Základ zabezpečení Apache

Zdroj: SOOM.cz [ISSN 1804-7270]
Autor: Člověk
Datum: 15.2.2007
Hodnocení/Hlasovalo: 1/1

Malilinkatej úvod do této rozsáhlé problematiky

Apache je dnes nejrozšířenějším webovým serverem na světě takže jsem se mu rozhodl věnovat pár řádků. Spíše jeho bezpečnosti.
Takže na začátek. Co se pokusíme opravit, přiblížit si nebo popsat. Bude to bezesporu .htaccess, omezení informací a které apache.
Jako první jsem napsal .htaccess. Takže pro neznalé ( když vás co to neznáte je asi minimum, ale pro jistotu… ) .htaccess je soubor, který nemá příponu ( u windows nezvyklé, ale v linuxu normální ) a tečka ta tam má opravdu být ta určuje to, že tento soubor má být skrytý ( opět v linuxu ). Takže to bychom měli název. Teď vás možná napadne: „A musí to být zrovna takhle?“ odpověď zní ne. Název tohoto souboru můžete volit pomocí direktivy AccessFileName v konfiguračním souboru apache httpd.conf. Implicitně je použito:

AccessFileName .htaccess

.htaccess vypnete tím, že zakomentujete tento řádek ( pomocí # ). A další otázka. Jsou i nějaké nevýhody .htaccess? Tentokrát vám odpovím ano jsou. Pomocí tohoto souboru lze povolit funkce v php, ale momentálně to nepovažuji za velký problém, protože jenom málo lidí v ČR ví, jak na to. Osobně jsem se to snažil najít, ale nezjistil jsem žádné konkrétní informace. Ještě dodám, že .htaccess se bude hodit jako pojístka proti DoS útokům, kterou vám popíšu v dalším článku.
Druhá věc, kterou jsem zmiňoval je skutečnost, že potenciální útočník by neměl vědět co používáme za web server. A jak by se to mohl dozvědět? Nejjednodušší je z http hlavičky, ale to my můžeme změnit a to pomocí direktivy ServerTokens , která je implicitně nastavena na

ServerTokens Full

My ale chceme co nejméně informací takže použijeme

ServerTokens Prod

Jako další je direktiva ServerSignature, která nám říká, jak se bude server identifikovat na například chybových stránkách nebo stránkách s procházením souborů. Požadované nastavení je

ServerSignature Off

A v této skupině poslední věc je, že když napíšete odkaz s atributem atribut href=““ tak webový server vám zobrazí seznam souborů v adresáři abyste si je mohly prohlížet což také není zrovna šťastné řešení takže ho vypneme. Toto nastavení zajišťuje direktiva Options. Abychom toto nežádoucí procházení souborů potlačily musíme nastavit

Options FollowSymLinks



  Toť pro dnešek vše. Doufám, že alespoň některým z vás to pomůže.