🚀 go-pugleaf

Podobnie jak pare dni temu napisalem w poczcie prywatnej...

Michal Trojnara <mtrojnar@ddc.daewoo.com.pl> writes:

> Linux sam w sobie, bez zainstalowania odpowiedniego oprogramowania,
> *nie* jest firewall'em.  Przez "firewall na Linux'ie" rozmumie sie
> zwykle konfiguracje Linuxa, w ktorej w jadro wkompilowuje sie
> procedury filtra pakietow.  Warto uzupelnic to rozwiazanie
> o proxy, czyli kontrole dostepu na poziomie aplikacji.

To nie jest prawda. Jadro Linux'a bez zadnych dodatkowych procedur
jest filtrem pakietow oraz proxy.

> Port 80 serwera www *nie* musi byc dostepny bezposrednio.

Ok. Nie musi.

> Po drodze moze stac np. harvest, albo squid w trybie akceleratora
> proxy, albo dowolny programik, ktory bedzie kontolowal przychodzace
> odwolania i dopiero potem sam odwolywal sie do serwera www.

Moze. Ale nie jestem przekonany o sensownosci takiego rozwiazania.
Nie spowoduje to zwiekszenia bezpieczenstwa systemu, a tylko je rozwodni
- server WWW nie bedzie znal nazwy klienta (bo bezposrednim klientem
bedzie proxy), koniecznosc podwojnego logowania dostepow, itd, itd.
A moze sie jeszcze okazac, ze ktos wlamie sie do proxy, i stamtad do
calej sieci (bo np. proxy to bylo takie bezpieczne inaczej).

> Serwer http jest tylko nieznacznie mniej bezpieczny, niz umieszczone
> na nim CGI.  To fakt.  Odwolanie do bazy jest jednak z reguly
> robione wlasnie przez CGI i wlasnie tutaj jest najwieksze
> niebezpieczenstwo.

Wlasnie, i dlatego korzystne jest filtrowanie pakietow na firewallu
bez udzialu zadnych proxy http, a zaoszczedzony czas nalezy przeznaczyc
na cgi.

> Czyzbys jeszcze wierzyl w cos takiego jak "nielamalne oprogramowanie"?

Zarty. Ale prawdopodobienstwo, ze ktos wlamie sie na odpowiednio
zabezpieczony serwer (filtr wpuszczajacy tylko ->port 80, nawet bez DNS,
i inne odpowiednie ustawienia serwera) jest wg mnie pomijalnie male.
-- 
Krzysztof Halasa
Network Administrator of The Palace of Youth in Warsaw