Přednáška o PHP bezpečnosti (diskuse)

[Jakub Lucký]

<flame>Každý PHP programátor, který myslí bezpečnost vážně, by se měl naučit něco jiného</flame>

[Arnošt Málek]

V podstate v kazdem programovacim jazyce je mozne psat aplikace "bezpecne" a "nebezpecne".

A tim cely flame konci ...

[Jakub Lucký]

Ale ne každý programovací jazyk je ve svém interpreteru děravý jak PHP...

[pasmen]

A co je na něm děravého? Příklady.

[Jakub Lucký]

No, myslím, že existence takových věcí, jako je Suhosin patch nebo následující README v Debianu mluví dost za sebe...

specifically, the Debian stable security team will not provide support for flaws in: - vulnerabilities involving register_globals being activated, unless specifically the vulnerability activates this setting when it was configured as deactivated.

- vulnerabilities involving any kind of safe_mode or open_basedir violation, as these are security models flawed by design and no longer have upstream support either.

- any "works as expected" vulnerabilities, such as "user can cause php to crash by writing a malcious php script", unless such vulnerabilities involve some kind of higher-level DoS or privilege escalation that would not otherwise be available.

[danaketh]

První bod lze nahradit jakýmkoliv programem. Špatně nakonfigurované FTP, mail server nebo třeba jen povolení přihlásit se přes SSH jako root.

Druhý bod je to samé - špatná konfigurace. Navíc safe_mode bude konečně odstraněn (dojde-li někdy na verzi 6).

A třetí bod? Tam lze PHP nahradit čímkoliv "user can cause PC to crash by writing a malcious C/Java/Ruby/Pascal/whatever program".

Je to jen krytí pro vývojáře Debianu, aby se nemuseli zabývat tím, co je v režii vývojářů PHP. IMO by se něco podobného našlo i v Perlu, Pythonu, Ruby...

PHP samo o sobě nemá problém ani tak s bezpečností, jako spíš s vývojem - strašně bych si přál, aby PHP6 přišlo s aktivitou "vezmeme staré funkce, optimalizujeme a opravíme co půjde a sjednotíme jména" a teprve pak vymýšleli co vymýšlejí. Protože co funkce, to jiný systém pojmenování.

[JoHnY2]

Jak rikas. Byl byl vdecnej, za to kdyby PHP6 nebylo zpatne kompatibilni a melo komplet zrevidovany knihovny. Pokracovani ve vyvoji stavajicim smerem postupne PHP znici.

[Vskutečnosti Saýc]

Coz je dobre.

Ono ve steve se php uz moc nepouziva, a zije z nej hlavne vychodni evropa. A ta kvalita tomu odpovida.

[pavlix]

Ne že by na tom (střední a) východní evropa byla co do dobrých programátorů zase až tak špatně, že :).

[Miloslav Ponkrác]

Já docela intenzívně používám PHP, jestli chcete, považujte mně za špatného programátora. A dokonce se mi ten jazyk i docela líbí. Kdyby ještě zapracovali na možnosti, aby kontext aplikace nevznikal a nezanikal při každém requestu, nic by mi nechybělo.

[R]

Mne dokonca casto vyhovuje ten koncept, ze kontext zanika a vznika. Skripty "beziaceho" systemu mozem editovat za behu. Kedze tam ziadna aplikacia nebezi, tak netreba nic restartovat. A ani to nemoze cele spadnut. To clovek "oceni" na Pythone, kde to cele spadne kvoli chybe v syntaxi...

[Jendа]

Python se dá také provozovat per request…

[pavlix]

Dík za odpověď. Taková neznalost tak bije do očí, že by se mi na to ani nechtělo odpovídat.

[Jendа]

A PHP by zase šlo znásilnit do podoby aplikace, ale neviděl jsem, že by se o to někdo snažil.

[AraxoN]

Nad tým som už rozmýšľal - v princípe by na to v jazyku PHP mali byť všetky nevyhnutné prostriedky. Je možné forkovať, otvárať pomenované rúry a podprocesy, využívať zdieľanú pamäť, semafory, zámky, načúvajúce sockety... Malo by byť možné v PHP urobiť perzistentne bežiaci proces, ktorý by buď priamo počúval na porte 80, alebo na ktorý by sa requesty napájali ako na nejaký backend.

