[Sysadmins] #12898

[Michael Shigorin]

On Tue, Sep 25, 2007 at 04:36:33PM +0400, Alexander Volkov wrote:
> TB> https://bugzilla.altlinux.org/show_bug.cgi?id=12898  :
> TB> > У меня предложение поставить по умолчанию Option -Indexes, т.к.
> TB> > возможность просмотра содержания каталога сайта -- потенциальная дыра
> TB> > в безопасности.
> А оно по умолчанию разве включено?

Для /var/www/html -- включено.

Можно выключить для /var/www/vhosts, поскольку для собственно
виртхостов оно и рекомендуется.  Можно повыключать везде.

Ещё из мест, где политика по индексам может отличаться --
/home/*/public_html/.

> TB> Его же всегда можно переопределить в .htaccess, причем просмотр
> TB> содержимого каталога редко когда нужно бывает.
> Согласен.

Понимаете, в чём дело.

Я не могу оценить, сколько существующих установок это
изменение сломает (поскольку рано или поздно оно попадёт
в updates/дистрибутив).  Поскольку последний год ознаменовался
несколькими весьма несвоевременными наступления на грабли, где
были слишком закручены гайки там, где это ничего особенно не
решало -- теперь предпочитаю дуть хотя бы на свою воду.

Правило, что следует отключать автоиндексирование каталогов,
где оно не требуется (или использовать в качестве политики) -- 
вполне известно среди сколь-нибудь опытных вебмастеров.  С одной
стороны, они могут и поставить (и отключить); с другой -- им
обычно влом делать рутинные действия, которые напрашиваются 
в дефолт.

Поэтому мне сложно самому здесь решить: apache-1.3 у нас по таким
вот дефолтам скорее придерживается консервативной линии ("никому 
ничего не сломать ненароком") или наоборот -- подстраивается под
тех предположительно опытных пользователей, которые до сих пор на
нём сидят.

Поэтому и попросил мнения общественности.

PS: если кто-либо смотрел сборку в Daedalus, которая
"гармонизирована" с apache2 -- буду благодарен за отзывы.
Его бы хорошо смержить, но времени и сил на оценку возможных
проблем не хватает.

-- 
 ---- WBR, Michael Shigorin <mike на altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/