Online lesen (PDF) - Lingoworld IT-Bücher

802
ScriptAlias-Verzeichnisse für CGI verwenden
Es ist ein relativ großes Sicherheitsrisiko, Verzeichnisse unterhalb der DocumentRoot
für CGI-Anwendungen freizuschalten. Sie sollten deshalb nach
Möglichkeit ScriptAlias-Verzeichnisse verwenden. In manchen Situationen
lässt es sich allerdings nicht verhindern, CGI innerhalb normaler Site-
Verzeichnisse zu aktivieren – das ist beispielsweise der Fall, wenn Sie Hosting-Dienstleistungen
mit virtuellen Hosts anbieten. Näheres zu diesem
Thema finden Sie in Kapitel 14, CGI.
Eine separate User- und Group-ID für Apache benutzen
Auf UNIX-Systemen muss Apache unter der User-ID root gestartet werden,
beispielsweise weil der Zugriff auf die TCP-Ports 0 bis 1023 anders nicht
möglich ist. Die Child-Prozesse, die Anfragen bearbeiten, werden allerdings
unter den IDs ausgeführt, die Sie mithilfe der Direktiven User und Group
festgelegt haben. Achten Sie darauf, dass dieser Benutzer und diese Gruppe
speziell für Apache angelegt werden. Das Benutzerkonto sollte keine Möglichkeit
zur persönlichen Anmeldung besitzen; sogar das Passwort sollten Sie
nach der Eingabe vergessen.
Übrigens besteht auch unter Windows die Möglichkeit, einen separaten
Benutzer für den Betrieb von Apache einzurichten. Das Verfahren wurde in
Kapitel 5, Apache in Betrieb nehmen, ausführlich erläutert.
Regelmäßige Updates durchführen
Open-Source-Software besitzt zahlreiche Vorteile gegenüber kommerziellen
Programmen. Einer der wichtigsten ist die schnellere Erkennung von Sicherheitslücken
und die meist ebenso prompte Bereitstellung von Patches. Wichtig
ist allerdings, dass Sie diese Patches auch einspielen; zahlreiche Angriffe
sind nur deshalb erfolgreich, weil die zuständigen Admins dies monatelang
versäumt haben. Sie sollten zumindest stets die neueste Release von Apache
installieren, weil darin jeweils alle bisher bekannten Sicherheitslücken
geschlossen werden. Die Devise »Never change a running system« gilt hier
nicht!
Allein der Wechsel von 2.0.54 zu 2.0.55 hat mehrere Sicherheitslücken
geschlossen, wenn auch für unterschiedliche Plattformen. Eine vollständige
Liste der Änderungen in allen Versionen von Apache 2.0, einschließlich
Sicherheitslücken und Gegenmaßnahmen dazu, finden Sie in der Datei
www.apache.org/dist/httpd/CHANGES_2.0. Diese Datei ist übrigens auch
Teil jeder Apache-Distribution.
Andererseits sollten Sie Apache 2.1/2.2 noch nicht für ein wichtiges Produktivsystem
einsetzen, solange die Software sich offiziell im Betastadium befin-
Sicherheit