AbcLinuxu hledá autory!

Inzerujte na AbcPráce.cz od 950 Kč

Rozšířené hledání

napište » Zprávičky

inzerujte » Pracovní nabídky

Qt Creator 19

dnes 17:22 | Nová verze

Byla vydána nová verze 19 integrovaného vývojového prostředí (IDE) Qt Creator. Podrobný přehled novinek v changelogu.

Ladislav Hagara | Komentářů: 0

Bitwig Studio 6

dnes 03:44 | Nová verze

Bitwig Studio (Wikipedie) bylo vydáno ve verzi 6. Jedná se o proprietární multiplatformní (macOS, Windows, Linux) digitální pracovní stanici pro práci s audiem (DAW).

Ladislav Hagara | Komentářů: 0

Linuxová distribuce Moonforge

dnes 02:11 | Komunita

Společnost Igalia představila novou linuxovou distribuci (framework) s názvem Moonforge. Jedná se o distribuci určenou pro vestavěné systémy. Vychází z projektů Yocto a OpenEmbedded.

Ladislav Hagara | Komentářů: 0

Google Chrome 146

dnes 00:44 | Nová verze

Google Chrome 146 byl prohlášen za stabilní. Nejnovější stabilní verze 146.0.7680.71 přináší řadu novinek z hlediska uživatelů i vývojářů. Podrobný přehled v poznámkách k vydání. Opraveno bylo 29 bezpečnostních chyb. Vylepšeny byly také nástroje pro vývojáře.

Ladislav Hagara | Komentářů: 0

D7VK 1.5

dnes 00:22 | Nová verze

D7VK byl vydán ve verzi 1.5. Jedná se o fork DXVK implementující překlad volání Direct3D 3 (novinka), 5, 6 a 7 na Vulkan. DXVK zvládá Direct3D 8, 9, 10 a 11.

Ladislav Hagara | Komentářů: 0

Eclipse IDE 2026-03 aneb Eclipse 4.39

včera 23:22 | Nová verze

Bylo vydáno Eclipse IDE 2026-03 aneb Eclipse 4.39. Představení novinek tohoto integrovaného vývojového prostředí také na YouTube.

Ladislav Hagara | Komentářů: 4

Hackeři získali citlivá data ze Slavia pojišťovny, například zdravotní dokumenty

včera 10:22 | Upozornění

Ze systému Slavia pojišťovny uniklo přibližně 150 gigabajtů citlivých dat. Jedná se například o pojistné dokumenty, lékařské záznamy nebo přímou komunikaci s klienty. Za únik může chyba dodavatelské společnosti.

Ladislav Hagara | Komentářů: 10

Sněmovna posunula zákon o digitální ekonomice do dalšího kola projednávání

včera 10:11 | IT novinky

Sněmovna propustila do dalšího kola projednávání vládní návrh zákona o digitální ekonomice, který má přinést bezpečnější on-line prostředí. Reaguje na evropské nařízení DSA o digitálních službách a upravuje třeba pravidla pro on-line tržiště nebo sociální sítě a má i víc chránit děti.

Ladislav Hagara | Komentářů: 30

Meta převezme sociální síť pro umělou inteligenci Moltbook

včera 09:33 | IT novinky

Meta převezme sociální síť pro umělou inteligenci (AI) Moltbook. Tvůrci Moltbooku – Matt Schlicht a Ben Parr – se díky dohodě stanou součástí Meta Superintelligence Labs (MSL). Meta MSL založila s cílem sjednotit své aktivity na poli AI a vyvinout takovou umělou inteligenci, která překoná lidské schopnosti v mnoha oblastech. Fungovat by měla ne jako centralizovaný nástroj, ale jako osobní asistent pro každého uživatele.

Ladislav Hagara | Komentářů: 0

Fedora Linux 44 Beta

včera 00:22 | Nová verze

Byla vydána betaverze Fedora Linuxu 44 (ChangeSet), tj. poslední zastávka před vydáním finální verze, která je naplánována na úterý 14. dubna.

Ladislav Hagara | Komentářů: 2

Centrum | Napsat | Starší

navrhněte » Anketa

Komentářů: 26, poslední dnes 08:56

Rozcestník

AbcLinuxu

HDmag.cz

Administrace komentářů

Jste na stránce určené pro řešení chyb a problémů týkajících se diskusí a komentářů. Můžete zde našim administrátorům reportovat špatně zařazenou či duplicitní diskusi, vulgární či osočující příspěvek a podobně. Děkujeme vám za vaši pomoc, více očí více vidí, společně můžeme udržet vysokou kvalitu AbcLinuxu.cz.

