RootForum Community

Hab hier mal nen interessanten Artikel gefunden zum Thema Sicherheit:
"I heard that running the server as "root" is a bad idea. Is this true?"
http://linux-mirror.org/wwwsf3.html#SVR-Q3

Meine Frage nun an alle, die nicht genug bekommen können und jeden noch so kleinen Dienst (und wenn es der su-Befehl selbst wäre) versuchen in eine einzelne chroot-Umgebung zu stecken und vor Sicherheit den Überblick verlieren:
Was haltet ihr davon?
Glaubt ihr nicht ihr übertreibt mit eurer Sicherheit?

Ich komme seit einigen Jahren auf meinen Servern ohne chroot und mod_security für apache bestens aus.
Die meisten Dienste laufen nur mit sicherheitsoptimierten Konfiguration.
Lediglich der SSH ist 99,9%-ig abgesicherheit, natürlich auch nicht im chroot (Portänderung, Pubkeys usw.).
Damit hab ich schon einige Hackerangriffe überlebt.

cRoC wrote: Glaubt ihr nicht ihr übertreibt mit eurer Sicherheit?

Ich komme seit einigen Jahren auf meinen Servern ohne chroot und mod_security für apache bestens aus.

Von einer Konfigurationmethode "Pro Kunde - ein chroot" halte ich selbst auch nichts.
Was aber ein starker Trugschluß von dir ist, ist die Tatsache das du deinen Webapplicationen 100% vertrauen schenkst.
Wenn du aufm dem Server 100 statische html Dateien betreibst und dazu 100 downloads, finde ich dies wiederrum auch nicht wild.
Sobald aber Scripte ins Spiel kommen und vorallem Scripte die nicht von dir selbst sind wird es verdammt heikel.
Wenn du dir mal security Foren/Seiten anschaust wirst du sehen das jede woche etliche Exploits für Websoftwareprojekte rauskommt, die auf sehr vielen Servern installiert sind.
In diesem Fall ist deine Konfiguration ein Amoklauf.

Es kommt also immer drauf an was man tatsächlich tut um sagen zu können es reicht nun an Vorkehrungen.

cRoC wrote:
Glaubt ihr nicht ihr übertreibt mit eurer Sicherheit?

Nein. Ich fahre für jeden kritischen Kunden einen BSD-Jail (kostet natürlich extra). Pflegeleichte Kunden mit überschaubaren Anwendungen kommen zusammen in einen BSD-Jail. Mailsysteme mit ähnlichen Anforderungen kommen auch zusammen in BSD-Jails.

Alles in allem habe ich so einen recht guten Kompromiss zwischen Sicherheit und Ressourcenausnutzung.

Übrigens ist Chrooten ohne gesperrte Syscalls nicht unbedingt sehr sicher: wenn der Angreifer auf Netzwerkverbindungen, /proc oder /dev zugreifen kann, bringt das ganze Chrooten wenig. Aber die Diskussion hatten wir ja schon vor ein paar Tagen.