CHMOD e permessi

Qual'è la nostra 'policy' in merito l'uso del CHMOD? Come si devono comportare gli utenti per cambiare il permesso di alcuni file e cartelle? Queste domande sono tra le più 'gettonate' tra i nostri clienti, sicuramente perchè i nostri spazi sono stati pensati e configurati in modo particolare.

La nostra configurazione è stata pensata con un occhio di riguardo alla sicurezza pur cercando di salvaguardare la libertà d'azione del cliente, anche se alla fine per un corretto operare nei nostri spazi bisogna tener conto di alcune norme ben precise.


E' possibile modificare i CHMOD nei nostri spazi?
Si è possibile! Per i file perl/cgi che vanno eseguiti e che risiedono nella cartella cgi-bin, il settaggio consigliato è 750. Se per caso si utilizza un settaggio diverso, come ad esempio il 777, o il 775 per un file, oppure si esegue un settaggio anche a 750 per una cartella scatta un meccanismo di protezione che blocca l'esecuzione dei file con conseguente errore.

E' possibile impostare i permessi di file e cartelle in qualsiasi parte del sito, prestando comunque attenzione che il settaggio a 777 fa scattare il meccanismo di protezione.

In questo ultimo caso la soluzione consiste nel cliccare su "Ripristino spazio web" dal pannello di controllo e poi prestare attenzione a come si impostano i permessi ai file.


Perchè non è consigliato settare a CHMOD 777 e fare questo genera un errore?
Perchè non serve! Solitamente gli spazi web hanno l'interprete PHP che gira come modulo di Apache e quindi come utente ad esempio "WWW", mentre i file che si caricano con il client FTP appartengono ad un utente diverso che chiameremo "FTP". Gli script PHP, dell'utente WWW, per poter utilizzare/manipolare i file che appartengono all'utente FTP hanno bisogno del permesso e qui entra in gioco il famoso CHMOD, comando che permette di cambiare i permessi ai file.
Nei nostri spazi è tutto più semplice perchè PHP ed FTP appartengono allo stesso utente "FTP" e quindi PHP non deve chiedere nessun permesso per andare a manipolare/utilizzare i file che sono stati creati con FTP.


Come mai se dite che è così semplice e tutto dovrebbe andare senza toccare nulla il mio script non funziona?
Il problema è che alcuni script sono programmati in modo 'ottuso' e non vediamo il motivo di abbassare le nostre difese per errori dovuti ad altri. Che significa questo? Purtroppo esistono alcuni script che non verificano se possono scrivere in un determinato file o meno, bensì controllano solo il CHMOD attuale di un determinato file e a priori se non trovano il valore desiderato "pensano" che tale file non sia scrivibile, quando invece a tutti effetti lo è. Quando viene effettuato un settaggio a 777 entra in funzione un controllo di sicurezza che blocca file e cartelle con questo settaggio. A questo punto bisogna cliccare su "Ripristino spazio web" dal pannello di controllo.


Ma è veramente più sicuro questo settaggio?
Si e per diversi motivi qui elencati:

• questo settaggio non permette il "cross-hacking", ossia se un utente fa girare nel proprio sito del software bacato ed un hacker riesce a bucare il sito potrà limitarsi a fare danni solamente in quel sito visto che ogni sito web ha un PHP con i permessi personalizzati;
• settare una qualsiasi cartella o file a CHMOD 777 significa consegnare le chiavi dell'intero server in mano agli hacker e questo non possiamo permetterlo.

Posso settare un file a 444 o a "sola lettura" senza incorrere in blocchi?
Certamente! Le configurazioni più restrittive rendono ancora più sicuri i file e le cartelle presenti nello spazio web.