dreamcatcher

Als ich mir heute alternativ auf Debian 6 PHP per apt-get zog, bemerkte ich dass nicht nur das normale PHP 5.3.3 geladen wurde sondern ebenfalls Suhosin integriert ist.

Nun, da das Debian Team sich Gedanken macht zur Stabilität und Sicherheit des Systems kann es kein 0815 Patch sein.

Im Board hier finde ich jedoch nur Problemthreads wie z.B. "include() funktioniert nicht ohne Whitelist".

Daher würde mich interessieren wie ihr den Sinn/Unsinn eines solchen Patches einschätzt und ob ihr es vllt. sogar auf Produktivsystemen integriert habt.

Hattet ihr vllt. schon einmal Nachteile in der Performance eurer Seite bemerkt ?
Was hat euch, sofern ihr es kennt, dazu bewogen es einzusezten / es nicht einzusetzen ?

Featurelist sieht vielversprechend aus:
http://www.hardened-php.net/suhosin/a_feature_list.html

Mister Ad

Flor1an

Ich hatte bis jetzt keine Probleme damit. Du musst dir halt bewusst sein das dein Skript eben keine deaktivierten Funktionen nutzen darf. Die meisten davon sollte man aber in einem sauberen System sowieso nicht verwenden. Ansonsten merkst du ja oftmals gar nichts von den Veränderungen die Suhosin einführt.

dreamcatcher

Per google fand ich außerdem folgenden Thread:
http://www.php.de/off-topic-diskussi...n-ja-nein.html (suhosin ja/nein?)

Das komische ist, dass dieser Thread per internen Boardsuche "suhosin" NICHT auftaucht.

Zusammengefasst wird dort davon ausgegangen, dass (allgemein) keine Notwendigkeit besteht (sofern man nicht gerade ein Hoster ist).

@Flo
Nutzt du es durchgängig auf Produktivsystemen auf denen du Entscheidungsgewalt hast ?


Zur Performance gibts:
http://www.hardened-php.net/suhosin/benchmark.html

wo von ca. 8 % Performanceverlust ausgegangen wird.

mquadrat

Also bei uns ist das auf allen Servern drauf. Ich hatte bislang keinerlei Probleme mit irgendwelchen Einschränkungen. Musste eben sogar erst mal nachschauen ob es überhaupt drauf ist.

__________________
Wir suchen PHP Entwickler (Vollzeit) im Raum Darmstadt / Rhein-Main. Infos via E-Mail mueller@new-frontiers.de

marcusson

Die letzte Info die ich hatte war, dass sich um Suhosin keiner mehr kümmert. AFAIK waren das ursprünglich 3 junge deutsche Entwickler.
Durch den eingängigen Namen "Hardened PHP" und einen Artikel auf Heise habe ich auch erst gedacht, das wäre eine offizielle Sache. Das war aber wohl nicht der Fall.

Diese 3 jungen Leute scheinen sich inzwischen anderen Dingen gewidmet zu haben. Letzter News-Eintrag von 2007.

Einige (vielleicht alle?) Features scheinen obsolete zu sein: Abschalten von PHP-Funktionen, Erkennung von Endlosrekursion, Abschalten von Register-Globals ... ist inzwischen in PHP selbst drin und teilweise über php.ini steuerbar. Auch die Probleme mit Null-terminated String-Literals sind AFAIK längst gepatcht.

Es gibt auch Kritik: Einige Leute hören nur "Sicherheit", installieren es und denken damit wäre alles in Ordnung: schließlich haben sie PHP "sicher" gemacht und es könne ja nichts mehr passieren.
Aus dem gleichen Grund hat die PHP-Crew für PHP 6 angekündigt den "safe-mode" abzuschaffen. Weil er Admins eine Art "Sicherheit" suggeriert hat, die objektiv nicht gegeben ist. Eine SQL-Injection bleibt eine SQL-Injection: ob mit Safe-Mode/Suhosin/HardenedPHP oder ohne.

Chriz

Also Probleme gabs mit POST-Wertkuerzung auf bestimmte Bytezahl, POST-Keyanzahl-Limitierung und Sessionverschluesselung anhand UserAgent (schlecht fuer SWFUpload, wo der UserAgent nunmal Flash ist und nicht mehr der Browser).

Die Fehlersuche hat insgesamt sehr viel Zeit gekostet, Loesung war nur eine kleine Aenderung in der Config.

Ueber Vorteile kann ich nichts sagen, wirkt fuer mich aber eher nach Pseudosicherheit. Irgendwelche Werte beschraenken, die sich jemand in der Theorie ausgedacht hat laeuft halt gegen die Wand wenns mal ne Ausnahme gibt. Und erinner dich dann mal so einen Sicherheitspatch namens Suhosin, der irgendwo in der PHP-Engine klemmt und lautlos sein Werk verrichtet ...

__________________
"Nuschel ich?" - "Was?"

nedelin

Unter suspekt.org gibt's eine Meldung zu Suhosin vom März 2010: Suhosin-Patch 0.9.9.1.

Es sind schon einige Projekte dieser Art gekommen und auch wieder von uns gegangen; die Versuchung bzw. Motivation, Wissen um die Sicherheit von PHP-Anwendungen in einem Modul zu konzentrieren, ist offensichtlich sehr stark.

Das "Besondere" an Suhosin ist m.E. die Konzipierung als PHP-Extension (nicht als PHP-Skript) und der Fakt, dass das Ganze von Leuten wie Stefan Esser kommt, denen man eine gewisse Expertise zutraut.

Dennoch: ich persönlich möchte nicht damit arbeiten. Ich vertraue auf einen guten Hoster, die stetige Verbesserung von PHP und last not least meine eigenen Erfahrungen.

dr. ?

lcrash

Irgendwie schiebt suhosin die Dinge in die falsche Richtung. Einmal Applikations-Sicherheit und QA in Richtung Webserver und einmal Server-Sicherheit in Richtung Webserver.

Und neulich habe ich erlebt, dass ich wegen einer Magento-Installation den Hoster Anmailen musste (zu große POST-Requests) und dieser eine _globale_ Ausnahme dafür konfigurieren musste.