SUSE LINUX 9.3

Kapitel 30. Der Webserver Apache / 30.10. Sicherheit
	30.9. Virtuelle Hosts		30.11. Fehlerbehebung

30.10. Sicherheit

30.10.1. Das Risiko gering halten

Wenn man auf einem Rechner keinen Webserver benötigt, sollte man Apache im Runlevel-Editor deaktivieren, deinstallieren bzw. erst gar nicht installieren. Jeder Server, der auf einem Rechner nicht läuft, ist eine Angriffmöglichkeit weniger. Dies gilt insbesondere für Rechner, die als Firewalls dienen, auf diesen sollten grundsätzlich nach Möglichkeit keine Server laufen.

30.10.2. Zugriffsrechte

30.10.2.1. DocumentRoot sollte `root` gehören

Gemäß der Voreinstellung gehören die DocumentRoot (das Verzeichnis /srv/www/htdocs) und das CGI-Verzeichnis dem Benutzer root. Das sollte man auch so belassen. Sind diese Verzeichnisse für jedermann beschreibbar, kann dort jeder Benutzer Dateien ablegen. Diese Dateien werden dann von Apache ausgeführt, und zwar als Benutzer wwwrun. Der Apache-Server sollte keine Schreibrechte auf die Daten und Skripten haben, die er ausliefert. Deshalb sollten diese nicht dem Benutzer wwwrun, sondern zum Beispiel root gehören.

Möchte man Benutzern die Möglichkeit geben, Dateien im Dokument-Verzeichnis von Apache unterzubringen, so sollte man, anstatt dieses für alle beschreibbar zu machen, ein für alle beschreibbares Unterverzeichnis einrichten, zum Beispiel /srv/www/htdocs/wir_ueber_uns.

30.10.2.2. Dokumente aus dem eigenen Home-Verzeichnis veröffentlichen

Wenn Anwender eigene Dateien ins Netz stellen wollen, kann man dafür in der Konfigurationsdatei ein Verzeichnis im Home des Benutzers festlegen, in dem er Dateien für die Web-Präsentation ablegen kann (üblicherweise ist dies ~/public_html). Dies ist bei SUSE LINUX per Voreinstellung aktiviert; die Einzelheiten sind in Abschnitt 30.6.2.16, „UserDir“ beschrieben.

Auf diese Webseiten kann dann unter Angabe des Benutzernamens in der URL zugegriffen werden, das heißt die URL enthält die Bezeichnung ~username als Kürzel für das entsprechende Unterverzeichnis im Home-Verzeichnis des Benutzers. Ein Beispiel: Die Eingabe der URL http://localhost/~tux in einem Browser zeigt die Dateien aus dem Unterverzeichnis public_html im Home-Verzeichnis des Benutzers tux an.

30.10.3. Immer auf dem Laufenden bleiben

Wer einen Webserver betreibt, sollte — besonders wenn dieser Webserver öffentlich verfügbar ist — immer auf dem neuesten Stand bleiben, was Fehler und die dadurch möglichen Angriffsflächen angeht. Quellen für die Recherche nach Exploits und Fixes sind in Abschnitt 30.12.3, „Sicherheit“ aufgelistet.