Apache Sicherheit

    Hallo!


    Gerne würde ich hier eine Frage stellen, die in "Web Applikationen" wahrscheinlich off-topic war:


    Ich fürchte, ich bin ein wenig paranoid was die Sicherheit meiner Daten angeht, deshalb verzeiht mir bitte diese beiden Fragen, aber vielleicht könnt Ihr mich etwas beruhigen...


    Ich habe auf meinem NAS passwortgeschützt (mod_auth_digest) einige Dateien/Verzeichnis per mod_autoindex zum Download aus dem Internet freigegeben. Das heisst ich benötige eigentlich PHP nicht. Zum Thema Sicherheit deshalb die folgenden fragen an Euch:


    1. Ist es sinnvoll PHP komplett zu deaktivieren? Wenn ja, wie mache ich das?


    2. Ich habe Angst, dass ich einen Einbruch nicht bemerken würde. Gibt es ein halbwegs einfach einzurichtendes "intrusion detection system", mit dem ich Manipulationen erkennen könnte? Die Logs werden ja jede Nacht mit dem Neustart des Apache gelöscht, so dass mich das auch nicht wirklich weiter bringt...


    Besten Dank!


    Viele Grüße,


    Thorsten

    Hallo nochmal!


    Wertet wirklich niemand von Euch die Apache Logs aus? Hm, schade, dann muss ich mir irgend etwas ausdenken....


    Viele Grüße,


    Thorsten

    Hi,


    also PHP solltest deaktivieren können, in dem du in der apache.conf folgende Zeile auskommentierst:

    Code
    LoadModule php5_module libexec/libphp5.so


    und Apache neu starten.
    Als notwendig erachte ich es nicht. Möglicher Weise funktionieren enige Webaplikationen später nicht. Wenn du diese nicht benötigst kannst es 'abschalten'.
    Wenn du Verzeichnisse nach außen freigibst und die passwortgeschützt sind, würde ich https empfehlen.

    Hi!


    Danke f.d. Antwort! PHP ist also selbst eher kein "Sicherheitsrisiko"? Mein Grundgedanke war, dass Apache als reiner HTTP Server mit nur statischen Seiten relativ sicher wäre... Bzgl. SSL gebe ich Dir recht. Allerdings habe ich leider kein "offizielles" Zertifikat, so dass der Browser immer eine Sicherheitswarnung ausgibt. Ein echtes Zertifikat ist mir zu teuer. Letztlich habe ich SSL deshalb nicht aktiviert. Kann ich die Apache Logs mit vertretbarem Aufwand irgendwie auswerten?


    Beste Grüße,


    Thorsten

    Hi,


    nein ein Sicherheitsrisiko sehe ich nicht. Das Risko sind die Seiten selbst, da du aber keine PHP-Seiten hostest, fällt das ja aus.
    Zumindest mit Firefox kannst du das Zertifikat importieren und als vertrauenswürdig einstufen und somit die Sicherheitswarung übergehen.

    Hi!


    Ja, das weiss _ich_ schon. Nur die Leute, denen ich etwas zum Download anbiete, wissen damit nix anzufangen, erschrecken sich zu Tode und denken, ich will sie infizieren oder was auch immer... Paranoia... :D


    Mit den Logs muss ich mir auch noch was überlegen....


    Schönen Abend!


    Thorsten