CageFS en el día a día del alojamiento web: aislamiento del sistema de archivos entre cuentas de clientes

Por qué las cuentas de alojamiento necesitan aislamiento

En el alojamiento compartido, varios clientes alojan sus sitios web en el mismo servidor. Si se compromete un script en la cuenta A, este puede intentar recopilar información sobre el entorno y acceder a archivos de otras cuentas. Entre ellos pueden encontrarse archivos de configuración con datos de acceso o datos personales. La separación de las cuentas tiene por objeto dificultar este tipo de accesos, aunque la infraestructura sea compartida.

Entre ellos se encuentran Visibilidad y derechos de acceso Cuestiones diferentes. El nombre de un directorio puede ser visible, aunque los permisos de archivo impidan leer su contenido. Por el contrario, una visualización restringida por sí sola no basta para sustituir a unos permisos configurados con cuidado: lo que sea accesible dentro del entorno debe seguir estando debidamente protegido.

CageFS amplía los permisos con un entorno de sistema de archivos específico para cada usuario. Un proceso en el contexto previsto no tiene simplemente la misma visión del servidor que un administrador. De este modo, se pretende que un script ejecutado desde la cuenta A no pueda explorar fácilmente los directorios de otras cuentas. Las áreas que realmente son visibles dependen de la configuración.

Para los operadores, esto supone una Capa de separación, no se garantiza que no haya repercusiones en otros clientes. Los errores en los servicios compartidos, los permisos demasiado amplios o una integración incompleta de los servicios pueden afectar a la eficacia de la protección. Por ello, el aislamiento debe comprobarse allí donde se ejecutan realmente los programas de los clientes, y no solo a partir de una configuración en el panel de administración.

Para los clientes de alojamiento web, esta distinción también es importante: el hecho de que una aplicación propia no vea ningún directorio ajeno solo describe, en primer lugar, su contexto de ejecución concreto. Esto no garantiza ni la configuración de todos los servicios ni la protección de todas las demás cuentas. El proveedor sigue siendo responsable de la configuración y el control generales.

Cómo diseña CageFS la vista del sistema de archivos

CageFS ofrece a los usuarios una visión propia del sistema de archivos. Se basa en el Esqueleto: una plantilla con archivos y directorios que se proporcionan para el entorno correspondiente. Se incorporan los elementos necesarios; incluso el directorio de inicio del usuario se integra en su entorno. Por lo tanto, el árbol de directorios visible no es simplemente una copia inalterada de la vista del servidor.

La integración se puede ilustrar con un ejemplo: un administrador instala un programa en el servidor, pero un proceso de cliente no lo encuentra en su entorno. Esto no significa necesariamente que haya un error de instalación. El programa puede estar presente en el servidor sin que esté disponible en el esqueleto o a través de las integraciones previstas para el cliente.

Por el contrario, cada archivo adicional que se pone a disposición amplía el entorno al que tiene acceso un proceso. Lo mismo ocurre con un directorio montado. Por lo tanto, los administradores deben sopesar las necesidades funcionales frente a la visibilidad adicional: es posible que una aplicación necesite una herramienta concreta y sus dependencias, pero no necesariamente todo un directorio del servidor.

El Configuración de montaje Determina qué partes del sistema de archivos aparecen en el entorno. Sin embargo, no es el único factor que decide si un proceso puede leer, modificar o ejecutar un archivo visible. Para ello, siguen siendo relevantes, entre otros aspectos, la propiedad y los permisos. Por lo tanto, una ruta visible no equivale a un acceso de escritura permitido.

El directorio de inicio propio sigue siendo especialmente importante para el día a día del alojamiento web: allí es donde suelen encontrarse los archivos de la cuenta correspondiente. Esta integración permite el acceso en el contexto previsto, mientras que el resto de la vista queda restringida. Sin embargo, que una aplicación concreta pueda acceder a todos los archivos necesarios depende de su configuración y de las rutas realmente disponibles.

CageFS, LVE y riesgos comunes

CageFS y LVE resuelven problemas distintos. CageFS configura la vista del sistema de archivos y el contexto de ejecución de un usuario; LVE Sirve para registrar y limitar recursos como la CPU, la memoria y las operaciones de entrada y salida. Un proceso con acceso restringido al sistema de archivos puede seguir consumiendo recursos. Por el contrario, un límite de recursos por sí solo no impide el acceso a archivos compartidos de forma incorrecta.

