ownCloud auf Heimserver - Apache, MySQL & Co in VM laufen lassen - sinnvoll?

[cc_aero]

Grüß euch,

vor kurzem habe ich begonnen mir einen kleinen Heim-Server einzurichten ... hauptsächlich um Daten zentral speichern zu können (RAID). Als Betriebssystem verwende ich Debian 7.1.
Derzeit wickelt der Server DNS anfragen (BIND), IP-Vergabe (ISC-DHCP) ab. Die Netzwerkfreigabe der Daten erfolgt per Samba-Freigaben.
Zur Verwaltung der User hab ich einen LDAP-Server eingerichtet (auf diese greift auch SAMBA zu).

Nur zur eigentlichen Frage:
Damit ich auf meine Daten auch von extern bzw. unterwegs zugreifen kann, möchte ich mir gerne "ownCloud" einrichten - das ganze soll dann am besten via SSL abgesichert sein.

Nun stellt es sich mir die Frage ob ich den Apache und den MySQL-Server in eine Virtuelle Maschine (via KVM) auslageren soll, um die Sicherheit etwas zu steigern (kein direkter Zugriff auf die eigentliche Maschine von außen).
Die Daten, welche ownCloud zur Verfügung stehen sollen, würde ich dann via Samba im FS der VM einbinden.

Würde diese Konfiguration sinn machen oder wäre sie für den Zweck zuviel Aufwand?
Apache "chrooten" wäre natürlich auch eine Option, allersings wäre mir da der Aufwand zu hoch (allein wegen laufender Wartung, Udpates, etc)...

 

[SymA]

Kann man machen, aber halte ich jetzt nicht unbedingt für sinnvoll. Gib dem Datenbankuser nur lokalen Zugriff und Lager die Owncloud Daten außerhalb des var-www Ordners. Das dürfte ich meinen Augen reichen - Zugriff natürlich mit .htaccess z.B. oder MySQL-Auth absichern und fertig.

 

[Daaron]

Man muss Apache nicht "chrooten"... denn der Apache-User (www-data) hat eh recht dünne Rechte. Da aktuell keine nennenswerten Sicherheitslücken in Apache bekannt sind und Millionen Webserver weltweit mit sensiblen Daten trotzdem wunderbar ohne chroot auskommen, würd ich mir da keine Platte machen.

Auch das Verschieben der Dateien außerhalb von /var/www ist nicht nötig. Spätestens wenn MPM-ITK eingesetzt wird, sind die Risiken mehr als überschaubar.

 

[Tyr0]

Darüber hinaus kannst du via Owncloud (über die Webseite und dem lokalen / mobilen Client) die Daten symmetrisch verschlüsseln. Wenn du also ein ausreichend starkes Anmeldepasswort verwendest sind die Daten (per TLS) während der Übertragung geschützt und darüber hinaus auf der lokalen Maschine nicht lesbar.