Сегодня у нас на повестке дня вопросы, касающиеся обеспечения безопасности Web-сервера на базе OpenBSD. Мы научим PHP, MySQL и Sendmail работать с Apache, который запускается в окружении chroot - измененном корневом каталоге /var/www с правами непривилегированного пользователя www. Таким образом, нам удастся обеспечить дополнительный уровень защиты и максимально снизить возможный ущерб в том случае, если злоумышленнику окажется под силу взломать нашу систему. Применив полученные знания на практике, в твоем арсенале будет настолько защищенная система, что ты сможешь совершенно спокойно взяться за разработку любого проекта, будь то личный блог, новостной сайт компании или даже интернет-магазин с мириадами клиентов.

предварительный ликбез

Последняя версия ультрасекьюрной OpenBSD (3.9 на момент написания статьи) как нельзя лучше подойдет для выполнения нашей миссии. Короткая история взломов, прекрасная реализация стека TCP/IP, отличный файервол Packet Filter (pf), залатанный Apache 1.3.29 с поддержкой SSL, наличие последних версий OpenSSH и OpenSSL, тысячи добротно протестированных прекомпилированных пакетов - все это говорит в пользу сделанного выбора. Хотя стоит отметить, что в качестве используемой операционной системы может выступать любая из Free/Net/DragonFlyBSD.

За основу нашей конструкции примем PHP и MySQL. Не секрет, что за последние годы эта связка стала стандартом де-факто для интернет-проектов различного масштаба. Поэтому давай не будем на этом останавливаться и перейдем непосредственно к настройке.

каждой службе - свой раздел

Прежде всего, необходимо грамотно подойти к разделению дискового пространства. Лично я предпочитаю для каждой критически важной сетевой службы выделять собственный раздел. Для наглядности приведу содержимое конфига fstab(5) полностью:

# vi /etc/fstab

Преимущества такой конфигурации видны даже невооруженным глазом:

MySQL: записная книжка с SQL-интерфейсом

Для проверки правильности сборки выполняем набор прилагаемых тестов:

# make do-regress

Если все тесты прошли успешно, переходим к установке прекомпилированного пакета клиентской части MySQL:

# pkg_add /usr/ports/packages/i386/all/mysql-client-5.0.22.tgz

Уделяем внимание зависимостям mysql-server'а:

И устанавливаем пакадж серверной части MySQL:

# pkg_add /usr/ports/packages/i386/all/mysql-server-5.0.22.tgz

При необходимости создаем директорию /var/mysql:

Настало время проверить работоспособность БД и запустить скрипт для создания типовых баз mysql и test:

# /usr/local/bin/mysql_install_db

Теперь в стартовом сценарии /etc/rc.local указываем опции для mysqld_safe - своего рода обертки, которая запускает mysqld с заданными параметрами, производит мониторинг состояния демона и при необходимости перезапускает главный процесс MySQL.

# vi /etc/rc.local

Прокомментирую опции, которые мы указали при старте MySQL:

Чтобы не изобретать велосипед, давай возьмем предлагаемый разработчиками пример конфига MySQL, назначим ему корректные права доступа и отредактируем применительно к нашим задачам:

Как ты мог заметить, главное отличие от дефолтного my-medium.cnf заключается в определении местоположения абсолютного пути до сокета клиента и сервера MySQL. Вместо /var/run/mysql/mysql.sock мы будем использовать /var/www/var/run/mysql/mysql.sock, поэтому своевременно подготавливаем соответствующую поддиректорию:

Для хранения временных файлов необходимо создать каталог /var/www/tmp с либеральными правами доступа:

# mkdir -p -m 777 /var/www/tmp

С установкой и конфигурированием разобрались, переходим к запуску демона на орбиту:

# fstat | grep mysql

И создаем (для надежности) символическую ссылку на стандартное расположение сокета:

# ln -sf /var/www/var/run/mysql/mysql.sock /var/run/mysql/mysql.sock

нardening MySQL в подробностях

Опциональный шаг: выполняем ряд несложных операций по увеличению безопасности MySQL:

# /usr/local/bin/mysql -u root

хардкорные разборки с PHP

Далее на очереди - PHP4 со своими расширениями. Следующими командами мы установим пакет с основным движком - так называемый core-пакадж, модуль для работы с базами данных и библиотеку pear (набор специальных компонентов и расширений для PHP).

Активируем модуль libphp4.so:

# /usr/local/sbin/phpxs -s

Воспользуемся рекомендованной разработчиками версией php.ini:

# cp /usr/local/share/examples/php4/php.ini-recommended /var/www/conf/php.ini

Выставляем корректные права доступа:

Указываем путь до сокета MySQL:

# vi /var/www/conf/php.ini

mysql.default_socket = /var/run/mysql/mysql.sock

И активируем MySQL-модуль:

# /usr/local/sbin/phpxs -a mysql

сам себе надежный почтальон

Для корректной работы электронной почты в Apache chroot необходимо установить статически слинкованную версию mini_sendmail. Этот фэйковый почтовик будет передавать из среды chroot всю исходящую почту полноценному транспортному агенту.