Un panel de control de alojamiento cumple otra función: entre otras cosas, gestiona cuentas y puede integrar componentes de CloudLinux. Sin embargo, el mero hecho de instalar un panel no garantiza que todos los procesos web, todos los shells y todas las tareas programadas se ejecuten en el contexto CageFS previsto. Los administradores deben comprobar cuál es la integración adecuada para su plataforma concreta.

CageFS no consiste en una máquina virtual independiente para cada cuenta. Las cuentas siguen utilizando un núcleo común y pueden depender de servicios gestionados de forma conjunta. Por lo tanto, cualquier vulnerabilidad o configuración incorrecta en estos componentes compartidos sigue formando parte del modelo de amenazas. El aislamiento del sistema de archivos reduce parte del entorno visible, pero no sustituye a la protección ni al mantenimiento del host.

Incluso dentro de una cuenta correctamente aislada siguen existiendo riesgos. Por ejemplo, una aplicación vulnerable puede revelar sus propios datos; los datos de acceso robados pueden permitir a un atacante acceder a la cuenta afectada. CageFS no corrige ni el código de aplicación inseguro ni los permisos excesivamente amplios sobre los archivos a los que se puede acceder desde dicha cuenta.

Por lo tanto, para que una estrategia de seguridad sea sólida, las distintas capas deben encajar entre sí: integrar correctamente las cuentas y los servicios, controlar los permisos de los archivos, seleccionar adecuadamente los límites de recursos y mantener las aplicaciones actualizadas. La eficacia de la protección que se obtenga dependerá de la configuración real y de los servicios que se presten. El nombre de un único componente no sustituye a esta comprobación.

Analizar las cuentas y los sitios web por separado

Tener dos cuentas de cliente en el mismo servidor no es lo mismo que tener dos sitios web dentro de una misma cuenta. CageFS proporciona un entorno específico para cada usuario, lo que limita la visibilidad de una cuenta sobre el sistema de archivos. Sin embargo, esto no implica que cada sitio web dentro de esa cuenta disponga de un límite propio en el sistema de archivos.

Si una agencia gestiona varios proyectos en la misma cuenta de alojamiento, sus aplicaciones pueden acceder a los archivos de otros proyectos, dependiendo del contexto de ejecución y de los permisos. Por lo tanto, si un atacante logra acceder a un sitio web a través de un plugin vulnerable, es necesario comprobar a qué archivos de configuración y datos de acceso se puede acceder desde esa cuenta. La separación respecto a una segunda cuenta de cliente no resuelve esta cuestión.

Para obtener un resultado más fino Separación de sitios web CloudLinux ofrece, mediante CloudLinux Isolates, un aislamiento adicional del sistema de archivos por dominio. Su disponibilidad depende de la disponibilidad concreta del producto, la versión y la integración con el panel de control. Comprueba estos requisitos para tu propia pila de alojamiento, en lugar de dar por hecho que existe una separación entre dominios basándote únicamente en la activación de CageFS.

Los límites de LVE por dominio también son una función independiente con sus propios requisitos. Por lo tanto, un límite adicional del sistema de archivos no implica automáticamente que la CPU o la memoria estén limitadas por separado para cada dominio. El artículo sobre Aislamiento de sitios de CloudLinux Aprofunda en la diferencia entre el nivel de cuenta y el de sitio web; los requisitos de la variante de producto utilizada siguen siendo determinantes para la configuración.

Para la planificación, conviene empezar por hacer un balance: ¿qué sitios comparten una cuenta, qué archivos deben compartir y qué datos de acceso deben mantenerse separados? A partir de ahí, se puede determinar si lo más adecuado para el modelo operativo son cuentas separadas o un aislamiento basado en dominios. Ambas variantes requieren un análisis de las rutas de uso reales.

Comprobar el estado de Pilot y CageFS

Antes de una prueba piloto, como administrador, debes comprobar si se admite la versión del sistema operativo utilizada, si se dispone de los paquetes necesarios y de la licencia, y si el panel de control está correctamente integrado. El hecho de que un panel sea compatible, según la documentación, no significa que todas las funciones funcionen igual en todas las combinaciones. Anota también qué aplicaciones y herramientas necesitan las cuentas de prueba seleccionadas.