[pavlix]

Otázka by potom byla, jestli je jazyk PHP na toto vhodný.

Ale pokud se omezíme na to, co jde a nejde, tak se nám nakonec povede použít PHP i jako CGI i jako běžící aplikační server (třeba HTTP nebo FastCGI)... a to samé platí pro ostatní jazyky.

Nicméně často se argumentuje dostupností PHP na hostingách a tam je to pouze mod_php ještě s různými omezeními.

[pavlix]

Nespletl jste se? Opravdu jste odpovídal na příspěvek, u které jste klikl na tlačítko *odpovědět*?

Jestli mi oči slouží, tak jsem psal něco o tom, že i ve střední a východní evropě existují dobří programátoři.

[R]

Nechapem tieto uchylky na "krasu jazyka". Radsej mam jazyk, ktory funguje ako jazyk, ktory je tzv. pekny.

Slovom "funguje" sa rozumie, ze co som raz naprogramoval, to bude fungovat (pokial to nie je nejaka prasacina) aj v novsich verziach, prinajhorsom s nejakou malou upravou.

[Miloslav Ponkrác]

Klid, to je dočasná móda, která se časem vyhodí na smetiště dějin. Časem sebou do minulosti vezme i všechny jazyky,které provedly ve stable fázi tvrdou nekompatibilní změnu jazyka, jako Python, Perl, apod.

Když se podíváte zpětně, tak jako veterány co přežily tu máme jazyky, co důsledně sledují zpětnou kompatibilitu, a často to nejsou jazyky bůhvíjaké. Například Fortran, C.

PHP samozřejmě udělá nejlépe, když nebude nic měnit ve starých knihovnách. Jednou se PHP pokusilo mírné změny udělat, a to mezi PHP4 a PHP5 a výsledkem bylo několik let tvrdého čekání na prosazení PHP5 a ocasování PHP4 mnoho let přesluhujícím.

PHP samozřejmě jazyk je celkem slušný, pár prasečin se v něm najde. Daleko horší renomé mu dělá to, že v něm programují Ti nejhorší programátoři a také přednášky a školení v něm dělají Ti nejhorší a nejméně znalí lidé. Ti pak dále předávají špatné návyky dále – nechci ukazovat ale nejznámější postavičky českého PHP – to je někdy na zvracení co doporučují.

PHP není tak špatný jazyk.

[pavlix]

PHP není tak špatný jazyk.

Tahle věta už sama o sobě naznačuje, že sám její autor nepovažuje PHP za dobrý jazyk. Chápu to dobře že PHP je sice špatný jazyk, ale ne tak špatný, ale o něco méně špatný?

[Miloslav Ponkrác]

Není tak špatný jazyk, jak se o něm tvrdí.

Jinak pokud nebudu v binární logice typu dobrý × špatný, pak vše na světě může být vždy lepší.

Sám považuji PHP za celkem dobrou věc jako každý jazyk, který má vše podstatné a základní co je třeba. Za špatné považuji očesané jazyky – typu C, které nenabízejí za svojí očesanost žádnou rozumnou protihodnotu pro vývojáře.

Jinak PHP není ani tak jazyk, jako spíš technologie, jazyk PHP nemá normu, je definován jedinu implementací, atd.

[pavlix]

Tak mě napadá, není právě PHP napsané v C?

Zrovna tvrdit, že C je špatný jazyk a ve srovnání dávat PHP... to mi vážně hlava nebere. Mám podezření, že se jedná o vtip.

[Miloslav Ponkrác]

PHP je napsané v C. Nicméně nijak nechápu, proč by dobrý produkt nemohl být napsaný ve špatném jazyce, stejně tak jako automaticky není dobrý produkt ten, který je napsaný v dobrém jazyce (ať už si pod dobrým jazykem představujeme cokoli).

PHP snadno můžete napsat i v COBOLu, a může vypadat zcela stejně.

[AraxoN]

Tvrdiť, že C neponúka za svoju "očesanosť" vývojárom žiadnu protihodnotu - to je prinajmenšom odvážne. Naozaj si myslíš, že všetci, ktorí dobrovoľne začali niečo robiť v C-éčku sú padnutí na hlavu, alebo nejakí C-éčkoví fetišisti? Čo linuxové jadro? Čo GNU nástroje? Čo väčšina démonov bežiacich v UNIX-e - syslog, cron, apache, sendmail, postfix, proftpd, bind, postgres, mysql? Tých vývojárov je podľa môjho názoru príliš veľa na to aby sa všetci mýlili.

