nicht angemeldet
Sicherheit auf dynamische Verzeichnisse
Hallo, einen guten Morgen selfer,
Versuche einen gesichertern Uploadbereich für User einzurichten, in welchem diese uploaden und downloaden können. Jeder User soll dabei ein eigenes Verzeichnis erhalten (wird automatisch bei der Anmeldung mit angelegt, bekommt nur Schreibrechte). Nun soll jedesmal wenn der User was hoch oder herrunterlädt die Rechte des Verzeichnisses mit chmod so gesetzt werden, das er es kann. Wenn er was hochlädt dann müssen theoretisch keine Rechte gesetzt, nur beim Download würde ich auf der ensprechenden Seite die Rechte so Setzten das dieser auch lesen kann.
Hat jmd. sowas ähnliches schonmal realisiert? Mich intressiert ob das ne realativ sichere Methode ist oder nicht, bzw. gibt es alternativen.
mfg, Robbe.
-
Versuche einen gesichertern Uploadbereich für User einzurichten, in welchem diese uploaden und downloaden können. Jeder User soll dabei ein
Hat jmd. sowas ähnliches schonmal realisiert? Mich intressiert ob das ne realativ sichere Methode ist oder nicht, bzw. gibt es alternativen.
Sicherheit wo vor? Du hast nichtmal gesagt, womit die Nutzer auf den Server zugreifen (HTTP, FTP, SFTP, SCP, blablabla) und was das für eine ominöse Anmeldung ist, wie soll da jemand eine Beurteilung abgeben?
-
Die Nutzer greifen mit HTTP beim up/down-stream auf den Server zu. Bei der Anmeldung wird wiegesagt das User-Verz. nur mit Schreibrechten gesetzt, bzw. vielleicht auch gar keine Rechte, wiegesagt ich bin noch am überlegen..
-
Die Nutzer greifen mit HTTP beim up/down-stream auf den Server zu.
Das sagt aber immer noch nicht, wovor Du Dich eigentlich schützen willst und auch nicht, wie der Zugriff über den Webserver geregelt ist (mit der Identität des Webservers oder über einen suexec-Mechanismus mit der Identität des Dateieigentümers).
Zur Abwehr unberechtigter Benutzer auf Dateisystemebene kommt es weniger darauf an, an den Dateirechten rumzufummeln, als darauf zu achten, daß der Benutzerkreis möglichst restriktiv definiert wird. Was hilft es, wenn Du _für den Eigentümer_ die Schreib-/Leserechte vor/nach jedem Zugriff änderst, wenn außer dem Eigentümer sowieso niemand auf die Datei zugreifen darf?
Falls die Zugriffe über die Identität des Webservers stattfinden, ist der Schutz des Dateisystems nutzlos (vorausgesetzt, nur der Webserver hat Zugriff auf die Dateien), denn für das Dateisystem erscheinen alle menschlichen Benutzer als ein einziger. Änderungen an den Dateirechten sind dementsprechend ebenfalls nutzlos, die Kontrolle muß innerhalb des formularverarbeitenden Skriptes stattfinden.
-
Falls die Zugriffe über die Identität des Webservers stattfinden, ist der Schutz des Dateisystems nutzlos (vorausgesetzt, nur der Webserver hat Zugriff auf die Dateien)
Damit wir uns falsch verstehen: Die Dateien sollen geschützt werden vor Angreifern aus dem Netz, d.h. nicht das sich keine in den Webserver reinhacken kann, ich habe diesen nicht aufgesetzt und kenne mich in diesem Bereich auch nicht so aus. Wenn einer auf dem Server ist, ist sowie alles zu spät meiner Meinung nach, aber der is schon sicher davon geh ich aus. Nee, es geht mir einfach nur darum die Verzeichnisse und darin befindlichen Dateien gut nach aussenhin abzuschotten, weil diese ja in einem öffentlichen Verzeichnis liegen müssen und ich da ja irgendwie einen Sicherheitmechanismus einbauen muss.
In Punkto Rechtevergaben habe ich noch nicht viel Erfahrung. Im Prinzip denke man müsste jedem Verz. einen Eigentümer zuweisen damit dieser und nur dieser über http an seine files rankommt. Aber ne praktische Lösung such ich eben noch.
mfg, Robbe.
-
es geht mir einfach nur darum die Verzeichnisse und darin befindlichen Dateien gut nach aussenhin abzuschotten, weil diese ja in einem öffentlichen Verzeichnis liegen müssen und ich da ja irgendwie einen Sicherheitmechanismus einbauen muss.
Die Authentifizierung per HTTP, die zum Beispiel im Apache-Server mittels .htaccess-Dateien möglich ist, betrifft _jeden_ Zugriff im jeweiligen Verzeichnis, eignet sich also sowohl für Down- als auch für Uploads.
-
-
-
-