ขอแนะนำให้เปลี่ยนการอนุญาตไดเรกทอรีรากเพื่อปรับปรุงความปลอดภัยหรือไม่

ฉันมีคอมพิวเตอร์ที่ใช้เซิร์ฟเวอร์ Ubuntu 20.04 ฉันซื้อเซิร์ฟเวอร์ใน Digital Ocean เมื่อ 1 ปีที่แล้ว (ไม่มากก็น้อย) และทุก ๆ เดือนฉันพยายามปรับปรุงความปลอดภัย แต่เกี่ยวกับการจัดระเบียบผู้ใช้ฉันมักจะสงสัย

นี่เป็นเซิร์ฟเวอร์ส่วนตัว ดังนั้นฉันจึงขอให้ปรับปรุงความเข้าใจของฉันสำหรับโครงการในอนาคตที่อาจเกี่ยวข้องกับผู้ใช้มากกว่านี้

สิทธิ์ไดเรกทอรีรากของฉันคือ:

 0 lrwxrwxrwx 1 รูทรูท 7 14 พฤษภาคม 2020 bin -> usr/bin
 4 drwxr-xr-x 4 รูทรูท 4096 10 ก.พ. 06:59 บูต
 0 drwxr-xr-x 16 รูท 3820 12 ต.ค. 02:34 น.
12 drwxr-xr-x 110 รูทรูท 12288 ก.พ. 59 18:11 เป็นต้น
 4 drwxr-xr-x 4 รูท รูท 4096 3 เม.ย. 2021 บ้าน
 0 lrwxrwxrwx 1 รูทรูท 7 14 พฤษภาคม 2020 lib -> usr/lib
 0 lrwxrwxrwx 1 รูทรูท 9 14 พฤษภาคม 2020 lib32 -> usr/lib32
 0 lrwxrwxrwx 1 รูทรูท 9 14 พฤษภาคม 2020 lib64 -> usr/lib64
 0 lrwxrwxrwx 1 รูทรูท 10 14 พฤษภาคม 2020 libx32 -> usr/libx32
16 drwx------ 2 รูทรูท 16384 14 พฤษภาคม 2020 สูญหาย+พบ
 4 drwxr-xr-x 2 รูทรูท 4096 14 พฤษภาคม 2020 สื่อ
 4 drwxr-xr-x 2 รูทรูท 4096 14 พฤษภาคม 2020 mnt
 4 drwxr-xr-x 3 รูทรูท 4096 18 ธ.ค. 13:48 เลือก
 0 dr-xr-xr-x 197 รูท รูท 0 12 มิ.ย. 2021 โพรซี
 4 drwx------ 10 รูท รูท 4096 6 ก.พ. 19:31 รูท
 0 drwxr-xr-x 31 รูท รูท 1040 16 ก.พ. 13:04 วิ่ง
 0 lrwxrwxrwx 1 รูทรูท 8 14 พฤษภาคม 2020 sbin -> usr/sbin
 4 drwxr-xr-x 8 รูทรูท 4096 ก.พ. 59 17:56 น.
 4 drwxr-xr-x 3 รูท 4096 3 เม.ย. 2564 srv
 0 dr-xr-xr-x 13 รูท รูท 0 12 มิ.ย. 2021 sys
 4 drwxrwxrwt 20 รูท รูท 4096 16 ก.พ. 18:39 tmp
 4 drwxr-xr-x 15 รูท 4096 6 ส.ค. 2021 usr
 4 drwxr-xr-x 16 รูทรูท 4096 4 ธ.ค. 18:50 น.

คุณสามารถดูจำนวนไฟล์ที่มี กลุ่มอื่น ๆ สิทธิ์การดำเนินการ แต่จำเป็นจริง ๆ หรือไม่ x การอนุญาตหมายความว่าผู้ใช้ทุกคนสามารถทำได้

 ซีดี /บูต

หรืออะไรทำนองนั้น ฉันรู้ว่าพวกเขาไม่สามารถแก้ไขหรือลบสิ่งใดในนั้นได้ แต่ถ้าพวกเขาสามารถเข้าไปในไดเร็กทอรีและเขียนได้ ลผู้ใช้แบบสุ่มนั้นสามารถรับข้อมูลที่ฉันอาจไม่ต้องการให้ผู้ใช้ได้รับ ครั้งหนึ่ง เพื่อนที่รู้จัก Linux มากกว่าฉันบอกฉันว่าหากคุณต้องการทำให้เซิร์ฟเวอร์ Ubuntu ยุ่งเหยิง คุณสามารถทำได้โดยเปลี่ยนสิทธิ์ของไฟล์ เลยไม่อยากทดสอบ

เป้าหมายของฉันคือให้ผู้ใช้ทุกคนไม่สามารถทำอะไรได้ด้วยพลังพิเศษ (ป้อนใน /พัฒนา หรือ /บูต) เฉพาะของใช้..

