[php] PHP falsch uebersetzt ??

[eschmid+sic_(at)_s.netic.de]

On Tue, Apr 04, 2000 at 09:41:50PM +0100, Andreas Otto wrote:

> > und habe seit Jahren keine CGI-Version benutzt. Rasmus hat mal gesagt,
> > dass diese Option nicht sicher ist und es eine übertriebene und nutzlose
> > Anforderung der PHPlib gegenüber PHP stellt. Wer's dennoch halt so haben
> > will, soll es sich halt selbst kompilieren.
> 
> ok, in dem zusammenhang wuerde mich jetzt natuerlich interessieren warum die
> option ("--force-cgi-redirect) nicht sicher ist und warum die anforderung der
> phplib nutzlos ist (safe mode?)

Der safe-mode ist ist etwas sicherer wie ohne safe-mode. Aber was heisst
das schon. Beides ist unsicher. Höchstmögliche Sicherheit ist nur mit
einem abgeschalteten Rechner zu erzielen.
 
> > > p.s.: die antwort "weil das schon immer so gehandahbt wurde" gilt nicht
> >
> > PHP ist Open Source, da haben eigentlich Binaries keinen Platz.
> 
> na ja, ich glaube so eng kann man das fuer die armen win32 anhaenger noch nicht
> sehen. der quellcode geht ja schliesslich nicht verloren. das problem mag aber
> sein, dass man in binaries nur schwer reinschauen kann. wer also wirklich
> sichergehen will, dem bleibt halt nach wie vor nichts anderes uebrig als selber
> zu kompilieren - vorausgesetzt man versteht was man da macht.

Sehe ich auch so, aber das sollte man halt nur zu Hause oder im Intranet
einsetzen. Die Win32-Benutzer können aber nicht so arm sein, denn sie
zahlen auch noch für unsichere Binaries. Die Bundesverwaltung zwar etwas
weniger, weil da Verträge mit der Firma Microsoft bestehen und deshalb das
Papier "Open Source Software in der Bundesverwaltung" wieder vom Server
des Bundesinnenministeriums gelöscht worden ist.

Als Nebeneffekt könnte der LinuxTag in Stuttgart, dank der werbewirksamen
Zurücknahme der Seiten, ein voller Erfolg werden.
 
> ich selbst bin da viel zu unbedarft - ich wuerde mir glatt den trojaner der mein
> bankkonto leerraeumt noch selbst kompilieren ;-)

Es gibt leider noch Server-Betreiber die für sich und den Rest der Welt
einen FTP-Zugang zum gesamten Server, also auch zum Document-Root
einrichten, und dann in aller Öffentlichkeit von Sicherheitslücken
sprechen. Das soll heissen, die Sicherheit eines Apache-Modules hängt auch
noch von anderen Bedingungen ab.

-Egon

--
Grueninger Str. 6, 70599 Stuttgart
http://php.net/manual/, http://php.net/books.php3
http://www.uni-hohenheim.de/~windband  
http://snaps.php.net/manual/, http://www.zend.com/