nntp2http.com
Posting
Suche
Optionen
Hilfe & Kontakt

Neues Kernellevel Sicherheitsmodell im Shared Hosting Bereich

Von: Olaf Kilian (consult@kkis.net) [Profil]
Datum: 11.03.2005 22:26
Message-ID: <2eda9$42320cfd$d9e109b9$30152@news.usenext.de>
Followup-to: de.comm.provider.webspace
Newsgroup: de.comm.infosystems.misc de.comm.provider.webspace
Das von KKIS.NET speziell für den Shared Hosting Bereich entwickelte
Sicherheitsmodell funktioniert auf Kernelebene und unterbindet Zugriffe
auf fremde Webroots via CGI und PHP vollständig, ohne dabei die
Funktionalität der Schnittstellen einzuschränken (safemode,
etc).

Das Modell basiert auf Linuxkerneln und Modifikationen der System Calls
readdir(2) und exec(2), sowie einiger Funktionen in fs/namei.c, die bei
Linux für die Steuerungen von Zugriffsrechten auf Dateisystemebene
zuständig sind. Dadurch wird erreicht, dass CGI und PHP Scripte, welche
über suexec mit eigener UID und GID ausgeführt werden, nicht
mehr in
der Lage sind auf Daten zuzugreifen die Ihnen nicht explizit gehören,
selbst wenn sie über Lese- oder Schreibberechtigung auf diese
verfügen
(Beispielsweise o+rx für Apache). Dies schlißt  auch das Auflisten
von Verzeichnisinhalten ein. Dadurch ist ein CGI oder PHP Script nicht
mehr in der Lage Inhalte von Verzeichnissen oder sich darin befindliche
Dateien zu listen oder zu verändern, deren UID und GID nicht die
gleichen sind wie die mit denen es ausgeführt wird.

Sicherheitslücken in CGI und PHP Programmen haben somit keine
Auswirkung mehr auf Daten die nicht direkt dem Besitzer des Scripts
gehören. Diesschränkt den Aktionsradius eines
möglichen Angreifers
in der Regel auf ein einziges Verzeichnis ein. Auch mögliche lokale
Angriffe wie der Zugriff auf .htaccess Dateien, das Auflisten von
geschützten Verzeichnissen und das gezielte Manipulieren von Dateien
mit zu lax gesetzten Berechtigungen (o+rw) durch andere Hostingbenutzer
werden damit vollständig unterbunden. Das Verfahren ist für
den
Benutzer transparent und die gewohnte Funktionalität von CGI und PHP
wird dadurch nicht beeinträchtigt.

Das neue Sicherheitsmodell ist Bestandteil aller bei KKIS.NET
erhältlichen Webhostingleistungen und ohne Aufpreis in allen Angeboten
enthalten. Mehr über die Webhostingangebote und Consultingleistunge
von KKIS.NET erfahren Sie unter http://www.kkis.net.


Mit freundlichen Grüßen

Olaf Kilian
--
KKIS.NET
eBusiness Solutions
http://www.kkis.net
consult@kkis.net
[ Auf dieses Posting antworten ]

Antworten