Apache mod chroot - Redigeerimiste ajalugu

I0: /* Install */

2009-02-22T19:40:14Z

Install

←Vanem redaktsioon		Redaktsioon: 22. veebruar 2009, kell 19:40
35. rida:		35. rida:
	Mina kasutasin mod_chroot moodulit lisaks koos mpm-itk toega		Mina kasutasin mod_chroot moodulit lisaks koos mpm-itk toega
	ning soovitaks maksimaalse turvalisuse saavutamiseks sellist kombinatsiooni.		ning soovitaks maksimaalse turvalisuse saavutamiseks sellist kombinatsiooni.
			(mod_chroot koos MPM itk toega töötab kuni apache versioonini 2.2.9 Alates apache versioonist 2.2.10 on mod_chroot juba apache sisse ehitatud aga seda ainult worker, prefork ja peruser MPM'dega. Kuna MPM-itk sisse pole mod_chroot'u ehitatud siis antud meetodit (MPM-itk + mod_chroot) alates apache versioonist 2.2.10 kasutada ei saa.)

	Loome vajalikud kaustad. Kaust kus hakkab elutsema chrooditud apache on edaspidi '''/home/chroot'''		Loome vajalikud kaustad. Kaust kus hakkab elutsema chrooditud apache on edaspidi '''/home/chroot'''

Jj – 6. jaanuar 2008, kell 15:32

2008-01-06T15:32:27Z

←Vanem redaktsioon		Redaktsioon: 6. jaanuar 2008, kell 15:32
1. rida:		1. rida:
	===Sissejuhatus===		===Sissejuhatus===

	chroot(2) changes the root directory of a process to a directory other than "/". It means the process is locked inside a virtual filesystem root. If \|\|\|you configure your chroot jail properly, Apache and its child processes (think CGI scripts) won't be able to access anything except the jail.

	~~There are many documents about running programs inside a chroot jail~~. ~~Some daemons (tinydns, dnscache, vsftpd) support it out of the box~~. ~~For others (like Apache) you need to carefully build a "virtual root", containing every file the program may need~~.		Chroot muudab protsessi juur failisüsteemi mingisse kindlasse kausta.
			Ehk teisitiöeldult protsess on lukustatud kindlasse kausta. Antud näites
			apache ja tema child protsessid pole võimelised pääsema kuhugi väljapoole chrootu.

			On üsnagi palju dokumente kuidas programme käivitada chroot keskkonnas. Mõned teenused
			(tinydns, dnscache, vsftpd) sisaldavad juba enda sees koodi ,et teostada chrootimist.
			Kuid päris paljud (näiteks apache) vajavad eraldi loodud "virtuaalset juurkataloogi"
			mis peab sisaldama kõiki faile mida programm vajab

	~~Creating this structure is great fun~~. ~~Run the program~~, ~~read the error message~~, ~~copy the missing file~~, ~~start over~~. ~~Now think about upgrading - you have to keep your "virtual root" current~~ - ~~if there is a bug in libssl, you need to put a new version in two places. Scared enough? Read~~ on.		Sellist struktuuri luua on suhteliselt keerukas. Käivita programm, loe veateateid,
			kopeeri puuduvaid faile, käivita taaskord. Kui mõelda veel sellise süsteemi uuendamise peale -
			näiteks kui on turvaviga libssis ning pead uue versiooni kopeerima kahte erinevasse kohta.

	Lähemalt sellest apache chroot buildimise tehnikast		Lähemalt sellest apache chroot raskemast buildimise tehnikast lingil

	http://www.faqs.org/docs/securing/chap29sec254.html		http://www.faqs.org/docs/securing/chap29sec254.html

	mod_chroot ~~allows you to run Apache in a~~ chroot ~~jail with no additional files~~. ~~The~~ chroot() ~~system call is performed at the end of startup procedure - when all libraries are loaded and~~ log ~~files open~~.		mod_chroot lihtsustab väga tugevalt apache käivitamist chroot keskkonnas. Nimelt
			chroot() käsk käivitatakse apache startimise protsessi lõpus. Kui librad on laaditud
			ning log failid avatud. Seetõttu ei pea mod_chrooti kasutades mingeid lisafaile
			kuhugi kindlasse kausta paigutada vaid saab hõlpsasti installitud apache chrootida.
			Järgnevalt sellest lähemalt.

	===Install===		===Install===

Jj – 25. oktoober 2007, kell 10:04

2007-10-25T10:04:58Z

←Vanem redaktsioon		Redaktsioon: 25. oktoober 2007, kell 10:04
1. rida:		1. rida:
	===Sissejuhatus===		===Sissejuhatus===

	\|chroot(2) changes the root directory of a process to a directory other than "/". It means the process is locked inside a virtual filesystem root. If \|\|\|you configure your chroot jail properly, Apache and its child processes (think CGI scripts) won't be able to access anything except the jail.		chroot(2) changes the root directory of a process to a directory other than "/". It means the process is locked inside a virtual filesystem root. If \|\|\|you configure your chroot jail properly, Apache and its child processes (think CGI scripts) won't be able to access anything except the jail.

	There are many documents about running programs inside a chroot jail. Some daemons (tinydns, dnscache, vsftpd) support it out of the box. For others (like Apache) you need to carefully build a "virtual root", containing every file the program may need.		There are many documents about running programs inside a chroot jail. Some daemons (tinydns, dnscache, vsftpd) support it out of the box. For others (like Apache) you need to carefully build a "virtual root", containing every file the program may need.

