man bedim len?

Zu meinem vorherigen Lästern zu PHP passt folgender Artikel auf den sunflyer aufmerksam macht: PHP's safe_mode or how not to implement security.

Ein Satz daraus, den ich nur unterstreichen kann:

Perhaps, my biggest pet peeve pertaining to safe_mode is that it is not really safe, merely offering an illusion of safety that does not stand to closer examination. A creative attacker will be able to easily to bypass it.

Wobei ich das creative attacker doch noch abschwächen würde. Eigentlich sollte jeder, der sich etwas mit Filerechten und Multiuser-Systemen auskennt, leicht in der Lage sein, die Sicherheitslücken zu finden und auszunutzen.


Am Ende des Artikel gibt der Autor einige Lösungsmöglichkeiten vor.
Meine wäre diese:

1. PHP wird mit Safe_Mode = On konfiguriert, aber gleichzeitig auch mit open_basedir.

2. Der Zugriff auf die Verzeichnisse eines virtuellen Hosts wird beschränkt auf den User, seine Group und den Apache-Server. Andere User, die Zugriff auf das Filesystem haben, erhalten kein Zugriff. Bei einem Mass Hosting Provider wird es hier zwar Probleme geben, wenn man einfache Unix-Groups nutzt, jedoch läßt sich dies über dynamisch zugeordnete NIS-Maps lösen.

3. Der Zugriff wird nicht allein mittels CHMOD 755 gelöst, was ja "others" reinlassen würde oder mit CHMOD 750 (sinnlos, wenn der User in gruppe web ist- weil andere User wären da ja auch drin - also kein Schutz gegen die anderen User), sondern mit ACLs:
Der Benutzer einer Domain erhält beispielsweise eine Kennung
kuAB00wm
und eine Gruppe
kuABwm

Sein DOCUMENT-Root-Verzeichnis erhält dann
chown kuAB00wm:kuABwm DIR
und
chmod 750 DIR

Damit der Webserver-User www reinkann wurd ein ACL gesetzt:
setfacl -m user:kuAB00wm:rwx,user:www:r-x,mask:rwx DIR


Folge: In das Verzeichnis kommt der User, etwaige Kollegen, die in der selben Gruppe sind und der Webuser.
Andere User auf dem Filesystem kommen nicht rein.


Unabhängig von diesen Lösungen sollte jedoch der 4. teil der Lösung trotzdem nicht vergessen werden:

4. PHP wird als CGI ausgeführt.


Wenn aber PHP als CGI ausgeführt wird und PHP 5 genommen wird, wo ist dann noch der Unterschied zu Perl ?
(Oder genauer gesagt zu Perl mit mod_eperl - damit kann man den Perlcode auch in HTML-Files einbetten.)

Die PHP-Leute machen seit jeher gute PR für ihre Sprache.
Auch wenn mit der neuen Version von der Codestruktur kaum noch grosse Unterschied zu Perl da sind (es hat sich stetig dem Stand von Perl 5 angenähert und hat, wenn man an Perl4 zurückdenkt, eine ähnliche Feature-Historie), wird dort jetzt noch behauptet der Code von Perl sei komplex, der von PHP dagegen leicht...

Nun ja, aber diese "Meldung" ist ja wohl die Krönung der Realitätsverschiebung:

Student Suspended Over Suspected Use of PHP

Darin wird erst ne nette Geschihcte von irgendwelche dummen Lehrern und Eltern erzählt, die PHP mit Drogen verwechseln.
Wobei dann am Ende dann so eine Erklärung kommt:

PHP is a hypertext preprocessor, which sounds very dangerous. It is believed that many users started by using Perl and moved on to the more powerful PHP. For more information on how to recognize if your child may be using PHP please visit http://www.php.net.

Eigentlich ist das Gegenteil der Fall.
PHP wird hauptsächlich von den Newbies verwendet, die damit ihre ersten Skriptchen starten.
Das ist auch ganz gut so. Wenn ich an die ganzen DAU-Fragen dachte, die in den letzten Jahren bei den Perlforen reinkamen, dann bin ich direkt froh darüber.
Wenn man jedoch mehr als nur irgendwelche Formulareingaben verwalten will, dann kommt man nicht drumherum, auch auf dem Filesystem selbst zu arbeiten und auf diesen Programme auszuführen.
Ebenso werden Sicherheitsaspekte immer wichtiger. Heute vergeht kein Tag mehr, wo auf Bugtrag nicht ein halbes Dutzend an PHP-Skript-Sicherheitsbugs gemeldet werden.
Die lasche Haltung in Bezug auf sichere Transaktionen, Variablenüberprüfungen, Multiuser-Konzepte (sowohl auf dem Server als auch über Web), die bei vielen PHP-Programmen zutage tritt ist mehr als deutlich.
Sicher: Mit jeder Programmiersprache kann man Mist machen. Aber man muß sagen, daß durch die Art, wie bei PHP dies Thema behandelt, nämlich wie sehr dies als unwichtig erachtet wird, daß hierdruch die Zahl der unischeren Skripts noch mehr steigt.

