Il semble que ce soit plus sécurisé que les suexec, suphp et autre ruid d'apache. Parce qu'avec ces derniers outils précités, on est obligé d'avoir en permanence un Apache2 en root pour pouvoir su-er en utilisateur au moment de faire les requêtes à mod_php (il faut donc que l'apache root aie connaissance des requêtes). Avec des suexec-like on gagne la sécurité d'avoir des sites exécutés sous des utilisateurs différents et donc des hébergés qui ne peuvent pas espionner leurs voisins, mais on prend le risque qu'un exploit sur une vulnérabilité d'Apache donne... les droit root, et pas seulement www-data ! Bref, ça ne protège que des honnêtes gens dans un monde sans faille.
Si tu as un exploit pour nginx ou php-fpm... tu resteras à priori restreint à ton utilisateur. L'escalade d'un pool vers le master est un peu plus complexe, il me semble (autant que de passer de www-data à root avec un apache sans suexec-like).
ce commentaire est sous licence cc by 4 et précédentes
[^] # Re: pool php5-fpm
Posté par Thomas Debesse (site web personnel, Mastodon) . En réponse au journal Journal tuto : Plateforme LEMP. Évalué à 4.
Il semble que ce soit plus sécurisé que les suexec, suphp et autre ruid d'apache. Parce qu'avec ces derniers outils précités, on est obligé d'avoir en permanence un Apache2 en root pour pouvoir su-er en utilisateur au moment de faire les requêtes à mod_php (il faut donc que l'apache root aie connaissance des requêtes). Avec des suexec-like on gagne la sécurité d'avoir des sites exécutés sous des utilisateurs différents et donc des hébergés qui ne peuvent pas espionner leurs voisins, mais on prend le risque qu'un exploit sur une vulnérabilité d'Apache donne... les droit root, et pas seulement www-data ! Bref, ça ne protège que des honnêtes gens dans un monde sans faille.
Si tu as un exploit pour nginx ou php-fpm... tu resteras à priori restreint à ton utilisateur. L'escalade d'un pool vers le master est un peu plus complexe, il me semble (autant que de passer de www-data à root avec un apache sans suexec-like).
ce commentaire est sous licence cc by 4 et précédentes