PHP beveiligen: mpm-itk, suexec, suphp of mod_ruid2

Webdav gebruik ik wel, voor een paar oude Subversion repository's.

Twee modules welke je al kan uitschakelen zijn info, status, version deze heb meestal niet nodig en kunnen ook nog gevaarlijk zijn als je ze niet goed beveiligt.

En autoindex, imagemap, negotiation.

Een paar die je beter kunt aan laten staan zijn: deflate, expires, rewrite, setenvif, dir, en ssl als je die wilt gebruiken te minsten.

Handige van Apache op Debian/Ubuntu is dat je via één commando een module kan in of uitschakelen.
a2enmod en a2dismod

het voordeel van itk of ruid is dat je ook gewoon je caching module kan blijven gebruiken, onder cgi werkt dit niet of nauwelijks.
Suhosin kan je ook als php module laden, heeft dan wel iets mindere beveiliging, maar scheelt zelf compilen en patchen

Wat bedoel je precies met 'caching module'? Dit kan namelijk van alles betekenen :)

"Suhosin kan je ook als php module laden, heeft dan wel iets mindere beveiliging, maar scheelt zelf compilen en patchen"
Ubuntu en Debian hebben deze patch al standaard. Voor andere distro's zal er ongetwijfeld ook een versie beschikbaar zijn met deze patch.

Citaat:

---

Oorspronkelijk geplaatst door Rollerscapes

Wat bedoel je precies met 'caching module'? Dit kan namelijk van alles betekenen :)

---

bedoel opcode cachers zoals xcache en apc

Citaat:

---

"Suhosin kan je ook als php module laden, heeft dan wel iets mindere beveiliging, maar scheelt zelf compilen en patchen"
Ubuntu en Debian hebben deze patch al standaard. Voor andere distro's zal er ongetwijfeld ook een versie beschikbaar zijn met deze patch.

---

Voor bijv directadmin ligt het alweer wat lastiger

Citaat:

---

Oorspronkelijk geplaatst door wijtec

bedoel opcode cachers zoals xcache en apc

---

Ah :) ik snap je. CGI zelf is inderdaad niet geschikt daarvoor, naast het feit dat je voor elke request een heel nieuw proces start.

FPM (Fast CGI) daarin tegen werkt met een eigen proces manager die ondemand een nieuw proces forked.
Dus kan je wel APC blijven gebruiken, aldus de vele verhalen hierover.
Plus, omdat iedere een klant een eigen proces heeft je bij een fout in de cache alleen de klant zijn/haar proces pool hoeft te herstarten en de niet hele webserver.

Het is uiteraard wat je zelf het prettigst vindt en het beste werkt.