¿Pueden otros clientes en alojamiento compartido ver solicitudes de / a mi sitio?

Dado que los atacantes potenciales (los otros clientes en el host compartido) pueden ver sus procesos (al igual que usted ve los suyos), su Wiki y lo que haga con ellos están protegidos de sus ojos curiosos por el Unix security model : en términos generales, los usuarios no root no pueden impactarse entre sí, sujeto a los derechos de acceso a archivos, directorios y dispositivos. Por lo tanto, debe asegurarse de que los directorios que contienen su sitio tengan los derechos de acceso adecuados (use chmod para configurarlos). Tenga cuidado de que el propio servidor web pueda acceder a ellos.

Supongo que su software Wiki utiliza una base de datos, probablemente MySQL . Dicho sistema de base de datos utiliza su propia capa de autenticación y aplica su propia separación de usuarios. Una vez más, consulte la documentación de la base de datos para verificar si la separación de usuarios se aplica correctamente.

En última instancia, su modelo de seguridad se basa en la falta de vulnerabilidades locales que permiten a los usuarios estándar (como usted u otros clientes) obtener acceso de root en la máquina o perforar la capa de separación de usuarios en la base de datos. Un vistazo a esta base de datos mostrará que este postulado puede ser un poco ambicioso. Los exploits locales ocurren bastante, principalmente porque es más difícil protegerse contra ellos que contra los exploits remote (a los profesionales de seguridad de TI les gusta decir que "la superficie de ataque para los usuarios locales es muy grande") y también porque muchas personas simplemente no se preocupan por ellos (las explotaciones locales no importan mucho cuando no tiene usuarios locales potencialmente hostiles). Como de costumbre, esto es un compromiso de riesgo frente a costo : si la seguridad es realmente importante para usted, debe alquilar un servidor dedicado , no un alojamiento compartido.

Una nota sobre SSL y la URL: con HTTPS, la URL misma pasa por el túnel y, por lo tanto, está cifrada. Sin embargo, el observador externo puede ver la longitud de los registros de datos cifrados, y así inferir la longitud (en bytes) de la URL que visita en su Wiki. Esta pequeña fuga puede o no ser importante para usted; si es así, intente obtener estas longitudes idénticas para todas las páginas.

Si el servidor compartido está configurado correctamente, ningún otro usuario podrá ver nada con respecto a su cuenta (registros de acceso, archivos, etc.). Lamentablemente, no siempre es así.

Si ese wiki es tan importante que necesita preocuparse por los otros clientes en el servidor, le sugiero que obtenga un VPS .