Empieza con cuentas de prueba expresamente autorizadas y una selección limitada de aplicaciones típicas. Comprueba sus directorios de inicio, los programas necesarios y las rutas de ejecución relevantes antes de añadir más cuentas. Para la puesta en marcha, puedes utilizar el modo en el que CageFS está desactivado por defecto y se activan cuentas individuales; como alternativa, existe un modo en el que está activado por defecto con excepciones.

Los siguientes comandos de lectura están destinados a administradores con permisos en un sistema en el que esté instalado CageFS. TESTBENUTZER Sustituye por una cuenta existente autorizada para la prueba. Los derechos necesarios y el resultado concreto dependen del sistema; los comandos no modifican ninguna configuración.

/usr/sbin/cagefsctl --cagefs-status
/usr/sbin/cagefsctl --display-user-mode
/usr/sbin/cagefsctl --user-status TESTBENUTZER

El primer comando muestra el estado global de CageFS, y el segundo, el Modo de funcionamiento. El tercero consulta el estado de la cuenta seleccionada. El modo y el estado de la cuenta deben considerarse conjuntamente: un modo activado de forma predeterminada puede tener excepciones, mientras que en el otro modo se incluyen expresamente cuentas concretas.

Un resultado positivo no es prueba suficiente de que todos los servicios funcionen realmente en el contexto previsto. Por lo tanto, documenta por separado lo que indica la administración y qué rutas de ejecución se han comprobado con la cuenta de prueba. Solo entonces se podrá decidir si la prueba piloto puede ampliarse a otras cuentas y qué excepciones son necesarias desde el punto de vista operativo.

Comparación de estrategias de protección

Los enfoques se diferencian principalmente en qué límite establecen y quién lo gestiona. La tabla clasifica sus objetivos de protección; los datos sobre los gastos de funcionamiento son indicaciones cualitativas de planificación, no valores medidos. Los requisitos concretos dependen de la plataforma en cuestión y de su configuración.

Los permisos de archivo y una visibilidad restringida no son conceptos intercambiables: incluso una ruta visible no tiene por qué ser legible, y una ruta compartida debe protegerse adecuadamente. CageFS complementa estos derechos mediante un entorno diseñado específicamente. LVE, por su parte, se centra en el consumo de recursos; para un uso conjunto, ambas capas deben configurarse adecuadamente.

A máquina virtual propia desplaza el límite de administración frente a un entorno específico del usuario: el sistema invitado debe gestionarse por sí mismo y sigue dependiendo de la plataforma de virtualización. Un servidor independiente modifica de nuevo la infraestructura compartida. La variante más adecuada dependerá del modelo de amenazas, de los derechos necesarios y de los recursos operativos disponibles.

Por lo tanto, una clasificación general de seguridad resultaría engañosa. Para comparar otros mecanismos y sus respectivos ámbitos de aplicación, resulta útil la visión general sobre Aislamiento de procesos en el alojamiento web. A continuación, lo decisivo es el análisis concreto: ¿qué límite debe impedir qué tipo de acceso, qué servicios lo traspasan y quién supervisa la configuración?

Probar las rutas de ejecución de forma controlada

El hecho de que una cuenta esté activada no garantiza que todos los procesos asociados se inicien realmente en CageFS. Lo decisivo es el respectivo Ruta de ejecución: El inicio de sesión por SSH, el servidor web y las tareas programadas pueden utilizar diferentes integraciones. Por lo tanto, los administradores deben comprobar, para cada servicio relevante, cómo este asigna los procesos a la cuenta y a su entorno.

Para realizar una prueba controlada, el operador crea una cuenta de prueba autorizada y utiliza exclusivamente archivos de prueba propios que hayan sido expresamente autorizados. Un archivo dentro del entorno previsto puede mostrar si el acceso esperado funciona; un archivo preparado por separado fuera de la vista prevista sirve para comprobar la delimitación. Los directorios de clientes externos no son un material de prueba adecuado para ello.

Comprueba primero a través de SSH qué entorno tiene realmente la cuenta de prueba y si se puede acceder a los archivos de prueba previstos tal y como se esperaba. Repite la comprobación con una aplicación web configurada para ello y una tarea programada. Los resultados pueden variar si los servicios están integrados de forma diferente o se ejecutan en un contexto de usuario distinto.

Anota el servicio, la cuenta, la ruta y el resultado de cada intento. Un acceso denegado solo confirma el límite observado en ese contexto concreto; no demuestra ni el aislamiento correcto de todos los servicios ni la seguridad de todo el host. Por el contrario, un acceso inesperadamente exitoso debería investigarse antes de poner en funcionamiento más cuentas.

