Welcome! Log In Create A New Profile

Re: /var/log/nginx

Forum List Message List New Topic Print View

Maxim Dounin

December 19, 2010 04:04PM

Hello!

On Sun, Dec 19, 2010 at 01:31:08PM +0200, Gena Makhomed wrote:

> On 16.12.2010 4:04, Maxim Dounin wrote:
>
> >>>>>А почему параноики ставят минимальные права, с которыми вообще
> >>>>>способна работать программа, на всё, до чего дотянутся - для меня
> >>>>>загадка. Видимо, потому что параноики.
>
> >>>>это называется "Principle of least privilege".
>
> >>>Я знаю, как это называется, спасибо. И очень хорошо знаю, к чему
> >>>это приводит на практике.
>
> >>вот я поэтому и задаю вопросы в этом списке рассылки, чтобы понять,
> >>какие могут быть проблемы, если добавить пользователя nginx в группу
> >>www-logs и поставить права доступа root:www-logs 0750 /var/log/nginx ?
>
> >С точки зрения nginx'а - проблем не будет (ему там вообще
> >достаточно x). С точки зрения администрирования - проблем почти
> >не будет, если не забудете включить всех заинтересованных в группу
> >www-logs.
>
> >Но, повторюсь, я не считаю ограничение прав в данном случае
> >правильным. Проблема не в правах на логи nginx'а, проблема в php
> >local file include. Подобное ещё может быть как-то уместно на
> >shared-хостинге, но уж точно не как general practice.
>
> даже если забыть о существовании PHP, и любого другого уязвимого
> софта на сервере - есть и другие причины, почему не стоит делать
> каталог с логами nginx по умолчанию all users / world readable:
>
> в отладочный лог nginx пишет в кодировка base64 login/password
> от auth_basic модуля, и если на сервере несколько пользователей,
> то совсем не обязательно, чтобы они могли смотреть в логе чужие пароли.
>
> "Secure by Default" - это ведь хороший принцип настройки софта,
> единственное "неудобство" что надо будет явно указать кому необходим
> доступ к логам работы nginx путем добавления их в группу www-logs.
>
> разве это есть правильно делать изначально уязвимую к утечкам паролей
> систему, и полагаться только на то, что администраторы об этом смогут
> самостоятельно догадаться и позакрывать эти уязвимости в permissions?
>
> в чем я неправ?

Debug в логах - по умолчанию выключен. И если используется
auth_basic и администратор включает debug - то только тогда
возникает необходимость закрытия логов.

Maxim Dounin

_______________________________________________
nginx-ru mailing list
nginx-ru@nginx.org
http://nginx.org/mailman/listinfo/nginx-ru

Reply Quote

RSS

Subject	Author	Posted
/var/log/nginx	Gena Makhomed	December 14, 2010 01:06PM
Re: /var/log/nginx	Gena Makhomed	December 14, 2010 01:22PM
Re: /var/log/nginx	Maxim Dounin	December 14, 2010 01:52PM
Re: /var/log/nginx	Gena Makhomed	December 14, 2010 03:00PM
Re: /var/log/nginx	Igor Sysoev	December 14, 2010 04:46PM
Re: /var/log/nginx	Gena Makhomed	December 15, 2010 02:00PM
Re: /var/log/nginx	Maxim Dounin	December 14, 2010 07:38PM
Re: /var/log/nginx	Gena Makhomed	December 15, 2010 02:38PM
Re: /var/log/nginx	Alexey V. Karagodov	December 15, 2010 02:52PM
Re: /var/log/nginx	Gena Makhomed	December 15, 2010 03:32PM
Re: /var/log/nginx	Rauf Kuliyev	December 15, 2010 04:42PM
Re: /var/log/nginx	Alexey V. Karagodov	December 15, 2010 04:44PM
Re: /var/log/nginx	Maxim Dounin	December 15, 2010 05:24PM
Re: /var/log/nginx	Gena Makhomed	December 15, 2010 06:30PM
Re: /var/log/nginx	Maxim Dounin	December 15, 2010 09:06PM
Re: /var/log/nginx	Gena Makhomed	December 16, 2010 06:12AM
Re: /var/log/nginx	Alexander Kardailsky	December 16, 2010 06:22AM
Re: /var/log/nginx	Anton Farygin	December 16, 2010 07:36AM
Re: /var/log/nginx	greenh	December 16, 2010 07:42AM
Re: /var/log/nginx	Gena Makhomed	December 19, 2010 06:32AM
Re: /var/log/nginx	Maxim Dounin	December 19, 2010 04:04PM
Re: /var/log/nginx	Gena Makhomed	January 06, 2011 05:40AM
Re: /var/log/nginx	Pavel V.	January 09, 2011 03:40PM
Re: /var/log/nginx	kav	January 09, 2011 04:04PM
Re: /var/log/nginx	Alexander Engel	January 09, 2011 04:16PM
Re: /var/log/nginx	kav	January 09, 2011 04:48PM
Re: /var/log/nginx	Александр Лозовюк	January 09, 2011 04:52PM
Re: /var/log/nginx	kav	January 09, 2011 10:50PM
Re: /var/log/nginx	Gena Makhomed	December 14, 2010 03:50PM
Re: /var/log/nginx	Igor Sysoev	December 14, 2010 04:50PM
Re: /var/log/nginx	Maxim Dounin	December 14, 2010 08:04PM
Re: /var/log/nginx	Maxim Dounin	December 14, 2010 08:02PM
Re: /var/log/nginx	Peter Vereshagin	January 14, 2011 10:04AM
Re: /var/log/nginx	Pavel V.	January 14, 2011 01:54PM
Re: /var/log/nginx	Maxim Dounin	January 14, 2011 03:02PM
Re: /var/log/nginx	Pavel V.	January 15, 2011 12:36PM
Re: /var/log/nginx	Sergej Kandyla	January 17, 2011 04:46AM
Re: /var/log/nginx	Pavel V.	January 17, 2011 11:30AM
Re: /var/log/nginx	Peter Vereshagin	January 15, 2011 08:36AM
Re: /var/log/nginx	Pavel V.	January 15, 2011 12:18PM
Re: /var/log/nginx	Gena Makhomed	January 15, 2011 12:52PM
Re: /var/log/nginx	Pavel V.	January 15, 2011 01:20PM
Re: /var/log/nginx	Peter Vereshagin	January 16, 2011 02:40AM
Re: /var/log/nginx	Pavel V.	January 16, 2011 10:54AM
Re: /var/log/nginx	Peter Vereshagin	January 17, 2011 04:58AM
Re: /var/log/nginx	Peter Vereshagin	January 18, 2011 06:48AM

Sorry, only registered users may post in this forum.

Click here to login

Online Users

Guests: 260

Record Number of Users: 8 on April 13, 2023

Record Number of Guests: 421 on December 02, 2018