Como você segura a galeria de fotos da “galeria”?

Question

Há alguma medida especial que deve ser tomada para proteger a Galeria ? Especificamente, atualmente tenho o Fedora RPM gallery2-2.3-1.fc8 instalado. Eu tenho selinux habilitado no modo de destino, que é uma boa camada de proteção. Eu encontrei a documentação de segurança da Galeria . Eu estava apenas imaginando se havia algo mais que eu deveria olhar para garantir que isso seja seguro contra ataques externos.

Estou muito menos preocupado com o ataque local. Eu só quero garantir que expondo isso à internet pública não vai ter meu servidor hackeado.

    

Answer 1

A Gallery arrecadou dinheiro para auditorias de segurança dos pacotes principais. Eles fazem um bom trabalho. Eu confiaria mais em eles do que em wordpress, por exemplo. Ambos os produtos sofrem com o mesmo problema, nenhum dos plugins é protegido por sandbox e muitas vezes fazem coisas estúpidas. Mantenha a luz nos plugins (o núcleo ou os mais populares) e você ficará bem.

Além disso, tente executar cada aplicativo como um usuário diferente, para conter violações de segurança. E mantenha a pasta de dados da galeria fora da raiz do documento. Gallery também gosta de memória, por isso, se você pode aumentar um pouco o limite de memória do seu PHP, isso sempre melhora o desempenho.

    

Answer 2

Os documentos de segurança do Gallery são bem detalhados; Se você protege muito o Gallery, sua principal preocupação deve ser outros caminhos de ataque, como bugs no próprio php ou no ssh ou qualquer outro serviço que esteja executando.

    

Answer 3

A própria galeria parece bastante segura, apenas garanta que você execute as últimas versões estáveis e mantenha-se atualizado sobre as atualizações.

    

Answer 4

concordado; A equipe da Gallery é muito boa em manter seu código bem mantido.

Dito isto, a melhor segurança para qualquer aplicativo PHP é o próprio servidor. Certifique-se de não estar executando o Apache como root, não perca tempo com o chamado safe_mode, desabilite índices de diretório, não deixe arquivos de backup (como os arquivos foo.bar ~ do vi em torno de um arquivo de configuração contendo sua senha mysql pode ser armazenado) ao redor.

    

Answer 5

Com a política de segmentação do SELinux ativada, você deve realmente verificar com que contexto / domínio do SELinux sua rede está voltada para os serviços (ou o usuário local). Experimente a opção -Z para ps. se for unconfined_u: unconfined_r: unconfined_t não está fazendo muito por você. Você pode mudar isso, é claro, instalando o módulo de política correto instalado (consulte ferramentas como seinfo, semanage, semodule). Se você não tiver uma política definida para o serviço / aplicativo, precisará criá-la. Existem ferramentas que ajudam nisso, como SLIDE (plug-in do eclipse) e seedit. Você precisará examinar seus logs de auditoria (normalmente /var/log/audit/audit.log)