Gli altri clienti su hosting condiviso possono vedere richieste da / verso il mio sito?

Question

Gli altri clienti su hosting condiviso possono vedere richieste da / verso il mio sito?

#1 da (9 voti)
#2 da (3 voti)

8

Ho installato un wiki sul mio account di webhosting condiviso (usando Apache). Questo wiki è impostato su privato (nessun diritto di lettura / modifica / creazione per utenti non autorizzati) e io sono l'unico con un account.

Il wiki inserisce il titolo della pagina wiki nel percorso dell'URL, ad es. una pagina intitolata "Foobar" avrebbe l'URL example.com/wiki/Foobar .

Voglio assicurarmi tre cose:

nessuno potrà vedere il mio contenuto wiki
nessuno sarà in grado di vedere se ho creato una determinata pagina wiki
nessuno sarà in grado di vedere quali URL del wiki visiti

In altre parole: non solo le pagine contengono contenuti sensibili, anche il percorso dell'URL è sensibile .

Quando eseguo il logout e visito example.com/wiki/Foobar (esistente) e example.com/wiki/FoobarNope (inesistente) I (1.) non può vedere alcun contenuto e (2.) non c'è differenza nel messaggio di errore per l'esistente e la pagina inesistente.

Uso il componente aggiuntivo di Firefox RefControl per bloccare l'intestazione Referer quando Faccio clic sui link alle pagine esterne.

Uso HTTPS per crittografare il contenuto e i percorsi URL (quindi se dovessi visitare il mio wiki da una rete non affidabile, nessuno sniffer dovrebbe essere in grado di vedere quali pagine del wiki visito, giusto?).

Ora l'unica cosa di cui non sono sicuro è: Che cosa possono vedere gli altri clienti sullo stesso host condiviso?

Ogni cliente ha accesso SSH. L'installazione del software è consentita (purché non sia richiesto root). Eveyone ha accesso a /tmp . Posso iniziare top e vedere quali processi gli altri clienti utilizzano al momento. E probabilmente di più ... (non sono così esperto di questo).

Potrebbe essere possibile che altri clienti visualizzino% richieste diGET per l'intero server? (se è importante: ogni cliente ha un proprio sottodominio, la crittografia HTTPS viene eseguita dal certificato SSL wildcard degli hoster)

Forse qualcosa viene salvato in /tmp quando visito una pagina nel mio wiki? Cache?

Forse c'è un registro globale (errore)?

O altro?

http privacy webserver tls shared-hosting

posta unor 09.01.2013 - 02:28

fonte

2 risposte

3

Se il server condiviso è configurato correttamente, nessun altro utente dovrebbe essere in grado di vedere nulla riguardo al tuo account (log di accesso, file, ecc.). Sfortunatamente non è sempre così.

Se quella wiki è così importante che devi preoccuparti degli altri clienti sul server, ti suggerisco di ottenere un VPS .

risposta data 09.01.2013 - 02:54

fonte

Leggi altre domande sui tag http privacy webserver tls shared-hosting

Quanto è pratico / importante l'attacco Lucky Thirteen TLS? Spiega la denominazione con la varietà di metodi di cifratura visti da '$ openssl enc --help'

score 9 · Accepted Answer

Dato che i potenziali attaccanti (gli altri clienti dell'host di condivisione) possono vedere i tuoi processi (così come li vedi), il tuo Wiki e ciò che fai con esso è protetto dai loro occhi curiosi dal Unix security model : in linea di massima, gli utenti non root non possono influire l'un l'altro, in base ai diritti di accesso su file, directory e dispositivi. Dovresti quindi assicurarti che le directory che contengono il tuo sito abbiano diritti di accesso adeguati (usa chmod per impostarle). Accertarsi che il server Web stesso sia in grado di accedervi.

Suppongo che il tuo software Wiki utilizzi un database, probabilmente MySQL . Tale sistema di database utilizza il proprio livello di autenticazione e impone la propria separazione degli utenti. Anche in questo caso, consultare la documentazione del database per verificare se la separazione utente viene applicata correttamente.

In definitiva, il tuo modello di sicurezza fa affidamento sulla mancanza di exploit locali che consentono agli utenti standard (come te o altri clienti) di ottenere l'accesso di root sulla macchina o di perforare il livello di separazione dell'utente nel database. Uno sguardo a questo database mostrerà che questo postulato potrebbe essere un po 'ambizioso. Gli exploit locali si verificano molto, soprattutto perché è molto più difficile proteggerli rispetto agli exploit remoti (gli esperti di sicurezza IT affermano che "la superficie di attacco per gli utenti locali è molto grande") e anche perché molte persone semplicemente non si preoccupano di loro (gli exploit locali non contano molto quando non si hanno utenti locali potenzialmente ostili). Come al solito, questo è un rischio contro il compromesso dei costi : se la sicurezza è davvero importante per te, dovresti affittare un server dedicato , non un hosting condiviso.

Una nota su SSL e l'URL: con HTTPS, gli URL stessi attraversano il tunnel, quindi sono crittografati. Tuttavia, l'osservatore esterno può vedere la lunghezza dei record di dati crittografati e quindi dedurre la lunghezza (in byte) dell'URL che visiti sul tuo Wiki. Questa leggera perdita potrebbe o non potrebbe essere importante per te; se lo è, prova a ottenere queste lunghezze identiche per tutte le pagine.