Hallo in die Runde!
Mich interessieren doch mal ein paar Meinungen zum Thema SafeMode - habt ihr den selber aktiviert und meint ihr es macht Sinn?
Mir geht irgendwie nur darum, dass ich im Freundeskreis da immer die krassesten Meinungen höre und von denen auch zu lesen bekomme. Zum Beispiel gibt es eine deutsche Forensoftware die recht bekannt ist, wo der Autor/Programmierer allen Leuten wo pauschal rät den SafeMode zu deaktivieren, denn das wäre völlig gefahrenlos und das würde dann alles toll laufen.
Dann bekomme ich immer wieder die selben Sätze zu hören, dass die Zeitschrift c't ja soooooo vertrauenswürdig sei und angeblich so viele Hoster vorgestellt werden die alle SafeMode off haben.
Also mein persönliches Bild ist ja, dass alle Hoster die ich kenne, den SafeMode auf on haben und dann am Markt die Kinderzimmerprovider ins Spiel kommen, denn die bieten den Leuten mit Scripten die SafeMode off brauchen eben Webspace zum Dumpingpreis und das auf Kosten der Sicherheit und zum Dumpingpreis.
Nun stellt sich eben bei uns im Verein mir echt immer wieder die Frage, ob man Ausnahmen macht und SafeMode off für einige Mitglieder anbietet und ich dann noch ruhig schlafen kann, denn besonders Joomla ist mir irgendwie ein Dorn im Auge was Sicherheit angeht und dazu noch SafeMode off beschert mit kein gutes Bauchgefühl ...
Wenn man mal Google befragt, dann bekommt man ja auch diverse Meinungen wo der Trend schon in Richtung geht, dass der besser auf ON sein soll.
SafeMode -Meinungen gesucht
-
daemotron
- Administrator
- Posts: 2641
- Joined: 2004-01-21 17:44
Re: SafeMode -Meinungen gesucht
Der bessere Ansatz ist definitiv, PHP pro Webpräsenz unter einem dedizierten User auszuführen (entweder als CGI per suphp oder als FastCGI) und selbige mit den Security Mechanismen des Betriebssystems entsprechend einzuschränken (Berechtigungen, ACLs, MAC).Das PHP-Handbuch wrote:Safe Mode is deprecated in PHP 5.3.0 and is removed in PHP 6.0.0.
“Some humans would do anything to see if it was possible to do it. If you put a large switch in some cave somewhere, with a sign on it saying 'End-of-the-World Switch. PLEASE DO NOT TOUCH', the paint wouldn't even have time to dry.” — Terry Pratchett, Thief of Time
-
Roger Wilco
- Posts: 5923
- Joined: 2004-05-23 12:53
Re: SafeMode -Meinungen gesucht
Nein, ich habe den Safe Mode nicht aktiviert. Abgesehen davon, dass diese Funktion, wie von jfreund beschrieben, in kommenden PHP-Versionen nicht mehr zur Verfügung steht, solltest du auch http://ilia.ws/archives/18_PHPs_safe_mo ... urity.html lesen. Kleiner Hinweise dazu: Ilia Alshanetsky ist der Release Manager für PHP 5.2.Raid wrote:Mich interessieren doch mal ein paar Meinungen zum Thema SafeMode - habt ihr den selber aktiviert und meint ihr es macht Sinn?
Das ist korrekt. Alle größeren ISPs, die ich kenne, haben auf ihren Shared-Hosting-Plattformen den PHP Safe Mode deaktiviert.Raid wrote:Dann bekomme ich immer wieder die selben Sätze zu hören, dass die Zeitschrift c't ja soooooo vertrauenswürdig sei und angeblich so viele Hoster vorgestellt werden die alle SafeMode off haben.
Ich kenne das eher andersherum. Nur die Wohnzimmerprovider haben den Safe Mode aktiviert, weil sie das System nicht richtig absichern können. Und weil Confixx eine schöne Checkbox zum Anklicken dafür bietet...Raid wrote:Also mein persönliches Bild ist ja, dass alle Hoster die ich kenne, den SafeMode auf on haben und dann am Markt die Kinderzimmerprovider ins Spiel kommen
Last edited by Roger Wilco on 2009-11-05 11:34, edited 1 time in total.
-
raid
- Posts: 119
- Joined: 2003-08-01 09:32
Re: SafeMode -Meinungen gesucht
Danke für eure Postings, wenn ich den Inhalt von dem Link von Roger Wilco richtig auffasse, dann ist der Ilia da nicht wirklich vom SafeMode überzeugt.
Was ich mich aber frage und das schon seit einiger Zeit, wenn denn dann in PHP6 der SafeMode fehlt, wie verhält sich das denn dann? So wie wenn man jetzt den SafeMode off hat?
Ich muss gestehen, ich hab seit Jahren immer den SafeMode auf ON bei unseren Vereinsmitgliedern und hab da viel drauf gegeben, wahrscheinlich werd ich mich doch mal mit dem Gedanke suPHP und dafür SafeMode Off anfreunden müssen. Ich hab zwar irgendwie im Hinterkopf von einigen Leuten die ich kenne, wo das in einem Chaos geendet hat nachträglich auf suPHP umstellen, aber da werd ich mich mal einlesen, Hauptsache die Sicherheit steht im Vordergrund und alles funktioniert.
Was ich mich aber frage und das schon seit einiger Zeit, wenn denn dann in PHP6 der SafeMode fehlt, wie verhält sich das denn dann? So wie wenn man jetzt den SafeMode off hat?
