Ubuntu 11.10 монитор приостановить сбой помочь?

Принцип, стоящий за пользователем www-data, заключается в том, что он является непривилегированным пользователем.

Когда вы запускаете демон (фоновая программа, например веб-сервер), в целях безопасности это полезно для его удаления привилегии после запуска, так что он проводит остаток своего времени с наименьшими привилегиями.

В прошлом часто использовалась учетная запись nobody. В пользу этого было то, что имя «никто» дало понять, что это должно было быть непривилегированной учетной записью без прав.

Однако исключения из правила иногда придумайте, чтобы кому-то понадобился демон, чтобы иметь разрешение на запись здесь или там. Модификация учетной записи nobody повлияла бы на всех демонов.

Итак, www-data родился как способ иметь в основном непривилегированного пользователя только для веб-серверов, но изолирован от других демонов или целей, поэтому, если вы это сделали должны предоставить этой учетной записи дополнительные привилегии, это повлияет только на веб-сервер и не уменьшит безопасность других системных демонов.

Идея о том, что www-data должна быть непривилегированным пользователем, по-прежнему важна. Чем больше привилегий вы им даете, тем больше вы должны беспокоиться о том, что может произойти, если демон (или любой из скриптов или команд, которые он запускает) скомпрометирован или обнаруживает дыру в безопасности любого вида.

Предоставление www-data некоторого доступа sudo является антитезой этого принципа. Несмотря на то, что можно выбирать с помощью sudo-доступа, он по-прежнему открывает довольно большой риск для безопасности из-за потенциальной ошибки человека или того, что веб-сервер или любые его сценарии могут иметь дыры в области безопасности.

Как вы можете избежать этого?