LAMPP als Produktivsystem: Ratsam?

[ollie]

Hallo allerseits,

zunächst mal: DICKKKKES Lob an Euch hier, die Apachefriends-"Distro" ist die Beste, die ich kenne (und ich habe eigentlich fast alle ausprobiert!).

Nun zu meiner Frage:

Mir ist klar, dass AF eigentlich nur zu lokalen Testzwecken gedacht ist. Aber da ich mich in den letzten Wochen ausgiebig mit dem Thema "Mein eigener, aktueller LAMPPserver" auseinandergesetzt habe, bin ich wirklich "fed-up" mit all den Unzulänglichkeiten bei den aktuellen Linux-Distributionen und Konfigurationsorgien via configure-make-make install. Die Apache 2.x-Unterstützung bei SuSE8.2 ist zum Beispiel eine Krankheit. Wenn man dann noch php 4.3.3 dabei haben möchte, baut man's besser komplett selbst und fängt dann doch wieder bei null an.

Langer Rede - Kurzer Sinn:

Ich will XAMPP als Produktivsystem einsetzen, da es
1. einfach
2. schnell
3. komplett
eingerichtet ist.

Apache läuft schon als user "wwwrun". Das war ja, dank httpd.conf, kein Problem.

Auch den Webmin haben wir auf HTTPS umgebogen bekommen. (s. Beitrag von DocEvil79).

Wenn ich mir allerdings anschaue, dass bei mysql die child-prozesse als "nobody" laufen (der eine gültige Shell hat), habe ich so meine Bedenken.

Beim RPM-Paket von SuSE wird mysql als user "mysql" gestartet (Option --user=mysql) und hat keine gültige shell!

Wo liegt denn das mysql-Startscript, in dem ich den --user parameter setzen kann?

Und: gibt es noch andere Punkte, die ich beachten sollte, wenn mein XAMPP dem bösen Internet ausgesetzt ist?


Wäre nett, wenn Ihr mir mal was dazu schreiben könntet, dann könnte ich ruhiger schlafen

[Oswald]

Huhu ollie!

Vielen Dank für die Blumen! *freu*

An anderer Stelle hab ich schon in diesem Forum geschrieben, dass sich XAMPP auch für den Einsatz in Produktion eignet. Sofern man auf Passwörter etc. achtet.

Das MySQL unter nobody läuft sollte keinerlei Sicherheitsprobleme bereiten. Das nobody dabei eine Shell eingetragen hat ist belanglos. Bei wwwrun ist es auch so. Und wenn ein Hacker eine Lücke im MySQL gefunden hat, dann ist es ihm auch gegal ob der nun eine Shell hat oder nicht. Spielt keine Rolle.

Trotzdem, wenn Du Dich besser fühlst: /opt/lampp/bin/mysql.server ist das entsprechende Skript. Bitte denk auch daran, dass alles unter /opt/lampp/var/mysql auch dem neuen Benutzer gehören sollte.

Liebe Grüße,
Oswald

[ollie]

Hallo Kai,

danke für die schnelle Antwort!

Also wenn Du mir sagst, dass das ausreicht, wie es in der LAMPP Standardkonfiguration voreingestellt ist, lasse ich's gerne so. Da vertraue ich auf Dein Wissen als "Alter Hase". Ist vielleicht auch bei eventuellen Updates einfacher. Ich habe zwar in meinen 5 Jahren Webmasterln "nur" einmal "Besuch" gehabt, will aber natürlich sichern, wo's nur geht.

Die Passworte sind natürlich alle gesetzt, unnötige Benutzer aus den Datenbanken sind ebenfalls gelöscht.

Was ich bei der LAMPP - Lösung halt auch genial finde ist, dass ich nur noch ein einziges Verzeichnis sichern muss und bei einem GAU innerhalb von 25 Minuten wieder online bin, inclusive System installieren. Das hatte ich bei der Auflistung der Vorteile ganz vergessen. Die ewige "Zusammenklauberei" von Konfigurationsdateien bei einer Sicherung aus verschiedenen Verzeichnissen hat somit auch ein Ende.

Also nochmals: Vielen Dank, XAMPP ist genial!

[pir187]

@ollie:
du hast von "unnötigen" nutzern für mysql gesprochen, welche sind deiner meinung nach "unnötig"?


bin auf deine antwort gespannt!
mfg, pir187

[ollie]

@ollie:
"unnötigen" nutzern für mysql

Hallole pir187,

bei mir kommt KEIN Benutzer an irgendwas, was ich nicht selbst eingerichtet habe. Dazu zählt auch, dass ich MySQL als allererstes von der Test-Datenbank befreie und von den Einträgen in der Tabelle users in der Datenbank mysql, in denen kein Username eingetragen ist. Mag sein, dass das paranoid ist, aber wozu einen Benutzer anlegen, der nichts darf? Also: Weg damit.

Genau so verhält es sich mit dem Benutzereintrag für root, der in der "Hosts"-Spalte den Eintrag "Linux" gesetzt hat. Selbst wenn ich den durch ein passwort sichere, ist es für mich sicherer, wenn root-Anfragen an MySQL (wie auch alle anderen) nur von localhost aus erlaubt sind.