Приветсвую!

Недавно провели аудит и наткнулись на проблемку:

сабж: на astralinux se 1.6 в директории /var/www/html/ хранятся различные html файлы, с различными мандатными атрибутами (0−3)

Собственно траубл: при логине юзера из-под 0 мандатного уровня конф-ти, в файловой системе отображаются html файлы с 0-выми атрибутами. Но если открыть через браузер и вручную прописать в адресной строке путь до html файлов с атрибутами 1 и выше, то они открываются и отображаются, чем и нарушают политику безопасности.

#ps -ef | grep apache2, работает от системного пользователя «www-data»

ок, выдал права «www-data» на чтение информации из БД пользователей и сведений о мандатных метках:

usermod -a -G shadow www-data
setfacl -d -m u:www-data:r /etc/parsec/macdb
setfacl -R -m u:www-data:r /etc/parsec/macdb
setfacl -m u:www-data:rx /etc/parsec/macdb

Проблема осталась. Пользователь с 0 уровнем конф-ти имеет доступы к html страницам с атрибутом 1 и выше.

делал по мануалу: https://wiki.astralinux.ru/pages/viewpage.action?pageId=1212514

sos! need help! заранее спасибо!
apache Astra Linux SE версия 1.6
    Аутентификация ALD или PAM? – Робот
    tnx for response. для защищенного apache обязателен ALD или PAM? – Аноним
    Конечно, без аутентификации никак. – Робот
    Большое спасибо! попробую, отпишусь! – Аноним
    можете пожалуйста скинуть ваш шаблон виртального хоста? Когда делаю по мануалу: http://lab50.net/настройка-защищенного-apache/ apache не может запуститься изза ошибки в AuthPAM_Enabled on, если закоментить эти строки, то все работает нормально – Аноним
    В версии 1.6 нужна другая настройка, см. рук-во админа для 1.6: https://wiki.astralinux.ru/download/attachments/27362076/Ruk_admin.pdf?version=1&modificationDate=1534772408188&api=v2 – Робот
    прокомментировать

    Лучший ответ

    0
    		 
    Нужно вот так: /etc/apache2/sites-available/mysite1.conf

<VirtualHost *:80>
ServerName mysite1
ServerAlias www.mysite1.com
ServerAdmin webmaster<a class="ap-mention-link" href="https://old.lab50.net/questions/user/localhost">@localhost </a> 
DocumentRoot /var/www/html/mysite1

<Directory /var/www/html/mysite1> 
    AuthType Basic
    AuthName "PAM authentication" 
    AuthBasicProvider PAM 
    AuthPAMService apache2 
    Require valid-user
    Options Indexes FollowSymLinks MultiViews
    AllowOverride None
</Directory>

ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined

</VirtualHost>
      прокомментировать

      2 ответа

      0

      @Робот, согласно рук-ду админа в пункте 6.3 добавил в cfg файл виртуальго хоста /etc/apache2/sites-available/мойсайт.conf, следующие строки:

      AuthType Basic
      AuthName «PAM authentication»
      AuthBasicProvider PAM
      AuthPAMService apache2
      Require valid-user

      Но при рестарте апача выдает следующую ошибку (см.скриншот)

      Attachments

      Screenshot_7.jpg
        Давайте файл вашего сайта, посмотрим. – Робот
        конфиг sites-available? или вы про php и html страницы? – Аноним
        конфиг – Робот
        Добрый день. Так же возникли проблемы при настройке apache2 в AstraLinux 1.6. ```AH00526: Syntax error on line 11 of /etc/apache2/sites-enabled/000-default.conf: сен 06 21:51:36 astra apachectl[2592]: Unknown Authn provider: PAM сен 06 21:51:36 astra apachectl[2592]: Action 'start' failed. ``` Настраивал из примера в инструкции. – dvqrn1k
        Ответ обновлен на нужный. – Администрация
        прокомментировать
        0
        		 
        cat /etc/apache2/sites-available/mysite1.conf

<VirtualHost *:80>
	ServerName mysite1
        ServerAlias www.mysite1.com
	ServerAdmin webmaster@localhost 
	DocumentRoot /var/www/html/mysite1

AuthType Basic
AuthName "PAM authentication" 
AuthBasicProvider PAM 
AuthPAMService apache2 
Require valid-user
<Directory /var/www/html/mysite1>
Options Indexes FollowSymLinks MultiViews
AllowOverride None
</Directory>


	ErrorLog ${APACHE_LOG_DIR}/error.log
	CustomLog ${APACHE_LOG_DIR}/access.log combined

	</VirtualHost>

# vim: syntax=apache ts=4 sw=4 sts=4 sr noet
          Полагаю, все эти инструкции следует перенести в Directory – Администрация
          Спасибо! работает! топик можно закрывать – Аноним
          прокомментировать
          ×

          выполните вход

          Задан

          Просмотрен

          3412 раз

          Ответы

          1 ответа

          Подписано

          0 подписалось

          Обсужден