설치 보안 힌트

일반

LimeSurvey는 보안 문제를 매우 심각하게 받아들이며 신속하게 대응합니다. LimeSurvey에서 보안 문제를 발견하셨다면 버그 트래커에 버그 보고서를 등록하여 알려 주십시오(버그의 심각도 또는 카테고리를 'security'로 표시해 주십시오).

보안 문제/취약점 보고에 대한 자세한 내용은 보안 정책을 확인해 주십시오.

웹 서버 제한

Apache를 사용하는 경우 LimeSurvey에는 접근 제한을 위한 여러 htaccess 파일이 포함되어 있습니다. AllowOverride로 포함된 htaccess 파일이 허용되어 있는지 확인하십시오.

다른 웹 서버를 사용하거나 AllowOverride None을 사용하려는 경우 다음을 수행해야 합니다.

• (선택 사항) application, protected, framework 및 themes/*/views의 모든 파일에 대한 접근을 차단합니다.
• 사용자가 업로드한 파일 /upload/surveys/.*/fu_[a-z0-9]에 대한 접근을 차단합니다.
• (선택 사항) 업로드 디렉터리의 실행 파일에 대한 접근을 차단합니다.

nginx 예제는 일반 FAQ에서 확인할 수 있습니다.

Linux 파일 권한

Linux 서버를 사용하는 경우 LimeSurvey 설치를 보호하기 위해 파일 권한을 적절하게 설정해야 합니다.

Linux/*nix 파일 권한의 기본 사항

Linux/*nix 운영 체제는 다중 사용자 환경입니다. 즉, 개인 계정 외에도 시스템에 다른 사용자 계정이 있을 수 있으므로 다른 사용자에게 부여하는 권한에 주의해야 합니다.

힌트: 파일 권한 설정은 비밀번호와 같은 중요한 데이터가 들어 있는 설정 파일을 보호하는 데 특히 중요합니다.

최고 관리자 계정인 'root' 계정은 어떤 파일 권한을 설정하더라도 항상 파일에 접근할 수 있는 권한을 가진다는 점을 유념하십시오.

LimeSurvey를 실행하는 웹 서버도 특정 ID(사용자)로 실행됩니다. Linux에서는 보통 'www', 'www-data'(Debian/Ubuntu), 'apache' 또는 'nobody' 사용자입니다. 다만 일부 호스팅 업체는 suexec와 같은 시스템을 사용하여 개인 사용자 권한으로 LimeSurvey 스크립트를 실행할 수 있게 합니다. 물론 웹 서버 사용자는 LimeSurvey 파일을 읽을 수 있는 권한이 있어야 합니다. 그러나 웹 서버 사용자가 쓸 수 있어야 하는 LimeSurvey 하위 디렉터리는 극히 일부뿐입니다.

힌트: 쓰기 권한이 필요하지 않은 LimeSurvey 하위 디렉터리에 대해서는 웹 서버 사용자의 쓰기 권한을 제거하는 것이 좋습니다. LimeSurvey의 취약점이 발견되더라도 파일 시스템 권한 덕분에 주요 파일이 불법적인 수정으로부터 보호됩니다.

직접 관리하는 Linux 시스템에서 파일 권한 설정

웹 서버와 운영 체제 구성을 직접 관리하는 경우(물리 서버의 소유자이거나 root 접근 권한이 있는 가상 서버를 임대한 경우) 아래 권장 사항을 고려해 보십시오.

먼저 LimeSurvey 파일의 소유자와 그룹을 설정하면 파일 권한 설정이 쉬워집니다. 한 가지 방법은 LimeSurvey 파일의 소유자를 개인 사용자 이름으로, 그룹을 웹 서버 그룹으로 설정하는 것입니다. 일반적으로 이 웹 서버 그룹에는 웹 서버 계정(및 경우에 따라 다른 웹마스터 계정)만 포함됩니다. 예를 들어 사용자 이름이 'myaccount'이고 웹 서버 사용자가 'apache' 그룹의 'apache'라면, 셸에서 다음 명령을 사용할 수 있습니다: $ chown -R myaccount:apache limesurvey/. 그런 다음 파일 및 하위 디렉터리의 권한을 설정하십시오.

스크립트가 올바르게 작동하려면 일부 디렉터리에 대한 쓰기 권한이 필요합니다.

• /limesurvey/application/config 디렉터리는 애플리케이션 구성 설정을 저장하기 위해 읽기 및 쓰기 권한이 필요합니다.
• /limesurvey/tmp 디렉터리와 그 하위 디렉터리는 가져오기/업로드에 사용되므로 웹 서버에 읽기 및 쓰기 권한을 설정해야 합니다.
• upload/ 디렉터리와 모든 하위 디렉터리도 이미지 및 미디어 파일 업로드를 활성화하려면 읽기 및 쓰기 권한을 설정해야 합니다.
• 그 외 모든 디렉터리와 파일은 읽기 전용으로 설정할 수 있습니다.

호스팅 웹 서버에서 파일 권한 설정

호스팅 환경은 여러 면에서 서로 다르기 때문에 호스팅 환경에서 웹 애플리케이션을 보호하는 표준 절차를 제시하기는 상당히 어렵습니다.

관리형 서버의 경우 스크립트가 올바르게 작동하려면 서버에서 일부 디렉터리에 대한 쓰기 권한이 필요합니다.

