Basic nginx protezione / accesso limitato [chiuso]

* Use an authenficiation for apps that don't have their own. Otherwise anyone can use it.

Puoi usare l'autenticazione di base HTTP per quello. È essenziale, come dice il nome. link

* Restrict access to certain machines. I know Nginx can deny access based on IP adress, I was wondering if I could achieve this using other variables such as mac adress for example?

In realtà non lo consiglierei. Gli indirizzi Mac possono essere falsificati. L'autenticazione I.P più una password dovrebbe essere abbondante. Anche gli indirizzi IP possono essere falsificati, ma in questo contesto è un po 'più problematico.

link

* Prevent search engines to index what is on my server. I have read that I could use an Apache .htaccess but can I do it with nginx ? What is the difference with robots.txt files ?

Usa Robots.txt per dire al motore di ricerca che cosa vuoi che non rimanga. Usa l'autenticazione htaccess / basic per essere sicuro. Il motore di ricerca non può leggere nulla a cui non ha una password, anche se potrebbe vedere che c'è una pagina lì (un proibito è una sorta di prova dell'esistenza di una pagina in un modo.)

link

* How would one isolate webapps ? I was wondering if I could run each apps as separate users in order to harden security. Otherwise (someone tell me if I'm wrong) a security breach in one of them (and that may happen often with young projects) could allow an attacker to have access to all www-data user files. Regarding this thread I don't know if I must investigate in php5-fpm pools or only nginx or both.

Puoi eseguire l'app in un contenitore sicuro di qualche tipo, come le offerte di finestra mobile. Credo che SystemD abbia anche un contenitore nativo. In questo modo c'è un altro "sandbox" da cui uscire prima che tu ti trovi in un problema profondo e profondo. Tieni presente che se sul server è presente un exploit binario, l'utente malintenzionato sarà spesso utente o Nginx e avrà accesso a ciò a cui i server hanno accesso. Il modo in cui molti provider di hosting fanno cose, è che eseguono ciascun sito in una macchina virtuale di sua proprietà. Se la tua scatola ha la potenza per questo, potrebbe essere una buona soluzione.

Assicurati che le autorizzazioni su tutte le tue cartelle siano impostate correttamente. Se usi centOS o RedHat Linux è anche possibile aggiungere un altro livello di permessi a grana fine alle cartelle web per bloccarli ulteriormente (investigare su SE linux.) Dato che sei su Ubuntu, questa non è un'opzione, ma se cambi mai Si dovrebbe controllare. Allo stesso modo, freeBSD ha un concetto di "Jail" che limita l'accesso delle app all'intero sistema. Potresti trovare interessante anche questo.

Alcune cose extra che non hai chiesto ma ti dirò

• Assicurati di nascondere i numeri di versione ovunque sia possibile
• Utilizza HTTPS su tutto
• Cripta tutto ciò che puoi, ogni volta che puoi.
• Utilizza i cifrari più potenti che puoi sempre
• Usa gli hash più forti che puoi.
• Utilizza password molto grandi. Utilizzare un gestore di password che genera password sicure per te. (Keepass è bello.)
• Se è vita e morte che nessuno acceda a questa cosa, non metterla su internet. Se le persone lo vogliono abbastanza male, troveranno un modo.
• Non aver paura di utilizzare una soluzione di hosting, in cui alcune delle responsabilità in materia di sicurezza (IDS e simili) ricadono sul provider di hosting. Non è garantito che lo faranno bene, ma se sei un nuovo sviluppatore web, sarà molto difficile preoccuparsi di tutto ciò mentre impari a programmare.