Sicherheit und phpMyAdmin

[Andreas Korthaus]

Hi Tom!

Könntest Du das bei Gelegenheit mal etwas näher ausführen? Vielleicht als Feature-Artikel? (Ok, meiner ist auch immer noch nicht fertig...)

Naja, ich schiebe schon so viele Sachen vor mir her, das sieht im Moment nicht so gut aus ;-)
Abgesehen davon ist das auch etwas wenig Stoff für einen FA, dazu noch sehr speziell. Ich erstelle halt einen neuen, nur per SSL zugänglichen IP-basierten Virtual Host, wo ich für <Directory /> Basic-Auth konfiguriere. So Sachen wie phpmyadmin, cacti, phpsysinfo... installiere ich dann bequem per emerge (Gentoo Portage) in /var/www/localhost/htdocs, und verwende aus meinem "Admin-Vhost" die Alias-Direktieve um auf die entsprechenden Pakete zugreifen zu können. Das hat den Vorteil dass ich die Pakete unabhängig per emerge updaten kann...

Wenns Dich interessiert, hier mal die vhost-Konfiguration:

<VirtualHost a.b.c.d:443>

# General setup for the virtual host
    ServerName admin.example.com
    DocumentRoot /var/www/example.com/admin/htdocs

CustomLog /var/log/apache/access_log.admin.example.com combined
    ErrorLog /var/log/apache/error_log.admin.example.com

Alias /phpmyadmin /var/www/localhost/htdocs/phpmyadmin
    Alias /phpsysinfo /var/www/localhost/htdocs/phpsysinfo
    Alias /cacti /var/www/localhost/htdocs/cacti

<Directory />
        AuthType Basic
        AuthName "admin"
        AuthUserFile /var/www/example.com/admin/conf/.htusers
        Require valid-user
    </Directory>
    <Directory /var/www/example.com/admin/htdocs>
        Order Allow,Deny
        Allow From All
    </Directory>

# SSL settings
    SSLEngine on
    SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
    SSLCertificateFile conf/ssl/admin.crt
    SSLCertificateKeyFile conf/ssl/admin.key
    SetEnvIf User-Agent ".*MSIE.*" nokeepalive ssl-unclean-shutdown
    RewriteEngine On
    RewriteOptions inherit

</VirtualHost>

Vergleichbares geht natürlich auch in einem Unterverzeichnis des "normalen" Vhosts, wichtig ist dass man SSL und eine Authentifizierung erzwingt. Und man muss aufpassen dass man mit Alias etc. die Authentifizierung nicht versehentlich selber aushebelt.

Wobei ich grade eigentlich dabei bin eher auf den wunderbaren lighttpd in Kombination mit fastcgi umzustellen ;-)

Grüße
Andreas