Golang在CentOS上如何進行安全配置

在CentOS上配置Golang環境時，除了基本的安裝和環境變量設置外，還需要考慮一些安全配置措施，以確保系統的安全性。以下是一些關鍵的安全配置步驟和最佳實踐：

基本安全配置

1. 禁用非必要的超級用戶：

   • 檢測具有超級用戶權限的賬戶：

     cat /etc/passwd | awk -F ':' '{print$1,$3}' | grep ' 0$'
     

   • 備份并鎖定或解鎖這些賬戶：

     cp -p /etc/passwd /etc/passwd_bak
     passwd -l <用戶名>  # 鎖定賬戶
     passwd -u <用戶名>  # 解鎖賬戶
     

   • 刪除不必要的賬戶，如adm, lp, sync等。

2. 強化用戶口令：

   • 設置復雜的口令，包含大寫字母、小寫字母、數字和特殊字符，并且長度大于10位。
   • 通過修改 /etc/login.defs 文件來強制執行這些要求：

     PASS_MIN_LEN 10
     

   • 檢查并強化空口令賬戶：

     awk -F ":" '($2 =="" ) {print $1}' /etc/shadow
     

3. 保護口令文件：

   • 使用 chattr 命令給 /etc/passwd, /etc/shadow, /etc/group, 和 /etc/gshadow 文件加上不可更改屬性：

     chattr +i /etc/passwd
     chattr +i /etc/shadow
     chattr +i /etc/group
     chattr +i /etc/gshadow
     

4. 設置root賬戶自動注銷時限：

   • 通過修改 /etc/profile 文件中的 TMOUT 參數，設置root賬戶的自動注銷時限：

     vi /etc/profile
     TMOUT=300
     

5. 限制su命令：

   • 通過編輯 /etc/pam.d/su 文件，限制只有特定組的用戶才能使用 su 命令切換為root：

     usermod –G wheel username
     

Golang特定的安全配置

1. 配置TLS加密通信：

   • 使用TLS加密Web流量，防止竊聽和篡改。配置示例：

     import (
         "crypto/tls"
         "net/http"
     )
     
     func main() {
         tlsConfig := &tls.Config{
             Certificates: []tls.Certificate{
                 // 加載你的證書和私鑰
             },
         }
     
         srv := &http.Server{
             Addr: ":8443",
             TLSConfig: tlsConfig,
         }
     
         srv.ListenAndServeTLS("path/to/cert", "path/to/key")
     }
     

2. 啟用HTTP嚴格傳輸安全(HSTS)：

   • 強制瀏覽器只通過HTTPS連接到你的網站：

     import (
         "net/http"
         "time"
     )
     
     func middlewareHSTS(next http.Handler) http.Handler {
         return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
             w.Header().Set("Strict-Transport-Security", "max-age=31536000; includeSubDomains")
             next.ServeHTTP(w, r)
         })
     }
     

3. 防止XSS和CSRF攻擊：

   • 禁用JavaScript：對于不需要JS的頁面，禁用JavaScript可以防止XSS攻擊。
   • 啟用CSRF保護：使用CSRF令牌或其他方法來防止CSRF攻擊。
   • 設置內容安全策略(CSP)：

     cspHeader := "default-src 'self'; script-src 'self'; style-src 'self'"
     
     func middlewareCSP(next http.Handler) http.Handler {
         return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
             w.Header().Set("Content-Security-Policy", cspHeader)
             next.ServeHTTP(w, r)
         })
     }
     

通過上述步驟和最佳實踐，你可以在CentOS上為Golang應用程序設置一個安全的運行環境。確保定期更新和維護你的系統和應用程序，以應對不斷變化的安全威脅。