É aconselhável executar o Apache em uma jaula chroot?

Question

Fui avisado por um administrador de sistemas que eu conheço, para executar o Apache em uma prisão chroot, para aumentar a segurança.

Eu tenho as seguintes perguntas:

1. É aconselhável (ou seja, há alguma 'pegadinha' de que eu precise estar ciente)?
2. A execução do Apache em uma cadeia chroot afeta seus problemas de capacidade, como desempenho e escalabilidade?

Ele também recomendou que eu rodasse meus bancos de dados (mySQL e PostgreSQL), em jail chroot separados.

Isso é algo que geralmente é feito em sistemas de produção

[Editar]

Esqueci de dizer que o servidor está sendo executado no Ubuntu 8.04 LTS

    

Answer 1

O chrooting é uma boa medida de segurança, ele limita as possibilidades de comprometer o sistema no caso de uma exploração bem-sucedida, mas também há maneiras de fugir de um chroot, então não é uma maneira definitiva de proteger o sistema.

Não tenho conhecimento de qualquer desvantagem em relação ao desempenho e escalabilidade. Com relação ao acesso ao banco de dados, geralmente é feito um link para o soquete dentro do chroot, desta forma você não precisa abrir nenhuma porta de rede para conectividade de banco de dados.

EDIT: abaixo está um exemplo para o acesso ao mysql obtido de um rc.local do OpenBSD (httpd do chrooted do OpenBSD)

if [ X"${mysql_server_flags-NO}" != X"NO" -a -x /usr/local/bin/mysqld_safe ]; then
        rm -R /var/www/var/run/mysql
        mkdir -p /var/www/var/run/mysql
        chown _mysql:_mysql   /var/www/var/run/mysql
        echo -n 'MySQL server: '; /usr/local/bin/mysqld_safe --user=_mysql ${mysql_server_flags} &
        sleep 10
        ln -f /var/run/mysql/mysql.sock /var/www/var/run/mysql/mysql.sock
fi

Espero que isso ajude.

    

Answer 2

Eu tenho dois programas, um deles é o apache httpd, comunicando-se através de um soquete de domínio unix. Eu mudei-os para executar sob chroot e, em seguida,% 10 perda de desempenho. Depende dos aplicativos em execução, eu acho. Eu não ouvi nenhuma perda de desempenho para o Apache no chroot antes, então parece que meu segundo app perdeu o desempenho no chroot.