработке программист имеет полный доступ ко всему коду проекта и запускает его как хочет. О какой защите веб-сервера можно говорить, если тот, от кого ты взялся его защищать, имеет полный доступ к исходникам? Во время эксплуатации же действительно надо запускать от ограниченной учётной записи, с перекрытым доступом на запись и т.д. Только вот не надо говорить, что отладка ведётся на "боевом" сервере. -- Alexander Galanin http://galanin.nnov.ru
Attachment:
pgpLTzXDooh4E.pgp
Description: PGP signature