Como cliente de alojamiento, puedes comprobar tu propio contexto de ejecución y los archivos compartidos. Normalmente, no puedes verificar de forma independiente la configuración global de CageFS, otras cuentas ni la integración de todos los servicios. El administrador es el responsable de estas cuestiones; si detectas alguna anomalía, descríbele el servicio afectado y la ruta concreta.

Falta de herramientas y mantenimiento del esqueleto

Si una herramienta está instalada en el servidor, pero no aparece en la cuenta del cliente, comprueba primero el contexto de ejecución. Una llamada a través de SSH no tiene por qué utilizar el mismo entorno que una aplicación web o una tarea programada. A continuación, comprueba la ruta de búsqueda y el mensaje de error concreto antes de dar por hecho que falta un paquete.

A continuación, el operador comprueba el Esqueleto y la configuración de montaje. El esqueleto determina, en parte, qué archivos y directorios se ponen a disposición en CageFS. Por lo tanto, un programa puede estar presente en el host y, sin embargo, no estar disponible en el entorno específico del usuario; también deben tenerse en cuenta las bibliotecas necesarias y otras dependencias a la hora de ponerlo a disposición.

La solución práctica no consiste en montar, por precaución, directorios de host de gran tamaño. Esto podría hacer que se mostraran más archivos de los necesarios para la tarea. En su lugar, el administrador debería seleccionar los archivos de programa y las dependencias necesarias siguiendo la documentación del fabricante y, a continuación, comprobar en el contexto de servicio previsto si la herramienta funciona.

A Mantenimiento de Skeleton También hay que tener en cuenta los cambios en los paquetes del sistema y en el panel de control. CloudLinux recomienda realizar una actualización periódica; tras determinados cambios, puede ser necesario realizar una actualización forzada. También puede ser necesaria tras una reconstrucción de Apache. Esto no significa que haya que ejecutar el mismo comando manual después de cada actualización.

Planifica la actualización en función de la plataforma utilizada y, a continuación, comprueba las aplicaciones y herramientas afectadas. Si una aplicación funcionaba anteriormente y deja de hacerlo tras un cambio, la fecha de la modificación del paquete, el servicio afectado y el mensaje de error exacto te ayudarán a delimitar el problema. De este modo, se puede distinguir entre un problema de implementación y un error de la aplicación.

Operar con seguridad y tomar decisiones informadas

A la hora de tomar una decisión operativa, no basta con saber si CageFS está disponible en principio. El operador debe saber qué cuentas y servicios deben protegerse, qué programas se necesitan para ello y quién se encarga de la integración y el mantenimiento. La visibilidad limitada del sistema de archivos complementa otras medidas de seguridad; no sustituye ni a las aplicaciones seguras ni a la protección de los datos de acceso.

Merecen una atención especial zonas comunes y montajes adicionales. CloudLinux describe para /dev/shm una integración conjunta y una opción de aislamiento por usuario. Para determinar qué variante se aplica realmente, es necesario comprobarlo en función de la configuración concreta. Los montajes adicionales solo deben proporcionar lo que necesitan las aplicaciones, ya que pueden ampliar el entorno visible.

Un error al iniciar sesión en CageFS también tiene implicaciones de seguridad. A partir de la versión 7.2.0-1 de CageFS, CloudLinux documenta una opción que permite impedir la ejecución de procesos en caso de que se produzca dicho error. Comprueba la versión instalada y la configuración real, en lugar de deducir su comportamiento en una oferta de alojamiento concreta a partir de la mera existencia de esta opción.

Los cambios en Skeleton, las monturas o la asignación de cuentas deben incluirse en un Procedimientos de mantenimiento. Ten en cuenta los posibles remounts, las aplicaciones afectadas y una ventana de mantenimiento; además, documenta cómo se puede revertir el cambio en caso de que surjan problemas. A continuación, se deben volver a comprobar las rutas de ejecución pertinentes y las herramientas necesarias con las cuentas de prueba previstas.

Para los clientes, la cuestión fundamental es qué tipo de segregación aplica realmente el proveedor y cómo la comprueba. Por su parte, los operadores deben sopesar conjuntamente las necesidades de protección y el esfuerzo que ello supone: un entorno demasiado generoso puede debilitar la segregación, mientras que uno demasiado restrictivo puede afectar a las aplicaciones necesarias. Ambas situaciones exigen una configuración deliberada y revisiones periódicas.