Koji su osetljivi resursi koje ne bi trebalo da čuvate u public_html vašeg sajta?

Teško da postoji korisnik koji nije ubeđen u prednosti generisanja i održavanja arhive informacija. Posebno je važno ako imate sajt i mejlove – osnove digitalnog prisustva.

U ovom članku obratićemo pažnju na rizike javno dostupnih arhiva i osetljivih podataka, koji se nalaze u direktorijumu sajta.

Arhivska datoteka (rezervna kopija) datoteka/baze podataka može se nalaziti na hosting nalogu, na primer ako:

• Spremate se da otpremite novi sajt i generisali ste arhivu starog sajta (myoldsite-files.zip, myoldsite-db.sql);
• Možda ste premestili ove arhive u poddirektorijum (na primer /public_html/backup/myoldsite-files.zip);
• Prebacili ste instalacioni paket na sistem (na primer, wordpress-x-y-z.zip) jer želite da ga instalirate ručno.

Kada se arhiva nalazi u public_html direktorijumu ili u osnovnom direktorijumu sajta, ta arhiva je javno dostupna. na primer:

https://mysite.com/myoldsite-files.zip
https://mysite.com/backup/myoldsite-db.sql

Uvek Vas podsećamo da je važno da generišete arhivu sajta i da je uskladištite lokalno na svom uređaju ili negde bezbedno. Pogledajte zašto je važno da budete pažljivi i budni oko toga gde čuvate svoje arhive.

WordPress

Ako koristite WordPress, sa dva klika možete da proverite da li imate rizične datoteke u direktorijumu sajta.

Prijavite se na cPanel » WordPress Manager » Sigurnosne provere.

Alat automatski skenira sadržaj matičnog direktorijuma u potrazi za arhivskim datotekama i drugim osetljivim resursima. Ukoliko se neki otkriju, videćete poruku „Postoje arhive dostupne na vebu“.

Kliknite Prikaži da biste videli datoteke.

Izaberite jednu od opcija za svaki od resursa. Preporučuje se da premestite datoteku u bezbedni direktorijum (jedan nivo iznad public_html) ili da je izbrišete ako Vam nije potrebna.

Arhivska datoteka sajta

Ukoliko je ime arhivske datoteke uobičajeno, kao što je site.zip, backup.zip, backup.tar.gz, archive.tar.gz, itd., ova adresa se može pogoditi i Vaša arhiva može biti slobodno dostupna. Na ovaj način neko drugi može lako doći do Vaših informacija!

Arhiva često čuva i konfiguracionu datoteku sistema (na primer, ako je WordPress – wp-config.php). Ova datoteka sadrži osetljive podatke – podatke baze podataka. Ovo se u potpunosti odnosi ne samo na datoteke sajta, već i na bazu podataka i e-poštu. Ukoliko arhiva sadrži i kopiju baze podataka i mejlove, u takvoj situaciji treća strana bi mogla da dobije sve Vaše podatke.

Datoteka baze podataka (.sql)

Ukoliko postoji izvoz baze podataka dostupan u javno dostupan direktorijum, može se pristupiti i preuzeti. Na ovaj način, treća lica mogu dobiti sve Vaše podatke u bazi podataka – kupce, informacije o porudžbini, lične podatke itd.

Ukoliko je datoteka izvezena iz baze podataka sa starog sajta, ona može sadržati potencijalno osetljive informacije, kao što su detalji za prijavu korisnika, lični podaci ili vlasničke informacije. Ako je ova datoteka dostupna, zlonamerni hakeri mogu da pristupe i zloupotrebe ove osetljive podatke.

Direktorijum „old“, „backup“ ili „archive“

Gde čuvate staru verziju sajta?

Sa razvojem tehnologije uvek dolazi vreme za promene. Sada imate novi sajt i jedva čekate da ga otpremite. Ali ne želite da izbrišete stari sajt. Na prvi pogled može izgledati kao dobra odluka da se stari sajt premesti u direktorijum koji se zove old, backup, archive ili nešto drugo.

Kakve rizike ovo predstavlja?

Stari sajt ostaje „star“ – ne ažurira se, ne primenjuju se bezbednosne ispravke iz novih verzija. Obično su svi napori usmereni na ažuriranje i održavanje novog sajta. Stari sajt ostaje u pozadini, uključujući ažuriranje sistema. Međutim, neprimenjivanje novih verzija predstavlja bezbednosni rizik zbog mogućih ranjivosti koda. A pošto su oba sajta dostupna na istom hosting nalogu, bezbednosni rizik je veći.

Pristup osetljivim podacima. Stari sajt možda još uvek sadrži osetljive podatke u bazi podataka. Rizici su isti kao da imate arhivsku datoteku na sajtu.

Instalacioni paket CMS platforme

Iako je sada vrlo lako instalirati skoro svaku CMS platformu koju možete zamisliti preko Softaculous-a, u nekim slučajevima ćete možda morati da koristite ručnu instalaciju – tako što ćete otpremiti instalacioni paket na svoj nalog. Najčešće će to biti arhivska datoteka koja se raspakuje i rezultirajući sadržaj sadrži datoteku za pokretanje PHP instalacije. Na primer, kada ručno instalirate WordPress, arhivska datoteka wordpress-x-y-z.zip se otprema na hosting nalog i raspakuje. Procedura instalacije će početi učitavanjem sajta u pretraživač.

Ne želite da neko drugi završi instalaciju sistema na hosting nalogu. Ako se to dogodi, on može pokušati da izvrši zlonamerne radnje – na primer, da izmeni sistemske datoteke platforme preko administrativnog panela i ubaci zlonamerni kod u njih.

_

Ukoliko koristite WordPress, omogućite dodatnu zaštitu – da sprečite uređivanje sistemskih fajlova preko administracije. Prijavite se na WordPress Manager » Sigurnosne provere » onemogućite mogućnost uređivanja fajlova preko administracije.

Zaštita pristupa resursu u public_html

Važno: Preporučljivo je da premestite resurs izvan public_html direktorijuma. Na primer, jedan nivo više – u /home/cpaneluser.

Ukoliko iz nekog razloga morate da zadržite osetljiv resurs u veb direktorijumu sajta, možete primeniti određenu zaštitu od neželjenog pristupa.

Postoje različiti načini za zaštitu pristupa resursima. Neki su pogodni za početnike, drugi za naprednije korisnike.

Zaštita putem pristupnih podataka (korisničko ime i lozinka)

Kada pokušate da učitate sadržaj direktorijuma koji sadrži osetljivi resurs, od korisnika će se tražiti da unese korisničko ime i lozinku za pristup.

Ovu zaštitu možete omogućiti preko cPanel » Zaštita direktorijuma lozinkom.

Sigurnost preko htaccess datoteke

U .htaccess fajlu koja se nalazi u istom direktorijumu kao i resurs koji želite da zaštitite, postavite sledeća pravila:

<Files "mybackup.file">
Order Allow,Deny
Deny from All
</Files>

– mybackup.file zamenite imenom fajla.