Eigen webmin - Veiligheid?

[Parasietje]

Ik wil mijn eigen webmin kloon bouwen, maar ik vraag me af hoe ik dit het best regel qua veiligheid. Veel commando's moeten als root uitgevoerd worden. Dit is een privilege die ik liever niet in de handen leg van mijn brakke PHP-scripts. Welke van de volgende methodes zijn het veiligst om de commando's in een webmin uit te voeren als root?

-> sudo gebruiken zonder passwoord. Elk commando kan dan uitgevoerd worden als root.
-> commando's wegschrijven in een bestand en een daemon dat bestand elke 5 minuten laten controleren / uitvoeren.
-> apache-gebruiker de nodige privileges geven
-> Eigen perl-webserver programmeren en als root uitvoeren.

[Verwijderd]

Als je sudo zonder wachtwoord gebruikt, is dat hetzelfde als gewoon root gebruiken.
Je kan sudo ook vastleggen op bepaalde commando's en scripts, in combinatie met users en hosts.
Dat is wellicht een veiliger optie.

[Verwijderd]

Parasietje schreef op dinsdag 05 juli 2005 @ 19:55:
Ik wil mijn eigen webmin kloon bouwen, maar ik vraag me af hoe ik dit het best regel qua veiligheid. Veel commando's moeten als root uitgevoerd worden. Dit is een privilege die ik liever niet in de handen leg van mijn brakke PHP-scripts. Welke van de volgende methodes zijn het veiligst om de commando's in een webmin uit te voeren als root?

-> sudo gebruiken zonder passwoord. Elk commando kan dan uitgevoerd worden als root.
-> commando's wegschrijven in een bestand en een daemon dat bestand elke 5 minuten laten controleren / uitvoeren.
-> apache-gebruiker de nodige privileges geven
-> Eigen perl-webserver programmeren en als root uitvoeren.

Wat mankeert er aan Webmin ?

En het is niet geschreven in PHP, maar in Perl, er zit zelfs een eigen webserver in geschreven in Perl.
Perl is een veel betere keuze als op manipuleren van ascii files aankomt als PHP.

Ik heb het niet geinstalleerd op m'n Linux servers, maar heb ik het wel gebruikt, ik kan prima via vi de server beheren, maar mijn collega is een echte Windows beheerder, voor hem is webmin wel handig, als je maar via https verbinding maakt en je password niet gesnift wordt is er weinig aan de hand en natuurlijk de ip-nummers begrenzen, het liefst alleen bereikbaar vanaf de werkstations van de systeembeheerders. En je kunt nog meer doen, zoals een timeout zetten op een sessie en de standaard poort veranderen en misschien nog veel wel meer, ik heb webmin nog nooit ingezet op een produktie server. Als er zijn lekken geweest in Webmin, maar wie zegt dat dit in jouw programma die niet gebeurd ?.
.
En je bent bezig het wiel opnieuw uit te vinden, dat er zijn meerdere projecten die de rechten van root inperken, zoals Selinux en nog veel projecten, wie me de namen ontschoten zijn.

[ Voor 4% gewijzigd door Verwijderd op 05-07-2005 21:35 ]

[BoAC]

Het zou nog veiliger zijn om icm sudo en te controleren wie de aanroeper (perl-script bijv.) is van het script die met sudo wordt aangeroepen

[Parasietje]

Ik heb niet veel zin om een module te schrijven voor webmin. Ik schrijf het dan liever vanaf scratch. Dan kan ik het ook klein en customised houden, zodat er niet veel anders kan gebeuren dan de commando's die ik het script laat uitvoeren.

Webmin draait waarschijnlijk gewoon standaard de hele tijd als root?

[Verwijderd]

Parasietje schreef op dinsdag 05 juli 2005 @ 21:50:
Ik heb niet veel zin om een module te schrijven voor webmin. Ik schrijf het dan liever vanaf scratch. Dan kan ik het ook klein en customised houden, zodat er niet veel anders kan gebeuren dan de commando's die ik het script laat uitvoeren.

Webmin draait waarschijnlijk gewoon standaard de hele tijd als root?

Bedoel je de deamon, dat kan ik me niet voorstellen, maar hij edit wel configuratie files wie alleen root mag aanpassen en doet bijvoorbeeld kill -HUP voor bijvoorbeeld Apache en Samba.

Kijk eens naar de sources van Webmin, niet alles is slecht, https gebruiken lijkt me must voor zo'n tool en er zit een webserver in. Misschien hebben meer mensen belangstelling voor een Webmin, die niet als root draait.

sudo, is ook niet alles, die moet je ook goed dicht zetten, in iedere geval geen commando's die een shell kunnen opstarten of een editor als root kan opstarten en je moet ook goed opletten of dat ze niet een script of commando vervangen als de permissies niet goed staan. Ik gebruik sudo op m'n werk, maar heel beperkt, ik regel zoiets liever door permissies op file nivo te zetten, maar een deamon starten en stoppen die een poort onder 1024 heeft, moet je wel als root doen. De toegang to configuratie files kun je natuurlijk door een groep in Unix regelen.

