ПРОЕКТЫ 


  АРХИВ 


Apache-Talk @lexa.ru 

Inet-Admins @info.east.ru 

Filmscanners @halftone.co.uk 

Security-alerts @yandex-team.ru 

nginx-ru @sysoev.ru 


  СТАТЬИ 


  ПЕРСОНАЛЬНОЕ 


  ПРОГРАММЫ 



ПИШИТЕ
ПИСЬМА












     АРХИВ :: nginx-ru
Nginx-ru mailing list archive (nginx-ru@sysoev.ru)

[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: /var/log/nginx



On 16.12.2010 4:04, Maxim Dounin wrote:

А почему параноики ставят минимальные права, с которыми вообще
способна работать программа, на всё, до чего дотянутся - для меня
загадка.  Видимо, потому что параноики.

это называется "Principle of least privilege".

Я знаю, как это называется, спасибо.  И очень хорошо знаю, к чему
это приводит на практике.

вот я поэтому и задаю вопросы в этом списке рассылки, чтобы понять,
какие могут быть проблемы, если добавить пользователя nginx в группу
www-logs и поставить права доступа root:www-logs 0750 /var/log/nginx ?

С точки зрения nginx'а - проблем не будет (ему там вообще
достаточно x).  С точки зрения администрирования - проблем почти
не будет, если не забудете включить всех заинтересованных в группу
www-logs.

Но, повторюсь, я не считаю ограничение прав в данном случае
правильным.  Проблема не в правах на логи nginx'а, проблема в php
local file include.  Подобное ещё может быть как-то уместно на
shared-хостинге, но уж точно не как general practice.

даже если забыть о существовании PHP, и любого другого уязвимого
софта на сервере - есть и другие причины, почему не стоит делать
каталог с логами nginx по умолчанию all users / world readable:

в отладочный лог nginx пишет в кодировка base64 login/password
от auth_basic модуля, и если на сервере несколько пользователей,
то совсем не обязательно, чтобы они могли смотреть в логе чужие пароли.

"Secure by Default" - это ведь хороший принцип настройки софта,
единственное "неудобство" что надо будет явно указать кому необходим
доступ к логам работы nginx путем добавления их в группу www-logs.

разве это есть правильно делать изначально уязвимую к утечкам паролей
систему, и полагаться только на то, что администраторы об этом смогут
самостоятельно догадаться и позакрывать эти уязвимости в permissions?

в чем я неправ?

--
Best regards,
 Gena


_______________________________________________
nginx-ru mailing list
nginx-ru@xxxxxxxxx
http://nginx.org/mailman/listinfo/nginx-ru


 




Copyright © Lexa Software, 1996-2009.