apache,mysqlなどをインストールするとなぜユーザーが作られるのですか？

Question

質問はタイトルの通りです。
apacheパケージをインストールすると勝手にapacheというユーザーやグループが作成されます。
なぜでしょうか？

ps aux | grep httpdを実行したらhttpdはapacheが動かしている風に見られます。
httpdはapacheというユーザーが実行しているということですか？

Answer 1

以下は推測ですが、
0. apacheにしてもMySQLにしても実行するユーザが必要である
0. もし作成しない場合は既に存在しているユーザで実行する必要があるが、そのユーザのアクセス可能な範囲とapache等がアクセス可能であるべき範囲は異なる可能性が高くなる。

その結果として問題になる点として
0. アプリケーションの不具合/バグによって、アクセスしてはいけないファイルにアクセスしてしまうケースが発生する
例）ApacheがMySQLのデータファイルのロックを奪ってしまい、MySQLが動作しなくなる、/etc/以下を消してしまう等
0. apache等が乗っ取られた場合の被害が本来アクセスすべき範囲よりも拡大する

と言ったことが発生するからではないでしょうか。

Comments

[tanat]

> ps aux | grep httpdを実行したらhttpdはapacheが動かしている風に見られます。
httpdはapacheというユーザーが実行しているということですか？

はい。ご提示の例ではhttpdはapacheユーザが動かしているという事になります。
*OS/ディストリビューションによって作成されるユーザは変わることもあるかとは思います。

[mint.cherry]

回答ありがとうございます。
分けられているのもセキュリティの関係なんですね。
apacheユーザーが乗っ取られた場合に権限で被害が最小(apacheがアクセス可能な所)で済むということですか？
実際に起きた事例があるのでしょうか？

[tanat]

> apacheユーザーが乗っ取られた場合に権限で被害が最小(apacheがアクセス可能な所)で済むということですか？
そうですね。

apacheやそのモジュールの脆弱性で任意のコードが実行され得るケースというのは
事件として発覚してるかどうかはおいておいて、頻繁に発見されています。

https://www.google.co.jp/webhp?sourceid=chrome-instant&ion=1&espv=2&ie=UTF-8#q=apache%20%E4%BB%BB%E6%84%8F%E3%82%B3%E3%83%BC%E3%83%89%20%E5%AE%9F%E8%A1%8C

また、設定ミスでapacheユーザをログイン可能なユーザに設定してしまって、ブルーフォースアタックで突破されるなんていうケースも割とよくあるケースだと思います。

[tanat]

あ、誤解があるといけませんが、
"ユーザが作られる"
のはそういった機能/設定を持つパッケージ管理ツール経由でインストールした時であって、
ソースから自分でビルドしてインストールした場合にはユーザは作られません。

[mint.cherry]

返信ありがとうございます。
URLありがとうございます詳しく見たいと思います。
やっぱり、ログインがそもそもできない使用になっているのですね。[sudo su apache]とやっても変わらなかったので…完全にapacheを動かす為だけのユーザー？

apacheをログインできるような設定にしても、攻撃者は最初にapacheがログインできるようなユーザーだと気づく必要があります。どのようにして気づくのかも気になります…

[mint.cherry]

質問ばかりですいません（汗）
実はそれも気になっていました。ソースからビルドがわかっていないです。
２つインストールの方法があるということなんですか？
yum install などのパッケージ管理を使った方法
wgetなどで圧縮したパッケージをもらう方法
後者のほうがユーザーが作られないということなのですね。

[tanat]

そうですね。
例えばyumでインストールされた場合に作られるapacheユーザはnologinに指定されていて、apacheを動かすためだけのユーザです。

>apacheをログインできるような設定にしても、攻撃者は最初にapacheがログインできるようなユーザーだと気づく必要があります。どのようにして気づくのかも気になります…
気づいてアタックをかけてくるわけでは無く、
この場合、telnetやSSHでのログイン試行を辞書攻撃や総当たりで試すケースが殆どかと思います。
とりあえず22番ポートにアクセスしてみて、ポートが空いてたらrootとかapacheとかtestuserみたいなありがちなユーザ名でログイン試行してみる。という感じです。

[tanat]

Linuxにおけるソフトウェアのインストールについては
Linux ソフトウェア インストール あたりで検索して上位に出てくる
http://note.kurodigi.com/post-0-15/
に良くまとまっていたので読んでみて下さい。

[mint.cherry]

返信ありがとうございます。
そういえば、/etc/passwdのapacheユーザーを確認したところapacheのところはnologinになってました。
パスワードだけでなくそこも総当たりなんですね（汗）個人的に思うのは、sshをパスフレーズではなく鍵にしちゃえばいいと思うのですが…

URLありがとうございます。見させていただきます。

[tanat]

はい、sshに関していえば、sshのパスワードログインを不許可にして、鍵認証だけにするのは非常に有効な方法というか、プロが設定する場合はやらないと重過失を問われるレベルの必須項目だと思います。
合わせて、IPによるアクセス制限も行っておけば、かなり固くなりますね。

ただ、例えそうなっていても、ログインが必要無いユーザに関してはnologinにしておくのは必要ですね（正確には、ログインの必要のあるユーザにだけloginを許可する形）

[mint.cherry]

返信ありがとうございます。いろんなことが解消されすっきりしました。ありがとうございます。
インフラの業務を携わっているときに、sshは踏み台に鍵認証、それぞれへパスフレーズという感じでやっています。IPも制限かけていました。

そうですね、必要なぶんだけログイン可能にすればいいのですね。