Websites med PHP nu beskyttet af Suhosin

September 23rd, 2007 | Tags: , | 11

Suhosin LogoFra i dag er alle websites pÃ¥ Gigahost beskyttet af Hardened-PHP-projektets “skytsengel”, Suhosin. Bag det koreanskklingende navn gemmer sig et system som tager højde for de mest udbredte typer af sikkerhedshuller og fejl i websider, der benytter PHP.

Vi har længe haft intern debat om hvorvidt vi burde benytte Suhosin, for egentlig ændrer Suhosin den måde PHP-scripts virker på, ved at indføre ekstra sikkerhedstjek. I den perfekte verden burde disse fejl rettes i selve PHP-scriptet, og ikke i et sikkerhedssystem på et andet niveau. Når vi alligevel vælger at benytte Suhosin er det fordi vi ofte ser, at sikkerhedsfejl i forskellige scripts (eksempelvis i Joomla!-moduler og i andre CMS-systemer) lægger de fejlagtige websites ned.

Det anbefales naturligvis stadig kraftigt, at man opdaterer sine scripts til nyeste versioner hvor sikkerhedsproblemerne er løst, men det er vores indtryk at en stor del af vores brugere ikke gør dette. Vi håber, at Suhosin-systemet i hvert fald i nogle af tilfældene kan hindre et angreb på websites hostet hos os.

Indføringen af Suhosin vil normalt ikke skabe problemer med eksisterende websites på Gigahost. Men hvis man ønsker det, kan man få Suhosin slået fra på et eller flere af sine domæner. Skriv blot til vores support.

11 kommentarer

  1. Christian Wahl writes:
    September 23rd, 2007 at 16:57

    Ohh, svede! Det er godt at se at I opdaterer jeres software til tider, men denne her er vild. Har I nogle godt links til fora der beskæftiger sig med hvordan man kan gøre sin kode mere sikker…? – Jeg kan se at mine “foreach” i hvertfald ikke er sÃ¥ populære i dette system.

  2. Ralf Bach writes:
    September 23rd, 2007 at 19:10

    Kan det passe, at websitesne loader langsommere efter at suhosin er blevet installeret?

  3. gigahost writes:
    September 24th, 2007 at 20:23

    Ralf Bach: Nej, det burde ikke have effekt. Du er dog altid velkommen til at skrive til os på support@gigahost.dk med hvad du helt præcist oplever, så kan vi prøve at give et bud på årsagen til at en side loader langsomt.

  4. Ralf Bach writes:
    September 27th, 2007 at 19:19

    @gigahost

    Det mente jeg heller ikke, jeg ramte sikkert bare en spidsbelastning på serveren og derfor svarede den måske lidt langsommere end den plejede

  5. Ture Gjørup writes:
    September 29th, 2007 at 21:19

    Det lyder selvfølgelig meget godt, men hvad med PHP 5? Er i tættere på at tilbyde en opgradering her?

  6. Per Sikker Hansen writes:
    October 6th, 2007 at 13:08

    Kan suhosin fravælges i kontrolpanelet? Ville jeg mene, gav mest mening, når nu safe_mode kan slås fra.

  7. Frederik 'Freso' S. Olesen writes:
    October 8th, 2007 at 08:26

    Per: safe_mode virker ikke – det siger PHP-folkene i hvert fald selv (og det vil ikke være en del af PHP6). Suhosin er en langt sikrere mÃ¥de at “forstærke” sin PHP-kode pÃ¥ og burde, som nævnt, ikke gÃ¥ ud over ordentligt skrevet kode. (Men hvis du stadig vil have svar, sÃ¥ tvivler jeg pÃ¥ at det kan slÃ¥s fra, da Suhosin er en kildeniveauslap til PHP og som dermed ville kræve at der lever to PHP-versioner side om side pÃ¥ systemet for at kunne vælge det fra og til.)

  8. chr writes:
    October 11th, 2007 at 13:58

    safe_mode er stort set ubrugeligt når det gælder sikkerhed. Man læner sig op ad den antagelse, at der ikke er fejl i PHP eller i de ekstra moduler man indlæser (fx Gd, Imagemagick, osv).

  9. Palle Engkjær writes:
    November 25th, 2007 at 13:41

    Kan det passe at “suhosin ” er Ã¥rsag til at TinyMce editoren pÃ¥ min php side ikke virker?

    Den virker glimrende på en side der kører på lokal server??

    Hilsen Palle

  10. Steen Brølling writes:
    April 8th, 2008 at 06:55

    Jeg kan ikke få min gamle php-kode til at virke på jeres server. Jeg har også henvendt mig til support, uden at det dog hjalp.

    Det drejer sig om at der ikke sker noget som helst, når jeg f.eks. laver et link ala http://www.broelling.dk/index.php?id=212, som ellers skal finde indlæg nr. 212, når der klikkes på det.
    Min arkiv-side skal kunne søge på hele måneder, f.eks., og det virker heller ikke overhovedet.

    Det der måske irriterer mig mest, er at jeg ikke får nogen som helst form for fejlmedelelse, hvorfor det er ret svært at gennemskue problemet. Men jeg skriver dog her, fordi jeg har en mistanke til at det er suhosin som gør forskellen.

    Hjælp anyone!??

    MVH Steen

  11. Steen Brølling writes:
    April 8th, 2008 at 18:20

    Nu har jeg fundet ud af hvordan jeg gør. Men det er lidt irriterende:

    I stedet for en almindelig variabel som f.eks: $dagligt er jeg nødt til at anvende f.eks. $_POST['dagligt'], hvilket jeg ikke helt forstår.

    Det troede jeg ikke var nødvendigt med register_globals aktiveret.

    MVH Steen

Tilføj kommentar