Salut Laurent,
On Sun, Sep 11, 2011 at 04:43:21AM +0200, Laurent Stella wrote:
> Bonsoir ;
>
> d'accord, donc cela reste une vrai problématique. L'utilisateur (pas très
> geek) s'attend à ce que les espaces web soient isolés,
Oh non, c'est plus simple que ça, il n'y comprend rien c'est tout :-)
> ce qui pourrait être le cas avec un umask 007.
Non plus, l'umask c'est juste le mode par défaut lors de la création de
nouveaux fichiers, ce n'est pas valable si l'application fait un chown
derrière. Les clients FTP font pas exemple un chmod après l'upload du
fichier, et je ne parle même pas des accès SSH ou c'est l'utilisateur
qui choisit son umask.
> N'y aurait-il pas un module apache qui ferait comme suphp mais pour
> les fichiers statiques ?
Le module Apache ne changera rien, ce n'est pas Apache qui va lire le
fichier en o+r. Hors contenus statiques et dans ce cas c'est légitime,
le lire directement sur le système de fichier ou via HTTP ne change pas
grand chose ;-)
Par contre, dès que l'utilisateur peut executer n'importe quel binaire,
il aura accès à tous les fichiers en o+r avec son utilisateur, c'est le
cas avec PHP et avec n'importe quel programme. Et c'est juste une
nécessité d'autoriser les utilisateurs à lancer n'importe quoi pour
fournir un service complet.
> je vais regarder le patch kernel rapidement (même si ca ne m'enchante
> pas :-p )
Vu que la seule interface qui reste entre les binaires qui peuvent lire
les fichiers sont les syscalls il ne reste pas beaucoup de possibilités,
la solution est coté kernel, soit via un patch, soit en utilisant les
méchanismes de sécurité intégré au kernel (SElinux, ...).
> en tout cas merci pour ce début de réponse, tu m'as l'air bien seul
> pour assurer le support (et bien plus j'imagine).
Au plaisir ;-)
Sylvain