O que o "Exigir tudo concedido" do Apache realmente faz?

Acabei de atualizar meu servidor Apache para o Apache / 2.4.6, que está sendo executado no Ubuntu 13.04. Eu costumava ter um arquivo vhost que tinha o seguinte:

<Directory "/home/john/development/foobar/web">
    AllowOverride All 
</Directory>

Mas, quando corri, recebi a mensagem "Proibido. Você não tem permissão para acessar /"

Depois de pesquisar um pouco, descobri que, para fazer meu site funcionar novamente, era necessário adicionar a seguinte linha "Exigir tudo concedido" para que meu vhost se parecesse com este:

<Directory "/home/john/development/foobar/web">
    AllowOverride All 
    Require all granted
</Directory>

Quero saber se isso é "seguro" e não traz nenhum problema de segurança. Li na página do Apache que isso "imita a funcionalidade fornecida anteriormente pelas diretivas 'Permitir de todos' e 'Negar de todos' '. Esse provedor pode aceitar um dos dois argumentos que são' concedidos 'ou' negados '. exemplos concederão ou negarão acesso a todos os pedidos ".

Mas não foi dito se isso era algum tipo de problema de segurança ou por que agora precisamos fazê-lo quando, no passado, você não precisava.

apache-2.2 apache-2.4 permissions access-control-list John Crawford
fonte

Os documentos de atualização explicam as alterações 'Controle de acesso' em detalhes. httpd.apache.org/docs/2.4/upgrading.html

John Magnolia

Respostas:

A configuração do controle de acesso foi alterada na 2.4, e as configurações antigas não são compatíveis sem algumas alterações. Veja aqui .

Se sua configuração antiga era Allow from all(nenhum endereço IP impedido de acessar o serviço), então Require all grantedé o novo equivalente funcional.

Shane Madden
fonte

Sem mencionar, o método antigo era terrivelmente confuso e estava muito atrasado para ser substituído por algo mais sensato.

Michael Hampton

Para uma mudança tão grande, espero que algum tipo de suporte migre automaticamente os arquivos de configuração ou mostre pelo menos todos os pontos em que uma mudança é necessária.

precisa

Seria bom ver uma demonstração de trabalho Require all denied.

Kraang Prime

Eu não acho que isso é equivalente Allow from all. Você precisa "mesclar" Require all grantedcom outras Requireregras existentes . No meu caso, um existente Require valid-userfoi ignorado ao converter cegamente a configuração, como é recomendado em qualquer lugar. Esta foi a pior coisa que poderia acontecer ...

rudimeier

Seria bom ter uma resposta adequada à pergunta do OP. "Permitir de todos os equivalentes" não é muito satisfatório.

Sharcoux

Eu sei que é um post antigo, mas acho que posso ajudar mais com um exemplo funcional que eu sempre uso!

No apache 2.2, seria assim:

    <Location />
       Order deny, allow
       allow from all
    </Location>
    <Location /adm>
        Order deny, allow
        deny from all
        allow from myniceip
    </Location>
    <Location /disabled>
        Order deny, allow
        deny from all
    </Location>

No apache 2.4 seria como:

   <Location />
       require all granted
    </Location>
   #Note that you dont need to use require all denied
   #to require only a group of ips.. 
    <Location /adm>
        require ip myniceip
    </Location>
    <Location /disabled>
        Require all denied
    </Location>

Tenha cuidado ao usar a autenticação htacess , essa nova sintaxe pode fazer coisas ruins e inesperadas ; se esse for o seu caso, leia: https://unix.stackexchange.com/questions/413309/apache-2-4-wants-me- para decidir-exigir-válido-ip-ou-exigir-válido-usuário e você deve ficar bem!

Luciano Andress Martini
fonte

Para mim, a presença de require all grantedautenticação HTTP impedida funciona, então obrigado pela informação.

authentictech

@authentictech Não basta exigir que todos os concedidos possam quebrá-lo. A autenticação esperada pode ser completamente interrompida com essa nova sintaxe se você não usar RequireAll ou RequireAny corretamente. Leia: unix.stackexchange.com/questions/413309/… . Obrigado pelo feedback.

Luciano Andress Martini