{"id":4244,"date":"2010-08-24T15:50:40","date_gmt":"2010-08-24T13:50:40","guid":{"rendered":"https:\/\/www.artera.net\/it\/blog\/?p=4244"},"modified":"2023-02-27T14:55:45","modified_gmt":"2023-02-27T14:55:45","slug":"tomcat-securitymanager","status":"publish","type":"post","link":"https:\/\/www.artera.net\/it\/hosting\/tomcat-securitymanager\/","title":{"rendered":"Tomcat & SecurityManager"},"content":{"rendered":"

Hosting Tomcat<\/h3>\n

\"HostingI provider che supportano gli standard web di Java, cio\u00e8 servlet<\/strong> e pagine JSP<\/strong>, nella quasi totalit\u00e0 dei casi basano le loro soluzioni su una qualche versione di Tomcat<\/strong>, configurato in modo che sia condiviso fra pi\u00f9 utenti e web application. Questa modalit\u00e0 operativa \u00e8 sicuramente la pi\u00f9 economica, dato che un’istanza di Tomcat in genere \u00e8 avida di risorse (sia memoria che CPU), senza contare che se si avesse un’istanza per utente si arriverebbe velocemente alla saturazione del server, senza per questo avere evidenti benefici dal punto di vista delle prestazioni.<\/p>\n

Come possiamo immaginare utilizzare un Tomcat condiviso ha enormi ricadute dal punto di vista della sicurezza<\/strong>: pensate a cosa succederebbe se un’applicazione si mettesse ad eseguire codice arbitrario, come modifiche di variabili di sistema, o addirittura lo shutdown del server!<\/p>\n

Configurare il Security Manager<\/h3>\n

Per fortuna Tomcat eredita dalla piattaforma Java un meccanismo molto versatile di “messa in sicurezza” del codice, il cosiddetto Security Manager<\/strong>. Esso consiste in un file con estensione .policy<\/code> che indica a quali classi, package o metodi si ha accesso all’interno della JVM<\/abbr>. Il file di policy di default fornito con Tomcat \u00e8 conf\/catalina.policy<\/code><\/p>\n

Avviare tomcat sotto security manager \u00e8 un’operazione molto semplice, \u00e8 sufficiente lanciare il server con l’opzione -security<\/code>:<\/p>\n

[bash]$CATALINA_HOME\/bin\/catalina.sh start -security (Unix)
\n%CATALINA_HOME%\\bin\\catalina start -security (Windows)[\/bash]<\/p>\n

Test in locale<\/h3>\n

Attivare il security manager non \u00e8 affatto una semplice operazione del tipo “attivalo e dimenticalo”, perch\u00e9 una volta attivato la nostra applicazione (e qualsiasi libreria utilizzata) non avr\u00e0 pi\u00f9 accesso ad alcune funzionalit\u00e0 che in un ambiente di sviluppo “domestico” diamo quasi per scontate! \u00c8 quindi necessario testare a fondo l’applicazione<\/strong> con una configurazione di sicurezza il pi\u00f9 possibile simile a quella di produzione.<\/p>\n

I pacchetti di hosting di Artera<\/a> consentono di attivare il supporto alle JSP in modalit\u00e0 condivisa, le modifiche al file di policy sono le seguenti (aggiornate ad Agosto 2010<\/strong>):<\/p>\n

[bash]\/\/ Required for JNDI lookup of named JDBC DataSource’s and
\n\/\/ javamail named MimePart DataSource used to send mail
\npermission java.util.PropertyPermission "java.home", "read";
\npermission java.util.PropertyPermission "java.naming.*", "read";
\npermission java.util.PropertyPermission "javax.sql.*", "read";
\n\/\/ OS Specific properties to allow read access
\npermission java.util.PropertyPermission "os.name", "read";
\npermission java.util.PropertyPermission "os.version", "read";
\npermission java.util.PropertyPermission "os.arch", "read";
\npermission java.util.PropertyPermission "file.separator", "read";
\npermission java.util.PropertyPermission "path.separator", "read";
\npermission java.util.PropertyPermission "line.separator", "read";
\n\/\/ JVM properties to allow read access
\npermission java.util.PropertyPermission "java.version", "read";
\npermission java.util.PropertyPermission "java.vendor", "read";
\npermission java.util.PropertyPermission "java.vendor.url", "read";
\npermission java.util.PropertyPermission "java.class.version", "read";
\npermission java.util.PropertyPermission "java.specification.version",
\n"read";
\npermission java.util.PropertyPermission "java.specification.vendor", "read";
\npermission java.util.PropertyPermission "java.specification.name", "read";
\npermission java.util.PropertyPermission "java.vm.specification.version",
\n"read";
\npermission java.util.PropertyPermission "java.vm.specification.vendor",
\n"read";
\npermission java.util.PropertyPermission "java.vm.specification.name",
\n"read";
\npermission java.util.PropertyPermission "java.vm.version", "read";
\npermission java.util.PropertyPermission "java.vm.vendor", "read";
\npermission java.util.PropertyPermission "java.vm.name", "read";
\n\/\/ Required for OpenJMX
\npermission java.lang.RuntimePermission "getAttribute";
\n\/\/ Allow read of JAXP compliant XML parser debug
\npermission java.util.PropertyPermission "jaxp.debug", "read";
\n\/\/ Precompiled JSPs need access to this package.
\npermission java.lang.RuntimePermission
\n"accessClassInPackage.org.apache.jasper.runtime";
\npermission java.lang.RuntimePermission
\n"accessClassInPackage.org.apache.jasper.runtime.*";
\n\/\/ Precompiled JSPs need access to this system property.
\npermission java.util.PropertyPermission
\n"org.apache.jasper.runtime.BodyContentImpl.LIMIT_BUFFER", "read";[\/bash]<\/p>\n

Queste righe vanno a sostituire quelle presenti nella sezione WEB APPLICATION PERMISSIONS<\/em> all’interno di catalina.policy<\/em>, all’interno di un unico “grant”:<\/p>\n

[bash]\/\/ ========== WEB APPLICATION PERMISSIONS =====================================<\/p>\n

\/\/ These permissions are granted by default to all web applications
\n\/\/ In addition, a web application will be given a read FilePermission
\n\/\/ and JndiPermission for all files and directories in its document root.
\ngrant {<\/p>\n

[….] &lt;=== queste righe vanno sostituite<\/p>\n

}[\/bash]<\/p>\n

E se non funziona?<\/h3>\n

Purtroppo non sempre le web application funzionano senza problemi sotto security manager<\/strong>. I problemi maggiori sono dovuti solitamente dalle librerie, sviluppate senza tener conto di un possibile utilizzo in ambienti con restrizioni, ma non \u00e8 raro trovare anche nel proprio codice chiamate a metodi “proibiti”.<\/p>\n

In alcuni casi sar\u00e0 possibile apportare delle modifiche alle librerie: se si tratta di librerie open source, se si ha molto tempo a disposizione e se sono particolarmente facili da modificare… condizioni decisamente rare! In tutti gli altri casi bisogner\u00e0 necessariamente passare ad un pacchetto di hosting superiore<\/strong>, come un server dedicato<\/a> (virtuale o meno), dove sar\u00e0 possibile configurare con molta libert\u00e0 ogni parametro di funzionamento e dedicare l’intero Tomcat alle proprie applicazioni, senza doversi preoccupare delle restrizioni del security manager.<\/p>\n

Link<\/h3>\n