• /limesurvey/tmp 디렉터리는 가져오기/업로드에 사용되므로 웹 서버에 읽기 및 쓰기 권한을 설정해야 합니다.
• upload/ 디렉터리와 모든 하위 디렉터리도 이미지 및 미디어 파일 업로드를 활성화하려면 웹 서버에 읽기 및 쓰기 권한을 설정해야 합니다.
• 그 외 디렉터리와 파일은 읽기 전용으로 설정해야 합니다.

힌트:

• 웹 서버 구성에 따라 쓰기 가능 폴더의 권한을 755 또는 777로 chmod하여 웹 서버가 쓸 수 있도록 해야 할 수 있습니다. 먼저 755를 시도하고, 작동하지 않으면 777로 '올리십시오'.
• config.php 파일의 권한을 750으로 설정하여 다른 사용자의 읽기 접근을 제거해 볼 수도 있습니다. 작동하지 않으면 755로 '올리십시오'.

Windows 파일 권한

Windows 서버를 사용하는 경우 admin 폴더가 웹 서버 프로세스의 소유자에게 이 디렉터리에 파일을 쓸 수 있도록 허용하는지 확인해야 합니다. 나머지 파일은 읽기 전용 및 실행으로 설정할 수 있습니다.

기타 보안 문제

다음은 권장 사항일 뿐입니다. LimeSurvey는 이러한 추가 조치가 없어도 일반적으로 매우 안전합니다. 하지만 매우 민감한 데이터를 수집하는 경우 약간의 추가 보안 조치가 도움이 될 수 있습니다.

SSL 사용

민감한 설문조사 데이터에는 SSL 사용을 권장합니다. 일반적으로 웹 서버를 올바르게 구성하고 SSL 인증서를 사용하여 SSL을 활성화합니다. SSL을 활성화했다면 LimeSurvey의 전역 설정에서 항상 SSL을 강제로 사용하도록 설정해야 합니다. 또한 config.php의 해당 옵션을 수정하여 '보안' 쿠키만 사용하도록 설정할 수도 있습니다.

config.php 파일 접근

  application/config/config.php 파일은 최초 설치가 완료되고 정상적으로 작동한 후에만 수정해야 합니다.

/application/config/config.php 파일에는 데이터베이스 서버의 사용자 이름과 비밀번호가 들어 있습니다. 특히 데이터베이스에 대한 높은 수준의 관리자 권한이 있는 로그인을 사용하는 경우 몇 가지 보안 문제가 발생할 수 있습니다. 어떤 오류로 인해 이 PHP 파일의 내용이 사용자의 브라우저에 반환되면 데이터베이스 비밀번호와 기타 세부 정보가 노출될 수 있습니다(다만 매우 드문 경우입니다). 위험을 최소화하는 가장 좋은 방법은 LimeSurvey 데이터베이스에 대해서만 특정 권한을 가진 전용 로그인을 만드는 것입니다.

이 정보를 보호하는 또 다른 방법은 /application/config/config.php 파일의 정보를 웹 디렉터리가 아닌 위치에 두는 것입니다. 예를 들어 Apache 사용자의 경우 htdocs(public_html 또는 www라고도 함) 폴더의 상위 디렉터리가 이에 해당합니다. 기본적으로 config.php는 그대로 사용하되, 실제 구성 정보가 들어 있는 파일을 포함하는 한 줄만 남겨 둡니다(예: <?php return include("/home/hostfolder/safedata/configreal.php"); ?>). /application/config/config.php에서 실제 구성 정보를 모두 제거하고, /application/config/config.php 파일에서 지정한 다른 파일(configreal.php)에 붙여넣습니다. 이 다른 파일은 웹 디렉터리가 아닌 위치에 있어야 합니다. 그러면 /application/config/config.php에는 데이터베이스 비밀번호 등이 포함되지 않고, 데이터베이스 정보가 실제로 들어 있는 파일의 이름만 남게 됩니다.

config.php가 실제 구성 정보가 모두 들어 있는 웹 디렉터리 외부의 구성 파일로 '연결'해 주므로, /application/config/config.php를 포함하는 다른 모든 파일을 변경할 필요가 없습니다.

또한 기본 사용자로 "admin"이나 "administrator"를 사용하지 마세요. MySQL 데이터베이스(또는 LimeSurvey를 설치한 데이터베이스)에 접속하여 기본 사용자 이름 "admin"을 원하는 이름(예: "admin_xyz")으로 변경하세요. 그러면 관리자의 새 사용자 이름을 추측하기가 훨씬 어려워집니다. 이는 침입자가 접근 권한을 얻는 데 사용할 수 있는 두 가지 변수 중 하나입니다. 관리자 비밀번호가 나머지 하나입니다. 따라서 두 가지 모두 매우 신중하게 선택하세요.

콘텐츠 보안 정책(CSP)

면책 조항 - 여기에 제공된 CSP는 예시일 뿐이며 그대로 사용하기 위한 것이 아닙니다. 시작점으로 제공된 것이므로 반드시 사용자 환경에 맞게 수정하고 충분히 테스트해야 합니다.

<IfModule mod_headers.c>
        Header always set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; base-uri 'none'; form-action 'self'; frame-ancestors 'self'; upgrade-insecure-requests" "expr=%{CONTENT_TYPE} =~ m#text\/(html|javascript)|application\/pdf|xml#i"
</IfModule>