Re: [vhffs] vhost et droits unix

[Sylvain Rochet <gradator@xxxxxxxxxxxx>]

Salut Laurent,


On Sun, Sep 11, 2011 at 04:43:21AM +0200, Laurent Stella wrote:
> Bonsoir ;
> 
> d'accord, donc cela reste une vrai problématique. L'utilisateur (pas très
> geek) s'attend à ce que les espaces web soient isolés,

Oh non, c'est plus simple que ça, il n'y comprend rien c'est tout :-)


> ce qui pourrait être le cas avec un umask 007.

Non plus, l'umask c'est juste le mode par défaut lors de la création de 
nouveaux fichiers, ce n'est pas valable si l'application fait un chown 
derrière. Les clients FTP font pas exemple un chmod après l'upload du 
fichier, et je ne parle même pas des accès SSH ou c'est l'utilisateur 
qui choisit son umask.


> N'y aurait-il pas un module apache qui ferait comme suphp mais pour 
> les fichiers statiques ?

Le module Apache ne changera rien, ce n'est pas Apache qui va lire le 
fichier en o+r. Hors contenus statiques et dans ce cas c'est légitime, 
le lire directement sur le système de fichier ou via HTTP ne change pas 
grand chose ;-)

Par contre, dès que l'utilisateur peut executer n'importe quel binaire, 
il aura accès à tous les fichiers en o+r avec son utilisateur, c'est le 
cas avec PHP et avec n'importe quel programme. Et c'est juste une 
nécessité d'autoriser les utilisateurs à lancer n'importe quoi pour 
fournir un service complet.


> je vais regarder le patch kernel rapidement (même si ca ne m'enchante 
> pas :-p )

Vu que la seule interface qui reste entre les binaires qui peuvent lire 
les fichiers sont les syscalls il ne reste pas beaucoup de possibilités, 
la solution est coté kernel, soit via un patch, soit en utilisant les 
méchanismes de sécurité intégré au kernel (SElinux, ...).


> en tout cas merci pour ce début de réponse, tu m'as l'air bien seul 
> pour assurer le support (et bien plus j'imagine).

Au plaisir ;-)


Sylvain

Attachment: signature.asc
Description: Digital signature