SirLouen's questions

Depois que vários sites em um host foram hackeados ao mesmo tempo, comecei a pesquisar alguns anos atrás e li em algumas perguntas do SF uma solução para o meu problema: pools PHP-FPM

Basicamente, esta foi a estrutura que projetei depois disto:

E por muito tempo eu me senti muito confiante de que tudo estava muito mais seguro do que antes, porque se um site fosse hackeado de alguma forma, isso nunca afetaria os outros sites no mesmo host.

Mas alguns meses atrás, comecei a falar com alguns caras do docker, e eles me disseram que eu deveria começar a experimentar com contêineres e migrar minha solução para um sistema dockerizado completo. Eles me sugeriram usar o Caddy. Mas depois de ler a documentação do Caddy, notei que a nova estrutura se parece com isso:

Basicamente, o que posso ver é que o servidor Caddy tem acesso irrestrito total a todos os arquivos. Diferentemente do Nginx anterior, em que tudo parecia compartimentado, aqui parece que se houver um problema de segurança no servidor Caddy, tudo pode ser comprometido.

Eu entendo que na maioria das vezes, a maioria dos hacks vem de erros de codificação nos pontos finais, o que significa que os elos mais fracos são os servidores docker FPM que são compartimentados. Mas se o Caddy for comprometido, ele vazará informações completas de todos os volumes

Neste ponto, tenho duas perguntas:

1. Já que muitas pessoas estão defendendo que o Docker é uma das opções mais seguras, estou esquecendo de algo? Sinto que isso é um pouco menos seguro do que meu sistema anterior (embora seja verdade que se todo o sistema de arquivos em um único host for comprometido, então não importa se há uma limitação de permissão de arquivo no host, então, nesse aspecto, é verdade que o Docker é mais seguro)

2. Há alguma outra prática para tornar a configuração Docker/Caddy/FPM mais segura da perspectiva de acesso a arquivos/PHP-software-dia-zero além de manter o sistema atualizado? Atualmente, tenho sockets de arquivo entre Caddy e FPM, mas sinto que ter todos os arquivos em apenas um host expõe muito o todo.

Configurei todos os meus sites em diferentes /var/wwwsubdiretórios. Digamos que eu tenha 5 sites baseados em um CMS como o WordPress em /var/www/a.com, /var/www/b.com, /var/www/c.come ./var/www/d.com/var/www/e.com

Mas descobri que se eu der permissões de administrador a alguém em a.com, com certos plugins, eles podem obter acesso para rastrear /var/wwwe acessar um diretório diferente, digamos /var/www/c.com, portanto, eles podem obter acesso lendo, por exemplo, o arquivo de configuração ( wp-config.php) no caso do WordPress, porque em última análise, os plugins de listagens de diretórios fazem isso através do servidor web, que pode ter permissões de acesso de grupo.

A única solução que encontro é restringir o acesso total tanto ao convidado quanto ao grupo apenas neste arquivo, portanto, tecnicamente, ele será acessível apenas via SSH com acesso root, mas isso pode levar a erros, pois o servidor web não poderá acessar, a menos que o usuário do servidor web é o proprietário.

Isso me leva à conclusão de que há um risco inerente se você hospedar vários sites no mesmo host e eles executarem o mesmo daemon de servidor web. Mas deve haver uma solução, porque isso é feito por centenas de hospedagens na web em todo o mundo.

Alguém pode me recomendar uma solução para este cenário?