Jj – 25. oktoober 2007, kell 10:04

2007-10-25T10:04:51Z

←Vanem redaktsioon		Redaktsioon: 25. oktoober 2007, kell 10:04
1. rida:		1. rida:
	===Sissejuhatus===		===Sissejuhatus===

	chroot(2) changes the root directory of a process to a directory other than "/". It means the process is locked inside a virtual filesystem root. If you configure your chroot jail properly, Apache and its child processes (think CGI scripts) won't be able to access anything except the jail.		\|chroot(2) changes the root directory of a process to a directory other than "/". It means the process is locked inside a virtual filesystem root. If \|\|\|you configure your chroot jail properly, Apache and its child processes (think CGI scripts) won't be able to access anything except the jail.

	There are many documents about running programs inside a chroot jail. Some daemons (tinydns, dnscache, vsftpd) support it out of the box. For others (like Apache) you need to carefully build a "virtual root", containing every file the program may need.		There are many documents about running programs inside a chroot jail. Some daemons (tinydns, dnscache, vsftpd) support it out of the box. For others (like Apache) you need to carefully build a "virtual root", containing every file the program may need.

Jj – 25. oktoober 2007, kell 10:02

2007-10-25T10:02:32Z

←Vanem redaktsioon		Redaktsioon: 25. oktoober 2007, kell 10:02
13. rida:		13. rida:

	mod_chroot allows you to run Apache in a chroot jail with no additional files. The chroot() system call is performed at the end of startup procedure - when all libraries are loaded and log files open.		mod_chroot allows you to run Apache in a chroot jail with no additional files. The chroot() system call is performed at the end of startup procedure - when all libraries are loaded and log files open.


	===Install===		===Install===
22. rida:		23. rida:
	viimane kasutab FreeBSD jail süsteemi käske apache eraldamiseks.		viimane kasutab FreeBSD jail süsteemi käske apache eraldamiseks.

			Mina kasutasin mod_chroot moodulit lisaks koos mpm-itk toega
			ning soovitaks maksimaalse turvalisuse saavutamiseks sellist kombinatsiooni.

	Loome vajalikud kaustad. Kaust kus hakkab elutsema chrooditud apache on edaspidi '''/home/chroot'''		Loome vajalikud kaustad. Kaust kus hakkab elutsema chrooditud apache on edaspidi '''/home/chroot'''

Jj: /* Lingid */

2007-10-25T10:01:29Z

Lingid

←Vanem redaktsioon		Redaktsioon: 25. oktoober 2007, kell 10:01
85. rida:		85. rida:
	http://core.segfault.pl/~hobbit/mod_chroot/		http://core.segfault.pl/~hobbit/mod_chroot/

	~~Jailimist~~ võimaldab ka mod_security		Apache Chrootimist võimaldab ka mod_security

	http://www.modsecurity.org/documentation/modsecurity-apache/2.1.3/modsecurity2-apache-reference.html#N1034D		http://www.modsecurity.org/documentation/modsecurity-apache/2.1.3/modsecurity2-apache-reference.html#N1034D

Jj – 25. oktoober 2007, kell 09:58

2007-10-25T09:58:07Z

←Vanem redaktsioon		Redaktsioon: 25. oktoober 2007, kell 09:58
76. rida:		76. rida:

	Unable to open /etc/		Unable to open /etc/

			Muidugi pole mod_chroot mõeldud vaid php chrootimiseks. Selleks
			on juba php's endas hulga vahendeid. Mod_chroot on mõeldud kõigi
			apache moodulite vahele üheks turvakihiks (näit mod_perl, mod_ruby jpt)

	===Lingid===		===Lingid===

Jj – 25. oktoober 2007, kell 09:53

2007-10-25T09:53:45Z

←Vanem redaktsioon		Redaktsioon: 25. oktoober 2007, kell 09:53
80. rida:		80. rida:

	http://core.segfault.pl/~hobbit/mod_chroot/		http://core.segfault.pl/~hobbit/mod_chroot/

			Jailimist võimaldab ka mod_security

			http://www.modsecurity.org/documentation/modsecurity-apache/2.1.3/modsecurity2-apache-reference.html#N1034D

			Enamikel juhtudel piisab samuti lihtsalt php open basedir paikaseadmiest

			http://ee.php.net/features.safe-mode

Jj: /* Testimine */

2007-10-25T09:50:28Z

Testimine

←Vanem redaktsioon		Redaktsioon: 25. oktoober 2007, kell 09:50
44. rida:		44. rida:
	===Testimine===		===Testimine===

	Testimiseks proovime php skriptiga liikuda chroodust välja. T		Testimiseks proovime php skriptiga liikuda chroodust välja.
	Tekitame kausta /home/chroot/var/www/html		Tekitame kausta /home/chroot/var/www/html

Jj: /* Testimine */

2007-10-25T09:50:18Z

Testimine

←Vanem redaktsioon		Redaktsioon: 25. oktoober 2007, kell 09:50
44. rida:		44. rida:
	===Testimine===		===Testimine===

			Testimiseks proovime php skriptiga liikuda chroodust välja. T
	Tekitame kausta /home/chroot/var/www/html		Tekitame kausta /home/chroot/var/www/html

	mkdir -p /home/chroot/var/www/html		mkdir -p /home/chroot/var/www/html

	~~Virtualhosti~~ kirjutame kataloogiks		ja loome virtualhosti kuhu kirjutame kataloogiks

	/var/www/html		/var/www/html