Am Donnerstag, 26. Mai 2011 schrieb Alexander Reichle-Schmehl: > Hi! > > Am 26.05.2011 12:08, schrieb Boris: > > [..] Jetzt kann ich prima Dateien dorthin uploaden und sie auch mit > > Apache anschauen, aber sie haben Dateirechte <user>:sftponly . Das > > wird absehbar Probleme machen für das CMS, das von den Usern dort > > hochgeladen werden wird. Wie bekomme ich sftp dazu, die Dateien als > > www-data:www-data zu hinterlegen? > > Könntest du etwas detailierter beschreiben, was da genau passieren > soll? So auf die schnelle klingt das nämlich so, als ob du etwas > willst, was man definitiv nicht machen sollte. > > Deine User sollten dort ein CMS hochladen können? Und CMS klingt sehr > stark nach Ausfrührbarem Kram in irgendeiner Form. Man will aber > eigentlich nicht, dass der www-date User oder die Gruppe ausführbare > Daten überschreiben / verändern kann. Maximal soll er seine > Konfiguration bzw. hochgeladene Dateien verarbeiten können, aber nicht > den ganzen Quellcode. Es ist eine Sicherheitslücke, wenn ein > potentieller Angreifer die Programme, die der Webserver ausführt, > verändern kann. Nunja, der Benutzer soll ja SFTP verwenden und wenn das - mit scponly, gutem Passwort oder passwort-geschützten SSH-Schlüssel - entsprechend abgesichert ist, finde ich das besser, als den unverschlüsselten FTP- Zugang, den die als ich das letzte Mal einen hatten, viele Webhosting- Provider verwendeten. Am ehesten käme mir hier noch in den Sinn, die Gruppe des Wurzel- Verzeichnisses für jeden Benutzer auf www-data zu setzen und dann Set Group ID Flag. So oder so sollte der Benutzer sein Joomla dann aber auch aktuell halten - und hoffen, dass der Joomla-Code sicherheitstechnisch zumindest einigermaßen okay ist... daher kann ich die Vorsicht, was ausführbaren Code im Webserver anbetrifft schon verstehen. Als Alternative käme noch in Frage, Joomla über das Paketmanagement zu installieren, sofern es hierfür Debian-Pakete gibt. Dann hätte auch das Debian Security Team ein Auge drauf. Und der Admin würde den PHP-Quelltext vorgeben. Inwiefern das aber dann so Multidomain-fähig ist, wenn es überhaupt ein Paket gibt... -- Martin 'Helios' Steigerwald - http://www.Lichtvoll.de GPG: 03B0 0D6C 0040 0710 4AFA B82F 991B EAAC A599 84C7
Attachment:
signature.asc
Description: This is a digitally signed message part.