Příspěvek

11.1.2010 09:26 pht | skóre: 48 | blog: pht
Rozbalit Rozbalit vše Re: Zabezpecenie intranetu (Apache + PHP + MySQL)

Aha, takže webserver zpracuje příchozí požadavek, vytáhne si z něj přihlašovací údaje, ty nechá ověřit databázi, pak se na základě nich přepne (su) na daného systémového uživatele (tj. uživatel e-shopu je zároveň uživatel v databázi i systémový uživatel). A to všechno s PHP a MySQL.

Zhruba tak nějak.

Opravdu? Jste si jist, že když může útočník spustit kód v rámci aplikačního serveru, nemůže třeba číst a zapisovat na libovolné místo paměti daného procesu, nebo dokonce všech procesů patřících uživateli? A pokud může, jak mu zabráníte, aby ukradl spojení jiného uživatele do databáze?

Dá se to tak nastavit, a i kdyby to tak nastaveno nebylo, tak musíte počkat, až se ten druhý přihlásí, což je dost jiná situace, než když do půl hodiny stáhnete obsah db a konec. (Už jsme to probírali výše.)

Stavíte zabezpečení úplně na hlavu.

Jistě.

Samozřejmě je nesrovnatelně jednodušší zabezpečit webovou aplikaci na straně ke klientovi, než pustit útočníka na server a pak se snažit něco dělat s tím, když může útočník na aplikačním serveru spouštět libovolný kód. Zkuste si aspoň porovnat četnost bezpečnostních problémů, kdy lze roota získat vzdáleně, a kdy to lze udělat lokálně.

Na útoky tohoto typu nepotřebujete roota. A že je něco složitější a něco jednodušší neznamená že se na jedno z toho musíme vykašlat. Jak jsem říkal, správná aplikace je zabezpečena odzhora dolů. Není to tak, že když mám bezpečný back-end tak na webovém serveru rozdávám privilegované účty kolemjdoucím.

Protože to je aplikační logika chráněná přístupovými právy. Nebo snad zákazník e-shopu má mít právo posílat e-maily komukoli?

E-maily a jejich bezpečnost snad řeší e-mailový server?

Na aplikačním serveru je normálně aplikační (a bezpečnostní) logika. Vy to chcete přesunout do databáze, takže vám na aplikačním serveru nezbyde nic.

Jediné co chci, je posunout kontrolu přístupových práv o úroveň níž.

Kód typu

if (muze_odeslat_objednavku(current_user)) {
    try {
        odesli_objednavku;
    } catch chyba {
        vypis_chybu(chyba);
    }
} else {
    vypis_chybu("nedostatecna opravneni");
}

se změní na

try {
    odesli_objednavku;
} catch chyba {
    vypis_chybu(chyba);
}

Zbytek "aplikační logiky" zůstane tak jak je.

In Ada the typical infinite loop would normally be terminated by detonation.

V tomto formuláři můžete formulovat svou stížnost ohledně příspěvku. Nejprve vyberte typ akce, kterou navrhujete provést s diskusí či příspěvkem. Potom do textového pole napište důvody, proč by měli admini provést vaši žádost, problém nemusí být patrný na první pohled. Odkaz na příspěvek bude přidán automaticky.

Offtopic diskuse použijte pro diskusi mimo záběr našeho portálu (včelařství, windows), která by měla být smazána.
Duplicitní diskuse je určena pro případ, kdy uživatel odeslal svůj dotaz několikrát.
Návrh na cenzuru použijte, pokud komentář obsahuje urážky, vulgarismy nebo porušuje zákony.
Návrh na smazání komentáře je velmi neobvyklá akce používaná obvykle při nepovolené reklamě či spamu, výkřicích psychicky nemocných jedinců (ještírci) nebo pro smazání duplikátních komentářů.
Oprava formátování je žádost pro úpravu formy příspěvku, například pokud někdo píše bez odstavců nebo použije PRE pro celý komentář. Žádosti o změnu obsahu budou zamítnuty.

Vaše jméno
Váš email
Typ požadavku

Slovní popis