O chroot é possível com o apache 2.4 no RHEL 7? Faz sentido chroot?

Question

Eu fiz minha pesquisa e descobri que as pessoas não têm certeza se o chroot é útil na segurança. Eu tenho essas perguntas deixadas sem resposta. O chroot vale a pena se sim pode ser feito para o httpd 2.4 no rhel 7? Por favor, compartilhe qualquer recurso ou referência. Se não, o que pode ser uma maneira equivalente de proteger o servidor web?

Obrigado antecipadamente.

    

Answer 1

Isso já foi discutido antes: Como fazer o chroot do Apache no CentOS?

Sim, é possível fazer o chroot no apache. No apache 2.4 você precisa do módulo mod_unixd ( link ). Esta página explica como fazer isso: link Apesar de alegar ser um guia para o Debian, ele ainda deve funcionar para o RHEL, já que o guia simplesmente menciona quais diretivas usar no apache 2.4.

Dito isto, não acho que os benefícios percebidos valiam os custos. Este antigo documento (maio de 2004) discute os prós / contras do apache de chrooting. Uma frase chave do artigo:

Installing Apache in a chroot jail does not make Apache itself any more secure. Rather, it serves to restrict the access of Apache and its child processes to a small subset of the filesystem. The advantage in chrooting a process is not in preventing a breakin, but rather in containing a potential threat.

E, como a pergunta / resposta acima mencionada diz, um método muito melhor para conter breakins é usar o recurso de segurança já fornecido do RHEL: SELinux. A maioria dos administradores simplesmente desativa a instalação para que eles não tenham que lidar com a dor de cabeça. No entanto, um pouco de tempo aprendendo esse poderoso recurso economizará muito mais dor de cabeça no caminho.

    

Answer 2

Se você realmente quiser proteger seu sistema, considere usar o SELinux e uma cadeia chroot do Apache. O RHEL7 é semelhante ao centos7, ambos executam o apache 2.4, então isso pode ajudar:

link