[Miloslav Ponkrác]

Neponúka.

Sám jsem v C programoval mnoho let. Kdysi to byla dobrá volba – dnes v čase C++ nechápu, co by mi bylo schopno Céčko nabídnout aspoň za jediný benefit. Jen samé nevýhody.

Stejně tak pro řadu projektů je i C++ špatná volba, vznikla řada jiných možností.

Unix se tvořil v době, kdy C jako volba stála za to. Ale dnes už je to jen lpění na historii. To je můj názor jako člověk,a který toho v C nenapsal málo a psal C pro řadu operačních systémů.

[AraxoN]

Aha tak... To som potom zle rozumel. C a C++ som bral ako jeden jazyk. Súhlasím s tým, že C ťaží zo svojej dlhej histórie a rozšírenosti. Ale z toho podľa mňa vyplývajú aj jeho výhody. Bežne v C nerobím, ale ak potrebujem napríklad pre nejaký projekt do PostgreSQL doplniť novú funkciu pre ktorú bude kritická rýchlosť, tak siahnem po C. Pre jazyk C sú totiž headre a je v dokumentácii popísané čo a ako napísať a ako to potom skompilovať do .so modulu, ktorý z Postgresu jednoducho natiahnem a používam. Taký istý .so by sa dal pochopiteľne urobiť napríklad aj v Pascale, ale podstatný rozdiel je, že by s tým bolo viac roboty, kvôli neexistencii API. Je možné, že keby kedysi dávno tvorcovia UNIX-u začali robiť svoj systém v Pascale, tak by to všetko dnes bolo napísané v Pascale a trhnúť by si mohli tí, čo by chceli API pre C. Ale tak sa to raz stalo a kým niekto neurobí stroj času, tak to už tak zostane.

Je množstvo problémov a úloh, na ktoré sa C (či C++) absolútne nehodí. Veď preto 99% kódu robím v iných jazykoch. Neupieral by som ale C-éčku, že na niektoré reálne veci, ktoré vývojári potrebujú riešiť dnes a denne, sedí ako uliate.

[pavlix]

To vám, pane, mělo naznačit, že když i autoři PHP si zvolili tento jazyk, že si nejspíš oni nemyslí, že by to byla špatná volba. A taky naznačit, že PHP je na C do jisté míry závislé.

Nicméně tvrzení, že C oproti PHP nic nenabízí je moc i na mě.

[aaa]

To vám, pane, mělo naznačit, že když i autoři PHP si zvolili tento jazyk, že si nejspíš oni nemyslí, že by to byla špatná volba.

Hlavni duvod, proc si Rasmus Lerdorf pro implementaci PHP vybral C je ten, ze C uz umel. Ono to tak vetsinou chodi, ze programy programujete v jazycich, ktere umite.

[Josef Kufner]

Za špatné považuji očesané jazyky – typu C, které nenabízejí za svojí očesanost žádnou rozumnou protihodnotu pro vývojáře.

C není očesané. Je to nízkoúrovňový jazyk, jen o málo výš než assembler, ale ještě tatáž kategorie. Přímé srovnávání s čímkoliv vysokoúrovňovým jako je C++ nebo PHP je zoufalství.

A jinak C je jeden z nejčistších a nejkrásnějších jazyků vůbec.

[pavlix]

A jinak C je jeden z nejčistších a nejkrásnějších jazyků vůbec.

Krásný názor :). Kdyby se jenom cenila čistota jazyka trochu víc. A kdyby čistota jazyka znamenala i čistotu standardizovaných a systémových knihoven.

[pasmen]

Hmm, stejně tak bys mohl považovat za děravé Linuxové jádro, když pro něj existuje SElinux a podobné věci. A to že něco může být zranitelné, když debil neumí nastavit patřičně věci v konfiguráku, to je taky trochu mimo mísu. Takže zase jen kecy...

[pavlix]

Lidi tady linuxové jádro za děravé považují jen málokdy. Podle mě z části i proto, že je to jádro jejich oblíbeného systému.