Lange Rede, kurzer Sinn: PHP ist das GW-Basic von heute. Und genausowenig wie GW-Basic mächtiger als C war, ist PHP mächtiger als Perl.

Es ist anders.
Die Mächtigkeit einer Programmiersprache ergibt sich IMHO ohnehin zu 75% daraus, was der Programmierer damit zaubern kann.

Heute erfüllte mir unser Software-Mensch einen Wunsch und besorgte mir die neue Photoline-Version.



Die neuen Funktionen sind wieder einmal sehenswert und auf Photoshop-Niveau.
Auch auf die Gefahr hin, als Werber/Spamer verschriehen zu werden: Leute nimmt Photoline und fahrt von den gesparten Geld, daß ihr für Photoshop und co ausgegeben hättet, lieber in Urlaub.

Das schönste an Photoline ist immer noch die Ausrichtung auf Sparsamkeit in der Dateigröße.
Selbst wenn ein Kollege mal mit einem genialen, aber mit Photoshop oder InDesign erstellten Bild kommt, welches angeblich schon gut komprimiert sei, kann ich mit Photoline da noch immer einige Prozent an Bytes für unnötige Infos rauswerfen.

Siehe:
de.internet.com: Google startet Google Search Appliance in Deutschland

Wahrscheinlich hat Google jetzt erst den ersten Kunden aus Deutschland gewinnen können;
Google hat sich bereits im Sommer bei einigen Unis und Unternehmen gemeldet und gefragt ob Interesse bestünde.
Ich war da einer, der da mit involviert war und sich dann auch durch einige Online-Konferencen gemüht hatte..

Leider sind die Preise für Google (damals) nicht sehr verhandelbar gewesen, bzw. Google hat(te) keine Ahnung von dem deutschen Umfeld und der Situation an den Universitäten. (Zum Beispiel wie die sich finanzieren).

Deswegen und aus anderen Gründen, wie zum Beispeil der bei Vertragsabschluss nicht so tolle Support (Technical Support Center ist nicht Hamburg, sondern in Ireland), ist Google Applicance für das Rechenzentrum erstmal ad acta gelegt worden.
Mngosearch und andere Tools sind günstiger bei vergleichbarer Leistung.

Das Angebot Search Appliance enthält nämlich einige interessante Funktionen, wie zum Beispiel Google Adwords nicht.
Und somit reduziert sich das Angebot auf eine Kombination aus Hardware und Software, wobei die Ergebnisse der Software innerhalb eines lokalen Intranets mit nur einigen Tausend bis Millionen Dokumenten sich nicht sehr von den der anderen Software unterscheiden.

Interessant:

de.internet.com: Rechnungshof enthüllt krasse Sicherheitsmängel bei geheimen Computerdaten in Bundesbehörden

Aber Hand aufs Herz: Mich wundert das nicht.
Es gibt einige schwerwiegende Faktoren, die verursachen, daß sowas gerade in der öffentlichen Verwaltung passiert:
* Datenschutzbeauftragte sind oft nicht mit der Thematik vertraut. Manche müssen erstmal auf Kurse um zu lernen, wie man eine Maus bedient.
* Die Verwaltungsbeamten sind in der Regel keine Fachleute für Computerfragen. Es gibt sicher 1 - 4 Computerleute in einer öffentl. Verwaltung von 50 Menschen, aber diese werden vollauf damit beschäftigt sein, die Computer instant zu halten und Viren zu beseitigen.
* Die notwendigen Sicherheitsmaßnahmen werden oft als llästig empfunden.
* Es gibt ein gewisses Großherrliches Verhalten in Bezug auf die Daten, welches dann auch Einfluß auf die Einschätzung ihrer Sensibilität hat: "Das sind meine/unsere Daten. Wir sind die absoluten Meister der Daten nd wehe jemand zweifelt daran. Und wiel wir die tollen Meister sind, brauchen wir uns nicht herabzulassen auf die Sicherheitsmaßnahmen die ja nur für Laien sind.".



Ein weitere Aspekt, der aber auch für andere Dinge im öffentlichen Bereich zutrifft: Fest angestellte Beamten können eigentlich machen was sie wollen. Auch in obigen Fall wird es wohl für die Betroffenen keine Konsequenzen geben. Es gibt schlichtweg keine Sanktionsmaßnahmen, mit denen man gegen Fehlverhalten im öff. Dienst vorgehen kann, sofern es nicht personenbezogen (also z.B. Mobbing und so) ist.
Allenfalls kann man Leute versetzen. Aber dies ist ein guter Witz in Hinblick auf die Sparmaßnahmen: Da an Personal gespart wird (also kein neues angestellt wird), wird niemand einen Angestellten versetzen, da dann niemand weiß wer die Arbeit sonst macht.

