11. juni 2004 - 15:53Der er
8 kommentarer og 1 løsning
Jeg er bekymret: passwords og Chmod indstillinger
Hejsa
jeg er ved at teste et CMS. Navnet er underordnet. Men det er et opensource system, af de mindre kendte.
Pointen er, at for at koble MySql database på skulle man, som en led i installationsprocessen, gå ind i en .php fil og skrive navne på mysql host samt password. Det virker og jeg er som sagt i gang med at teste systemet, MEN.....
er der et risikomoment ved at password ligger derinde et sted? Kan en ondsindet bruger få fingrene på oplysningerne?
Jeg har spurgt udvikleren, men har ikke fået noget svar endnu.
Også en anden ting der nager mig er, at jeg var nødt til at indstille de fleste mapper på CHMOD 777 for at komme af med de mange fejlmeddelelser, som det ellers haglede med.
Men - da den har .php endelse og sikkert ikke fyrer en echo $pass af - så er det vel kun et spørgsmål om hvem der har adgang til disksystemet / stole på udbyderen etc.
Brugernavn og password SKAL jo ligge et eller andet sted - hvordan skulle den ellers tilgå databasen... Om det er kodet direkte ind i database forespørgslerne eller lagt i en konfigurationsfil er underordnet, da begge er i .php tekstfil format - samme (u)sikkerhed.
umiddelbart er det ikke en sikkerhedsrisiko - det er såddan man normalt gør det. for det første kan en bruger ikke få fat på oplysningerne, da du ikke direkte kan se kildekoden af et php-script, fra klientens side. jeg har dog set eksempler på crashede servere, der sender filen igennem i klar tekst, uden at fortolke det (og så vil man kunne læse passwords'ene). løsningen på dette er, at placere den slags oplysninger i et phpdokument, der ligger uden for www-serverens root. altså - hvis du har en mappe, der hedder /home/www/ hvori dine filer ligger, så lægger du den slags filer i eks. /home/
lige nøjagtigt database-password vil en evt. hacker nok ikke have så meget ud af, da han som regel kun kan forbinde til den fra localhost (altså fra serveren selv)
men det er altsammen paranoia - i praksis behøver du ikke bekymre dig - det er såmen sikkert nok. risiciene liggger snarere i det menneskelige led (små gule post-it sedler med passwords, fæstet til dine brugeres skærme)
Det eneste store problem kan være, hvis der er andre brugere direkte på serveren. De fleste webhoteller har derfor sat PHP til at køre i safe-mode med basedir-restrictions, så et php-script ikke kan læse filer uden for ejerens eget område.
Hvis der er andre script-sprog til rådighed på serveren, skal de også have lignende begrænsninger, ellers kan enhver bruger på maskinen pille ved dine data.
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
