Назад | Перейти на главную страницу

Является ли предоставление прав на чтение / etc / shadow пользователю apache мудрым решением с точки зрения безопасности?

Мне нужно использовать аутентификацию PAM для DAV SVN, но когда все настроено, как указано в документации mod_auth_pam, аутентификация не работает. После некоторых исследований я понял, что для того, чтобы это работало, httpd должен работать под пользователем root (что мне не нравится и не буду реализовывать) или пользователь apache (под которым httpd работает по умолчанию) должен иметь разрешения на чтение / etc / shadow файл. Итак, есть пара вопросов, связанных друг с другом, которые я хочу задать:

  1. Является ли предоставление этого разрешения пользователю apache мудрым решением с точки зрения безопасности?
  2. Если ответ на первый вопрос «да», как правильно это сделать?

На данный момент я сделал следующее:

groupadd shadow
usermod -G shadow apache
chmod g+r /etc/shadow

Другой способ, который я могу придумать, - использовать acl:

setfacl -m u:apache:r /etc/shadow

Примечание: ОС - Fedora 14 x86_64 (ядро: 2.6.35.11)

httpd v2.2.17

mod_auth_pam v1.1.1

Нет, вы никогда не должны предоставлять общедоступной службе, такой как Apache, доступ к / etc / shadow.

Вместо mod_auth_pam вы можете попробовать использовать mod_auth_external в сочетании с pwauth.