Nebudu se pouštět do srovnání PHP a linuxu, už jenom proto, že očividně sám považuješ linux oproti PHP za extrémně bezpečný, když ho dáváš jako příklad (můžu jen souhlasit).

Mimochodem selinux podle mě není případ technologie, která by dělala jádro bezpečnější nebo nějak zacelovala jeho bezpečnostní chyby. Spíš bych to viděl na framework, který umožňuje definovat oprávnění, která Linux bez něj (příliš) nepodporuje (například MAC).

Dobře nakonfigurovaný selinux (kdo z vás to umí nakonfigurovat?) dokáže zabránit některým nežádoucím akcím v systému a odhalit některé chyby aplikací, které se nechovají takříkajíc slušně a porušují nějakou běžnou (nebo pečlivě nakonfigurovanou) bezpečnostní politiku.

Jestli za některých okolností dokáže zvýšit bezpečnost samotného jádra, považoval bych to za šťastnou náhodu, ale nechť promluví povolanější.

[AHAHA]

Behem vyhrazenych 30 minut se tema IMHO jen nakousne ...

[Messa]

Ať místo toho dají raději nějaký úvod do Pythonu, to za těch 30 minut stihnou a přínos bude ve výsledku větší

[imploder]

To pochybuju, za 30 minut by se stihl probrat leda naprostý základ, nic z bezpečnosti. Python má sice frameworky, které se o zabezpečení (ochrana proti XSRF atd.) postarají samy, ale není na tohle naopak lepší PHP, pokud tomu člověk chce rozumět?

PHP funguje na jednoduchém principu a samo o sobě (i bez frameworků) poskytuje slušný základ, kde je ale potřeba si věci jako XSS, CSRF atd. ošetřovat sám a to se na naučení se jejich principu hodí.

Nebo jsi Pythonem myslel samotný mod_python, bez frameworku?

[pavlix]

Mohl také myslet samotný python, používaný na CGI úrovni, kdy teoreticky dokáže to, co PHP. (Ano, taky jsem slyšel, že PHP za jistých okolností zvládá persistenci db spojení, atd. Na ostatní je disk nebo databáze.)

Jako je pravda, že mezi aplikací na straně serveru a CGI/PHP je docela velký rozdíl.

[12345]

Každý programátor, který to se svou prací myslí vážně, by studiu bezpečnosti měl věnovat řádově více, než třicet minut. Za půl hodiny se nestihne nic, a to tam ještě má padnout něco o konkrétních řešeních v Drupalu.

[Jakub Suchy]

To sice ano, ale rada prorgamatoru nema o bezpecnosti ani poneti. Prednaska jim alespon pomuze naskocit do spravneho vlaku, zjistit, jake jsou mozne problemy a diky tomu si nastudovat vice materialu. Spravna prednaska o bezpecnosti by byla na cely den nebo dva...

[just me]

Na co cely den, tady mate prednasku na 1 vterinu, informacni hodnota bude stejna:

Nepouzivejte PHP

=)

[Jakub Suchy]

Informacni hodnota vaseho prispevku je naopak nulova.

[pavlix]

Informační hodnota jeho příspěvku je nulová, protože neuvedl jediný důvod... na druhou stanu s jeho sdělením do jisté míry souhlasím (pokud je na výběr).

Čímž se všeobecná informační hodnota mého příspěvku rovněž snížila na nulu, ale to mi vůbec nevadí, protože účelem bylo vyjádřit můj zcela konkrétní názor :).

[Miloslav Ponkrác]

Chápu, namísto PHP používáte crack, nebo kokain. Je to silnější matroš.

[pavlix]

Došly nápady co psát do komentářů?

[Jakub Suchy]

Ne, jen tady vedete svatou valku proti nicemu. Muzu se na to taky vysrat a zadnou prednasku nedelat. Tak nekdo pouziva PHP, nekdo Javu, nekdo .NET, opravdu se s tim nedokazete smirit?

[pavlix]

Nespletl sis mě s někým?

[aaa]

Nerekl bych.

[pavlix]

Ty ses přejmenoval na anonyma? Jak mazané.

[Jakub Suchy]

Ne, to jsem teda rozhodne nebyl ja

[pavlix]

Mnojo, ale přesto neváhal za tebe odpovědět :).