Ich muss gestehen, ich hab seit Jahren immer den SafeMode auf ON bei unseren Vereinsmitgliedern und hab da viel drauf gegeben, wahrscheinlich werd ich mich doch mal mit dem Gedanke suPHP und dafür SafeMode Off anfreunden müssen. Ich hab zwar irgendwie im Hinterkopf von einigen Leuten die ich kenne, wo das in einem Chaos geendet hat nachträglich auf suPHP umstellen, aber da werd ich mich mal einlesen, Hauptsache die Sicherheit steht im Vordergrund und alles funktioniert.
-
Roger Wilco
- Posts: 5923
- Joined: 2004-05-23 12:53
Re: SafeMode -Meinungen gesucht
Im Wesentlichen ja.Raid wrote:So wie wenn man jetzt den SafeMode off hat?
Man muss sich eben über die Unterschiede zwischen den verschiedenen Varianten im Klaren sein. Lies dazu http://wiki.rootforum.de/scripting/php/ ... vs_php-cgi.Raid wrote:Ich hab zwar irgendwie im Hinterkopf von einigen Leuten die ich kenne, wo das in einem Chaos geendet hat nachträglich auf suPHP umstellen, aber da werd ich mich mal einlesen, Hauptsache die Sicherheit steht im Vordergrund und alles funktioniert.
-
Joe User
- Project Manager
- Posts: 11183
- Joined: 2003-02-27 01:00
- Location: Hamburg
Re: SafeMode -Meinungen gesucht
SafeMode war noch nie eine Sicherheitsfunktion und konnte schon immer leicht umgangen werden. Das "Safe" in SafeMode ist hier sehr irreführend.
Du solltest Dich mit FastCGI (nicht suPHP) beschäftigen, das ist die Zukunft.
Du solltest Dich mit FastCGI (nicht suPHP) beschäftigen, das ist die Zukunft.
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
-
Roger Wilco
- Posts: 5923
- Joined: 2004-05-23 12:53
Re: SafeMode -Meinungen gesucht
Darüber kann man sich streiten. Ich fahre für gewisse Dinge sehr gut mit SuPHP. Überhaupt finde ich die Konfigurationsmöglichkeiten denen von FastCGI+SuExec klar überlegen. Voraussetzung ist natürlich, dass der Apache httpd zum Einsatz kommt.Joe User wrote:Du solltest Dich mit FastCGI (nicht suPHP) beschäftigen, das ist die Zukunft.
-
Joe User
- Project Manager
- Posts: 11183
- Joined: 2003-02-27 01:00
- Location: Hamburg
Re: SafeMode -Meinungen gesucht
FastCGI ist trotzdem zukunftsträchtiger, da es auch künfig neue "Hype"-ScriptSprachen ala Perl, PHP, Python, Ruby, Lua, etc. geben wird und diese in Multi-User-Umgebungen letztendlich immer wieder per FastCGI umgesetzt werden. suPHP ist nett, aber Apache+PHP-only...
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
-
Roger Wilco
- Posts: 5923
- Joined: 2004-05-23 12:53
Re: SafeMode -Meinungen gesucht
Das stimmt so nicht. SuPHP kann für jede Sprache mit einer CGI-Schnittstelle benutzt werden. Auch wenn der Name anderes vermuten lässt. Bei FastCGI (ich gehe jetzt von einem 08/15-Apache httpd aus) hast du größeren Verwaltungsaufwand für mehrere Benutzer.Joe User wrote:suPHP ist nett, aber Apache+PHP-only...
-
Joe User
- Project Manager
- Posts: 11183
- Joined: 2003-02-27 01:00
- Location: Hamburg
Re: SafeMode -Meinungen gesucht
OK, danke für die Richtigstellung, man lernt nie aus ;)Roger Wilco wrote:SuPHP kann für jede Sprache mit einer CGI-Schnittstelle benutzt werden. Auch wenn der Name anderes vermuten lässt.
In dem Fall muss dann immer im Einzelfall abwägen, was besser passt.
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
-
danton
- Posts: 47
- Joined: 2006-01-10 17:45
Re: SafeMode -Meinungen gesucht
SafeMode bietet nur eine trügerische Sicherheit. Spätestens wenn man beispielsweise noch Perl anbietet, ist SafeMode in PHP sowieso Schwachsinn, denn das was in PHP damit "verschlossen" ist, geht in Perl weiterhin.
Ich habe mich bei der Konfiguration meiners Servers für das Gespann aus FastCGI/SuExec entschieden und fahre da bislang sehr gut mit (SafeMode ist off). Der Verwaltungsaufwand hält sich in Grenzen, ich finde es sogar ganz praktisch, da ich für einzelne Hosts verschiedene PHP-Konfigs fahren kann (und auch teilweise habe).
Ich habe mich bei der Konfiguration meiners Servers für das Gespann aus FastCGI/SuExec entschieden und fahre da bislang sehr gut mit (SafeMode ist off). Der Verwaltungsaufwand hält sich in Grenzen, ich finde es sogar ganz praktisch, da ich für einzelne Hosts verschiedene PHP-Konfigs fahren kann (und auch teilweise habe).
-
Anonymous
Re: SafeMode -Meinungen gesucht
SafeMode ist sicherheit Rambasamba :). Bisher wurde nie geeinigt OFF oder ON ist besser oder sicher. Darüber laesst sich immer streiten.
Deswegen und glueklicheweise in PHP6 total geloescht.
Deswegen und glueklicheweise in PHP6 total geloescht.