Auf ein sehr interessantes Urteil des OLG Hamm (Az. 4 U 51/04) aus dem August dieses Jahres weisst intern.de hin:

Kein Schutz auf Web-Design?

Durch eine offenbar falsche anwaltliche Strategie konnte ein Webdesign-Klau durchgehen.
Anstelle die Website als ganzes als kreatives Werk und damit als schützenswert zu verteidigen, hat man den Fehler gemacht, nur einzelne Bestandteile als solche zu benennen.
So Beispielsweise die jeweiligen optischen Elemente, aber nicht die Art und Weise, wie die Grafiken und Styles angeordnet und eingebunden werden.

Das Gericht folgte diesem Ansatz des Anwalts wohl sehr genau und ließ sich darauf ein. Mit der Folge, daß auch jeder einzelne Punkt von den anderen getrennt betrachtet wurde: Was ist die Schöpfungshöhe für eine einzelne Grafik? Was ist die einmalige Kreativität beim Schreiben eines Textes "Willkommen bei XY" ?

Von dieser Sichtweise her, hat das Gericht wohl recht.
Und der Anwalt der klagenden Firma hat ein Strategieproblem (und wohl auch eine Wissenslücke).


Meines Erachtens, ein sehr interessantes Urteil. Und ein netter Ansatz für andere Verfahren:
Beispielsweise beruhen Patente in der Regel auch aus der Nutzung verschiedenster Teile, die nicht einzelnt schützenswert sind oder die "frei nutzbar" sind.
Trivialpatente beruhen meist genau darauf, daß selbst keine grosse eigenständige schöpferische Leistung erbracht wurde, sondern daß nur bekannte oder für Fachmenschen leicht erschließbare Dinge zu einem Thema zusammengefasst wurden.
Mit dem EInsatz, daß man nicht die Summe aller Teile betrachtet, sondern die einzelnen Teile untersucht und danach aus der Summe der Einzelergebnisse (Nämlich ob das jeweilige Teil geschützt ist oder nicht) eine Gesamtsumme macht, dann könnte man vielleicht Erfolg haben?

Die ersten Langzeitstudien zum Thema Mobilfunk kommen heraus.
Eine schwedische Studie mag den betreibern von Mobilfunknetzen nicht gefallen:
de.internet.com: Schwedische Studie: Mobiltelefone erhöhen Tumorrisiko

Der einzige Crux an der Studie ist der, daß es hier noch um analoge Mobiltelefone ging. (Was ja kaum verwunderlich ist - vor 10 Jahren war GSM erst noch auf dem Papier).
Dieser Nachteil wird bestimmt in den nächsten Tagen sehr betont werden um die Studie als ganzes zu verniedlichen.
Ob's die Meldung dann in den Mainstream der Nachricht kommt?

Noch "gestern" wurden Reisetripps in den nahen Erdorbit als utopische Vision abgelächelt.

Jetzt können sich die SpaceShipOne-Macher nicht mehr vor anfragen retten und mussten bereits über 185 Leute, die jetzt schon zahlen wollten, abweisen...

Orf.at: Ansturm auf Virgin-Weltraumflüge

Dies wird sicher einige Leute aufmerksam machen. Wenn einer eine Goldader aufgetan hat, kommen die Goldsucher bald in Scharen.

Handys in Kino stören. Keine Frage.
In Frankreich hat sich die Kinoindustrie durchsetzt und darf jetzt mit Störsendern Elektrosmog auf die Besucher verteilen.

http://www.golem.de/0410/34102.html

(Was jedoch noch mehr in Kinos stört und laut ist, wird natürlich nicht unterbunden: Nerviges Popcorngeraschel.)

Wie lange dauert es eigentlich, bis es Störsender gibt, bei denen es einstellbar ist, welche Frequenzen durchgelassen werden? Bzw. wann wird dies als Geschäftsidee von Besitzern öffentlicher Einrichtungen erkannt:

Durch unsere Luft darf nur der Netzbetreiber XYZ durch.
Wer sonst noch will, muss zahlen.

(Wenn nur nicht der Elektrosmog da wäre mit der man Anwohner/Mitarbeiter bestrahlt, könnte dies was werden.)
Horch, wer hört's trappsen?

Bei manchen Dingen fragt man sich, ob die Art der heutigen politischen Systeme wirklich den Fortschritt des Menschen dienlich sind.
Insbesondere dann, wenn der Einfluss der Politik auf Leben, Kultur und Infrastruktur über den ursprünglichen Aufgaben des Staats hinausgehen.

Wie ich zu den frustrierten, aber doch wenig überraschenden Ausspruch komme: Die Einführung der "eu"-Domain wird wohl wieder nach hinten verschoben:

Siehe intern.de: .eu 2005?

Hier, wie auch bei "normalen" Internet-Relaunches in der öffentlichen Verwaltung wird eines sehr deutlich: Je mehr Leute da meinen mitreden zu können und auf je mehr Leute man hört und einzugehen versucht, um so wahrscheinlicher wird das Projekt zum Flopp.