[pavlix]

Muzu se na to taky vysrat a zadnou prednasku nedelat.

Když to vidíš takhle, tak nezbývá než s tebou jenom souhlasit. Kdo se dožaduje vděčnosti, zvlášť takhle blbě, většinou nepochodí.

Jo, kdybys ty přednášky dělal s radostí a chutí, to by byla jiná.

opravdu se s tim nedokazete smirit?

Zatím tu vidím jenom lidi, co se nedokáží smířit s tím, že někdo PHP používat nechce nebo si dokonce dovolí vyjádřit v jeho směru ne úplně pozitivní názor.

Proč mi přijde, že tu o náboženství nejvíc mluví ti náboženští, kteří by nejradši, aby něsouhlasící názor vůbec nevyjádřili?

[Miloslav Ponkrác]

Na jedné vysoké škole kdysi dávno vyhodili jednoho žáka, protože profesor slyšel jak říká „I use PHP“ – následně byl vyhozen za fetování.

Je to docela známá historka:

http://www.bbspot.com/News/2000/6/php_suspend.html

Ale na blbý komentář bez argumentů (tedy i Váš) vždy blbá odpověď.

[pavlix]

Urážky jsou ti koukám blízké, ale nevím, proč si myslíš, že mě to rozhodí. Svoji (ne)úroveň svými komentáři ukazuješ sám.

Výslovně jsem uváděl, že se jedná o můj názor (případně souhlas s něčím).

Navíc zopakováním a upravením hlášky o informační hodnotě je jasná ukázka sarkasmu a odlehčení, jehož si průměrně inteligentní čtenář musel nutně všimnout.

[aaa]

Zato vysoce inteligentni ctenari odlehceni v navazujicim prispevku nepobrali, ze?

Tvuj puvodni prispevek byl vicemene ekvivalentni "PHP suxs" bez argumentu, cimz ses zaradil do stada ovci, kteri to kdysi kdesi slyseli a od te doby to opakuji.

Nekteri lidi jsou uz na toto trochu alergicti, proto mozna ta prehnana reakce ...

[pavlix]

Zato vysoce inteligentni ctenari odlehceni v navazujicim prispevku nepobrali, ze?

Nevím o kterých vysoce inteligentních to mluvíš... ale já osobně tam to odlehčení tak úplně nevidím.

Tvuj puvodni prispevek byl vicemene ekvivalentni "PHP suxs"

Jen pro ty, co špatně čtou.

cimz ses zaradil do stada ovci

Možná jen pro druhé stádo ovcí typu "PHP rulezs" :). Méně zaslepení si určitě všimli drobných rozdílů mezi mým projevem a "PHP suxs".

proto mozna ta prehnana reakce

Přehnaných reakcí je tu spousta, ok. Já si držím své hranice, ale pokud se nesnaží ten, na koho reaguju, taky se nesnažím až tak moc :).

[pavlix]

Na jedné vysoké škole kdysi dávno vyhodili jednoho žáka, protože profesor slyšel jak říká „I use PHP“ – následně byl vyhozen za fetování.

Nějak mi chybí nějaká souvislost s naší diskuzí? Nebo je to pokus o zařazení PHPkářů k trpícím menšinám?

Programátor jako vy by měl mít aspoň kousek hrdosti, ne?

[aaa]

Chápu, namísto PHP používáte crack, nebo kokain. Je to silnější matroš.

a vase reakce na to:

Došly nápady co psát do komentářů?

[pavlix]

K čemu je dobré opisovat do vlákna výše napsanou diskuzi?

[aaa]

Predpokladal jsem, ze bud jste byl nepozorny nebo vas to ted trkne. Ani jedno, bohuzel.

[pavlix]

Jo ták... souvislost s tím příběhem na blogspot... nějak mě nenapadlo věnovat pozornost zrovna tomu příběhu v kontextu celého komentáře.

Mimochodem opsání těchto částí komentářů opravdu nevede k zamyšlení se nad příběhem. Možná jste mohl zkusit opsat něco, co dává smysluplnější nápovědu :).

Já jsem reagoval přirozeně... na zmínku o PHP přišla zmínka o drogách. Souvislost v tu chvíli žádná. Proto jsem předpokládal, že reakce byla pouze projevem touhy nějak zareagovat.