Qual é o melhor usuário para gerenciar o servidor web? [duplicado]

Question

No servidor da web Apache, tenho o usuário www-data e todos os arquivos em /var/www são de propriedade de www-data . Isso não é para segurança? Às vezes eu preciso enviar arquivos via FTP para /var/www/* , mas com o meu próprio usuário eu não tenho permissão de gravação para isso.

Digamos que eu use o WordPress, que recomenda a permissão para ser 644 para arquivos e 755 para pastas. Qual é a melhor maneira de fazer isso com segurança? Eu ainda preciso fazer upload de arquivos via FTP.

    

Answer 1

Enquanto o Qual é a melhor maneira de lidar com permissões para o usuário do Apache 2, www-data em / var / www? , discutir com o problema de permissão muito bem, ele tem quase 9 anos e não segue a corrente melhores práticas. Responderei a pergunta: Qual é a melhor maneira de fazer isso com segurança?

As discussed on meta, the moved and improved version of this answer is here.

• Ter um usuário separado para cada site , ou seja, não veicular todos os sites usando www-data . Isso é importante, assim como no seu WordPress (ou qualquer outro CMS), o seu Apache não está servindo arquivos de conteúdo estático, mas executando o PHP. Se você tiver um problema de segurança em um único site, ele poderá se espalhar para todos os sites em execução como o mesmo usuário.

• O upload de arquivos via FTP não é seguro , pois envia as senhas e o conteúdo em texto simples. Por exemplo. o WordPress que você está hospedando possui informações de login do banco de dados em wp-config.php . Você deve estar usando SSH File Transfer Protocol (SFTP), em seu lugar.

  Dessa forma, você também pode adicionar chaves públicas dos administradores do seu site a ~/.ssh/uthorized_keys , tornando desnecessário que eles saibam a senha do usuário em que o site está sendo executado. (Veja Como configurar as chaves SSH no Ubuntu 16.04 ). A chave pública pessoal de SSH pode ser usada em vários sites para facilitar & acesso rápido, reduzindo o peso extra de ter várias contas.

• Use o PHP-FPM . É a abordagem atual para executar o PHP como usuário. Crie um novo pool para cada usuário, por exemplo, um pool por cada site. Isso é o melhor para segurança e desempenho, pois você também pode especificar a quantidade de recursos que um único site pode consumir.

  Ver, por exemplo, NeverandingSecurity's Executar o php-fpm com separado usuário / uid e grupo no linux . Existem tutoriais como o Usando o PHP-FPM do HowtoForge com Apache no Ubuntu 16.04 que não usa o PHP-FPM para aumentar a segurança através da separação do usuário, orientando para usar um único soquete do FPM no servidor.

Answer 2

Tom merece uma medalha por esta resposta no ServerFault.

Definir o ID do grupo da maneira como ele explica que funcionou!

• Create a new group (www-pub) and add the users to that group

  groupadd www-pub

  usermod -a -G www-pub usera ## must use -a to append to existing groups

  usermod -a -G www-pub userb

  groups usera ## display groups for user

• Change the ownership of everything under /var/www to root:www-pub

  chown -R root:www-pub /var/www ## -R for recursive

• Change the permissions of all the folders to 2775

  chmod 2775 /var/www ## 2=set group id, 7=rwx for owner (root), 7=rwx for group (www-pub), 5=rx for world (including apache www-data user)

  Set group ID ([SETGID][2]) bit (2) causes the group (www-pub) to be copied to all new files/folders created in that folder. Other options are SETUID (4) to copy the user id, and STICKY (1) which I think lets only the owner delete files.

  There's a -R recursive option, but that won't discriminate between files and folders, so you have to [use find][3], like so:

  find /var/www -type d -exec chmod 2775 {} +

• Change all the files to 0664

  find /var/www -type f -exec chmod 0664 {} +

• Change the umask for your users to 0002

  The umask controls the default file creation permissions, 0002 means files will have 664 and directories 775. Setting this (by editing the umask line at the bottom of /etc/profile in my case) means files created by one user will be writable by other users in the www-group without needing to chmod them.