[Verwijderd]

Parasietje schreef op dinsdag 05 juli 2005 @ 19:55:
Ik wil mijn eigen webmin kloon bouwen, maar ik vraag me af hoe ik dit het best regel qua veiligheid. Veel commando's moeten als root uitgevoerd worden. Dit is een privilege die ik liever niet in de handen leg van mijn brakke PHP-scripts. Welke van de volgende methodes zijn het veiligst om de commando's in een webmin uit te voeren als root?

-> sudo gebruiken zonder passwoord. Elk commando kan dan uitgevoerd worden als root.
-> commando's wegschrijven in een bestand en een daemon dat bestand elke 5 minuten laten controleren / uitvoeren.
-> apache-gebruiker de nodige privileges geven
-> Eigen perl-webserver programmeren en als root uitvoeren.

Als je een .htaccess plaatst met pass/ip-beveiliging in de directory van de scripts die je wilt gaan gebruiken voor webmin ben je al redelijk veilig bezig.

[Parasietje]

Ik denk dat ik eens in de source code van webmin ga snuffelen.

De bedoeling is hier dat een gebruiker via webmin de services op een server (samba, DNS, etc) kan beheren, maar de server zelf niet kan platleggen. Alle passwoord-bescherming ofzo is dus niet van toepassing. Hetgeen ik niet vertrouw is het feit dat de daemon als root draait. Dat is een gewild doelwit voor iedereen.

Misschien moet ik maar gewoon een "admin" groep maken en de configuratiebestanden van samba/dns etc group writable maken.

[bolke]

Ik gebruik WebMin al een hele tijd. Sinds een half jaar via Apache 2.0. Ik proxy een url op mijn SSL website waar ik moet inloggen door naar mijn webmin waar ik ook weer moet inloggen. Mijn account heeft beperte functies in webmin. De accounts sync ik met mijn Linux accounts.

Webmin mag dan wel draaien met root maar je kan heel makkelijk de rechten van de gebruiker beperken

Security functies die je dus zelf moet gaan schrijven zijn:
- SSL (minimale eis)
- Authenticatie (UserID/password of met een token)
- Authorisatie (Wie mag wat doen)
- Webbased user beheer (toch root nodig?)
- Logging (wie heeft wat gedaan of wie heeft wat willen doen)
- Update functie.

Deze functies zitten al in Webmin.

Ik zou zelf geen webserver software schrijven. Het lijkt me verstandiger apache (oid) te gebruiken. Hierin zit al logging, authenticatie en SSL. Vooral de laatste is niet de makkelijkste.

[ Voor 56% gewijzigd door bolke op 06-07-2005 01:39 ]

[Verwijderd]

Parasietje schreef op woensdag 06 juli 2005 @ 01:04:
De bedoeling is hier dat een gebruiker via webmin de services op een server (samba, DNS, etc) kan beheren, maar de server zelf niet kan platleggen. Alle passwoord-bescherming ofzo is dus niet van toepassing. Hetgeen ik niet vertrouw is het feit dat de daemon als root draait. Dat is een gewild doelwit voor iedereen..

Je maakt je druk om de root rechten.

Maar je laat je gebruiker, wel zonder password inloggen, dat lijkt me niet rijmen, een willikeurig gebruiker in het netwerk of op het werkstation van die gebruiker, kan de configuratie van Samba en DNS veranderen, dat lijkt me pas, een veiligheidsrisico en beheer risico, iemand zonder verstand van zaken, kan de configuratie verzieken.

[Parasietje]

Verwijderd schreef op woensdag 06 juli 2005 @ 22:47:
[...]

Je maakt je druk om de root rechten.

Maar je laat je gebruiker, wel zonder password inloggen, dat lijkt me niet rijmen, een willikeurig gebruiker in het netwerk of op het werkstation van die gebruiker, kan de configuratie van Samba en DNS veranderen, dat lijkt me pas, een veiligheidsrisico en beheer risico, iemand zonder verstand van zaken, kan de configuratie verzieken.

Ik bedoelde met mijn post, dat een passwoord beveiliging er sowieso inkomt. Ik maak me bezorgd over het feit dat een ingelogde gebruiker _andere_ bestanden dan de configuratie van Samba en DNS zou kunnen veranderen. DAT is niet de bedoeling, en DAT is waar ik bang voor ben als de daemon als root draait.