Логгирование обращений к CI

[OmegaTron]

У этой голосовалки растут ноги из данной темы.

Для меня отсутствие логгирования обращений к CI это преимущественно изъян в безопасности, ибо на роутер можно ломиться через digest-авторизацию сколько угодно долго и ты об этом даже не будешь знать. Я не прошу деактивировать старую схему работы ибо работать с digest-авторизацией в разы проще, чем с новой, я прошу лишь логгировать обращения

Заодно, не помешало бы писать в лог, какая команда была запрошена на выполнение через CI (да и через RCI тоже), это бы сильно могло облегчить отладку скриптов  (да и в случае несанкционированного доступа было бы видно, что там творит злоумышленник).

Изменено 4 декабря, 2018 пользователем OmegaTron

[Le ecureuil]

23 часа назад, OmegaTron сказал:

У этой голосовалки растут ноги из данной темы.

Для меня отсутствие логгирования обращений к CI это преимущественно изъян в безопасности, ибо на роутер можно ломиться через digest-авторизацию сколько угодно долго и ты об этом даже не будешь знать. Я не прошу деактивировать старую схему работы ибо работать с digest-авторизацией в разы проще, чем с новой, я прошу лишь логгировать обращения

Заодно, не помешало бы писать в лог, какая команда была запрошена на выполнение через CI (да и через RCI тоже), это бы сильно могло облегчить отладку скриптов  (да и в случае несанкционированного доступа было бы видно, что там творит злоумышленник).

CI устарел, и ничего на его счет делаться не будет. Digest со временем выпилится. Насчет ломиться долго и упорно - из внешних сетей есть lockout policy, а для своих в Home на самом деле ничего не поможет - проще вам ARP подменить и утащить все и полностью.

Полный лог команд это тоже издевательство - посмотрите при открытом web сколько шлется команд. У вас лог замусорится через 10 секунд, столько данных вы просто не в силах охватить.

[OmegaTron]

2 часа назад, Le ecureuil сказал:

Полный лог команд это тоже издевательство - посмотрите при открытом web сколько шлется команд. У вас лог замусорится через 10 секунд, столько данных вы просто не в силах охватить.

Ну изначально это предложение касалось CI с digest, который в веб-фейсе не задействован, а RCI я указал "прицепом". Как вариант - вывод содержимого запрошенной команды в лог при наличии определённого хедера или наоборот при его отсутствии (т.е. то что идёт через веб - скипается ибо содержит хедер - "флаг", а остальные запросы - идут в лог).

2 часа назад, Le ecureuil сказал:

а для своих в Home на самом деле ничего не поможет - проще вам ARP подменить и утащить все и полностью

Так речь не об утаскивании, а о манипуляциях, которые могут быть произведены незаметно для конечного юзера, ведь нет никакой фиксации произведённых действий.