Salve,
sono un nuovo utente e mi sono registrato per chiedervi il vostro parere...
Ho un server web ospitante un sito contenente dati delicati degli utenti. Quindi, vorrei ottenere la massima sicurezza possibile.
Questo è ciò che ho fatto finora:
- il server è Debian Etch 64 bit, con installazione minimale
- gli unici server installati sono SSH (ovviamente ), Apache2 (quello presente nei repositories ufficiali di Debian), PHP 5.2.8 (pacchetti di dotdeb.org, contenenti anche patch come la suhoshin) e MySQL 5.0 (sempre dai pacchetti di dotdeb.org)
- non ho installato alcun server FTP: utilizzo solamente SFTP (FTP over SSH). ciò mi consente di avere un demone in meno in esecuzione, oltre al fatto che SFTP è più sicuro (FTP trasmette tutto in chiaro, compresi i dati di login)
- i file "sensibili" sono memorizzati in una cartella fuori dalla document_root di apache
- ho disabilitato tutti gli .htaccess (tutte le impostazioni le faccio direttamente nel file httpd.conf)
- ho nascosto la signature del server
- ho disabilitato queste funzioni nel file php.ini: phpinfo, dl, curl_exec, curl_init, curl_multi_exec, parse_in i_file, passthru, show_source, proc_close, proc_get_status, proc_nice, proc_open , proc_terminate, exec, shell_exec, system, popen, pclose,pfsockopen, leak, apac he_child_terminate, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix _setuid, escapeshellcmd, escapeshellarg
- dl() è disattivo, e PHP è impostato per non mostrare gli errori ma loggarli solamente
c'è qualcos'altro che posso fare?
ho letto in giro del chrooting, ma, a parte il fatto che non sono riuscito a configurarlo , molti sostengono che sia inutile in quanto facilmente superabile...
grazie in anticipo per le vostre risposte.
ciao,
alessandro