Теперь снова возвращаемся в php.ini и указываем абсолютный путь до mini_sendmail относительно /var/www (внимание: запись «-fwww@mydomain.ru» обязательно должна идти без пробела).

# vi /var/www/conf/php.ini

sendmail_path = "/bin/mini_sendmail -fwww@mydomain.ru -t"

не выпускай суккуба из песочницы

# vi /var/www/conf/httpd.conf

управляем MySQL с комфортом

PHPMyAdmin представляет собой набор PHP-скриптов для управления сервером MySQL. Прекрасно подходит для поклонников визуального администрирования и тех, у кого синтаксис SQL-запросов вызывает определенную сложность. Кроме того, с помощью PHPMyAdmin довольно удобно выполнять рутинные операции по бэкапу, созданию и модификации баз данных, таблиц, пользователей и т.д. Устанавливаем:

В конфиге config.inc.php указываем, что в качестве типа соединения у нас используется «сокет» (напомню, mysqld не подвешен даже на интерфейс обратной петли), а также имя и пароль администратора MySQL:

# vi config.inc.php

Описание поддомена phpmyadmin.mydomain.ru в httpd.conf будет выглядеть следующим образом:

# vi /var/www/conf/httpd.conf

Совершенно очевидно, что доступ к phpMyAdmin необходимо ограничить. Этого можно добиться разными способами. Для расширения кругозора предлагаю воспользоваться аутентификацией по паролю. Чтобы проконтролировать доступ к каталогу /var/www/virtual/phpmyadmin.mydomain.ru и запретить по сети передавать пароли в открытом виде (директива SSLRequireSSL), создаем еще один управляющий файл - .htaccess. Преимущество использования такого подхода состоит в том, что мы не захламляем httpd.conf дополнительными директивами для описания правил доступа, указания местонахождения Auth-конфигов и методов аутентификации. Плюс к этому, при изменении конфигурации в файле .htaccess не придется перезагружать Web-сервер.

# vi /var/www/virtual/phpmyadmin.mydomain.ru/.htaccess

Аутентификационную базу /var/www/conf/.htpasswd (ни в коем случае не размещай .htpasswd в каталоге /var/www/virtual/phpmyadmin.mydomain.ru) будем вести с помощью утилиты htpasswd(1). Ключ '-c' отвечает за создание базы, ключ '-m' задает использование алгоритма шифрования MD5, вместо применяемой по умолчанию DES'овской функции crypt(3):

# htpasswd -cm /var/www/conf/.htpasswd admin

Только суперпользователь и демон httpd имеют право обращаться к базе с паролями:

проводим безопасные транзакции по протоколу https

Чтобы получить возможность устанавливать защищенные сеансы по протоколу https, необходимо создать приватный ключ, ввести регистрационные данные и подписать сертификат собственным ключом. Начнем с генерации секретного RSA-ключа длиной 1024 бит:

# openssl genrsa -out /etc/ssl/private/server.key 1024

Создаем запрос на сертификат:

# openssl req -new -key /etc/ssl/private/server.key \

Подписываем сертификат, который будет действовать на протяжении 10 лет (аргумент '-days 3650'), своим ключом:

# openssl x509 -req -days 3650 -in /etc/ssl/private/server.csr \

-signkey /etc/ssl/private/server.key -out /etc/ssl/server.crt

Выполняем остановку и повторный запуск httpd(8), но уже с поддержкой https:

Проверяем, забиндился ли апач на соответствующие порты:

% netstat -na -f inet | egrep '80|443'

В /etc/pf.conf создаем правило, разрешающее прохождение запросов к портам 80 и 443:

# vi /etc/pf.conf

Чтобы внесенные изменения вступили в силу, не забудь перезагрузить набор рулесетов файервола:

# pfctl -f /etc/pf.conf

В конфиге /etc/rc.conf следующими записями разрешаем автоматическую загрузку Apache SSL и Packet Filter при старте системы:

# vi /etc/rc.conf

постскриптумы

На этом настройку можно считать завершенной. Протестировать работу модуля php4 и его взаимодействие с MySQL можно с помощью php-файла, исходный код которого приведен ниже. Если при запросе www.mydomain.ru/test.php ты получишь лаконичный ответ «ok», смело начинай заливать любимую CMS'ку в каталог /var/www/virtual/www.mydomain.ru. Удачи.

# vi /var/www/virtual/www.mydomain.ru/test.php