แต่ฉันกลัวที่จะทำลายบางอย่างโดยการเปลี่ยนสิทธิ์

แนวคิดของฉันคือ: ฉันเป็นเจ้าของเซิร์ฟเวอร์และฉันสามารถรูทได้ ดังนั้นขั้นตอนแรกของฉัน:

ในไดเร็กทอรีรูทฉันจะทำ sudo chown รูต: พลังงาน , ที่ไหน พลัง เป็นกลุ่มที่ผมสามารถใส่ User บางตัวที่สามารถทำได้มากกว่าปกติแล้ว chmod 750 ในทั้งหมด (เช่นอุณหภูมิน้อยลง)

แต่ฉันเคยได้ยินมาว่าถ้าคุณทำแบบนั้น www-ข้อมูล ไม่สามารถจัดการบริการ apache หรือเปลี่ยนแปลงบางอย่างได้

เลยต้องขอเพิ่ม พลัง จัดกลุ่มผู้ใช้ www-ข้อมูลโอเค มันสามารถจัดการสิ่งต่างๆ ของมันได้ แต่ฉันคิดว่ามีผู้ใช้/กลุ่มระบบอื่นๆ จำนวนมากที่ต้องการการปรับเปลี่ยนที่คล้ายกันซึ่งฉันไม่ทราบในขณะนี้

ฉันหวังว่าคุณจะเข้าใจไม่มากก็น้อยว่าฉันต้องการทำอะไร และเป้าหมายของฉันคือ: แก้ไขเซิร์ฟเวอร์เพื่อจัดการผู้ใช้ได้ดีขึ้น จำกัดโดย บทบาท ตัวอย่างเช่น.แต่ฉันค่อนข้างหลงทางว่าจะเริ่มต้นอย่างไร

และขอขอบคุณทุกท่าน

เลขที่

สิทธิ์และความเป็นเจ้าของไฟล์ระบบได้รับการตั้งค่าให้ปลอดภัยแล้ว

การทำลายระบบของคุณเป็นสิ่งเดียวที่คุณจะทำได้โดยการเปลี่ยนความเป็นเจ้าของและสิทธิ์ในไฟล์ระบบ

นี่เป็นกระบวนการคิดที่อันตรายมาก โดยเฉพาะอย่างยิ่งหากคุณไม่คุ้นเคยกับการใช้ Linux โดยทั่วไปการซ่อมแซมเป็นเรื่องปกติถ้าคุณรู้ว่าคุณกำลังทำอะไรอยู่ แต่การออกนอกลู่นอกทางเพื่อพยายามปรับปรุงสิ่งที่ยังไม่เสียหายนั้นโดยทั่วไปแล้วไม่ใช่ความคิดที่ดี

นักพัฒนาของ Ubuntu ใช้เวลาหลายทศวรรษในการปรับแต่งและปรับปรุงซอฟต์แวร์เพื่อให้สะอาดและปลอดภัยยิ่งขึ้น

หากคุณคิดว่าคุณพบวิธีที่จะทำให้ระบบดีขึ้นหรือปลอดภัยมากขึ้น โปรดพิจารณา เอื้อต่อการพัฒนา Ubuntu. ด้วยการมีส่วนร่วมในการพัฒนา ผู้คนจำนวนมากจะตรวจสอบและตรวจสอบการเปลี่ยนแปลงที่คุณเสนอก่อนที่มันจะกลายเป็นส่วนหนึ่งของระบบปฏิบัติการ

Unix security, and later Linux security, has always defaulted to being as open as possible. Things are closed when they need to be closed and open otherwise.

This means that if you try to do something out of the ordinary, but not really dangerous, there is a good chance you allowed to do so.

Security specialists don't like this approach. They want things to be closed as possible and only open when they have to be. Less nasty surprises that way. It seems your instincts are in this camp.

In a closed system you have permission to do your job and nothing more. Whenever you want to do something that is even the slightest outside your box, you need to obtain permission. Developers hate working in a system like that.

It is difficult to take a old open system like Ubuntu and try to close it up. You will find that there are undocumented dependencies where seemingly unrelated programs stop working with odd error messages when an access is closed.

So, it is a choice of priorities, what is more important to you, security or usability? There are Unix versions that are more close-minded than Ubuntu. These are made by security experts that have done the hard work of tracking down those undocumented dependencies.

All that being said, Nmath's answer is also correct. A lot of very smart people have looked at Ubuntu security and found it adequate. The odds of you being hit by a unknown security hole is very very low.