1

Я часто строю веб-сайт с некоторой серверной обработкой в виде стека LAMP. В этих ситуациях я удивляюсь, почему мне нужна вся эта головная боль с разрешениями пользователей Linux. У меня нет прямых пользователей (только посетители сайта).

Мне кажется, что Linux пытался быть многопользовательским, но потерпел неудачу / проиграл. Основная идея ранних версий Linux / Unix состояла в том, чтобы сделать большие вычислительные ресурсы доступными для нескольких пользователей. В настоящее время эта задача ставится перед ПО виртуализации, а не ОС. В Linux практически невозможно что-либо сделать без пароля sudo, и даже без предоставления паролей sudo трудно гарантировать конфиденциальность между пользователями. Программное обеспечение виртуализации, с другой стороны, прекрасно справляется со своей задачей.

Так мы застряли в каком-то унаследованном беспорядке из старых времен? Можно ли раздеть всю многопользовательскую штуку? Это было сделано где-нибудь? Это обсуждалось раньше? Поможет ли это вообще? Я неправ в некоторых / многих отношениях?

Спасибо за ваши мудрые комментарии, хотя есть одно правило: нельзя говорить «безопаснее / лучше…» без каких-либо конкретных причин, чтобы продемонстрировать это утверждение.

1 ответ1

3

Итак, у вас есть простое PHP-приложение, которое работает с привилегиями root. Работает хорошо, все хорошо.

Однажды была опубликована новая уязвимость PHP. Прежде чем вы сможете исправить это, кто-то использует его и получает доступ к системной оболочке через PHP. Сначала он просто хочет сбросить вашу базу данных (для учетных данных пользователя) и, возможно, установить какой-нибудь вредоносный Javascript, но затем он понимает, что он root!

Он добавляет вашу машину в свой ботнет, устанавливает новый модуль аутентификации, который будет хранить ваш пароль при входе в систему, и запускает скрытый SSH-сервер, чтобы он мог по-прежнему получать доступ к коробке после исправления ошибки PHP. Прежде чем вы поймете, что произошло, пароль вашего сервера известен злоумышленнику, и на сервере размещен веб-сайт его сомнительно легального бизнеса.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками .