From: Mark Seuffert (Pirates) (captain_at_pirate.de)
Date: 19. Nov 1998
[mailed+posted]
Hai,
ich frag mich ob es nicht eine sicherere Alternative gibt um "besonders
berechtigte Scripte" als CGI ablaufen zu lassen?
Normalerweise wird ja empfohlen einen eigenen kleinen Webserver zu
schreiben, falls man root-Berechtigung für CGI-Scripte braucht. Webserver
gibt es ja auch als Sourcecodes für Perl, funktioniert inkl Host/Passwort-
Authentifizierung gut (hab so ein kleines Webchat gebastelt).
Aber ich suche oft auch noch nach einer "kleineren" Lösung: Nehmen wir an
wir verlassen uns auf Apache und die Host/Passwort Authentifizierung via
.htaccess (ausserdem kann ja das Firewall Zugriffe von aussen zusätzlich
abblocken).
Mir schwebt dann zB vor, das Perl-Script nur über einen extra Apache-
Webserver mit eigener UserID (wwwsecure) starten zu lassen. Extra UserID
damit nicht jedes andere Dummuser-CGI-Script die besonderen Rechte nutzen
kann oder gar dieses Script verändern kann -> GAU.
Dann könnte man ein setuid-C-Wrapper schreiben, der wiederum nur die
gewünschten wenigen Befehle ausführen darf (in meinem Fall passwd) und
auch nur von UserID wwwsecure aufgerufen werden darf.
Klar das ganze hängt am seidenen Faden "Apache", kann man den knacken,
kann man die Befehle ausnutzen die der C-Wrapper anbietet. Aber setzt man
noch ein kleines Firewall davor (ipfwadm zB bei Linux) könnte man dann
sagen das Ganze wäre vertretbar?
Der Artikel "Wie von Geisterhand" (1997 Linux-Magazin) von Michael Schilli
hat mich drauf gebracht.
Gruss, /\/\ a r k
-- Pirates Communication Kreative Software & Internet Wilhelmstrasse 5 http://www.pirate.de D-69115 Heidelberg fone: 06221/601875 fax: 06221/601876 . . . . . . . . . . . . . _.´(._.´(._.´(._.´(._.´(._.´(._.´(._.´(._.´(._.´(._.´(._.´(._.´(._.Liebende schliessen beim Kuessen die Augen, weil sie mit dem Herzen sehen moechten. (Daphne du Maurier)
Dieses Archiv wurde generiert von hypermail 2.1.2 : 11. Mar 2002 CET