Onderwerp: PHP beveiligen: mpm-itk, suexec, suphp of mod_ruid2

Ik ben bezig met wat vooronderzoek voor ons nieuwe hosting platform en kom er niet helemaal uit wat ik wil gaan gebruiken voor PHP privelege separation. Tot nu toe heb ik de volgende modules gevonden:
mpm-itk
suphp
suexec
mod_ruid2

Wat zijn jullie ervaringen of aanbevelingen mbt deze modules? Het liefst gebruik ik gewoon mod_php (ivm performance), dus ik denk dat suexec dan al afvalt. Daarnaast zou een chroot optie ook mooi zijn, dus volgens mij is mpm-itk dan ook niet mogelijk.

Hopelijk kunnen jullie mij voorzien van een goed advies! Alvast bedankt.

ik gebruik mod_ruid2 voor "privelege separation"

edit: en het bevalt prima

En bevalt het? Gebruik je ook chroot?

suphp wordt (standaard) gebruikt i.c.m. cPanel. Voorheen phpsuexec, maar dit is eigenlijk nu wel aardig verouderd.

suPHP werkt via CGI en is hels langzaam.
suexec zelfde verhaal.

mpm-itk, geen ervaring mee.
mod_ruid2 gebruik ik al een aantal jaar en nooit problemen mee gehad.

PHP heeft sinds versie 5.3.4 ook FastCGI Process Manager.
PHP werkt dan via het veel snellere FastCGI, tegenover gewone CGI.
Plus, je kunt dan het veel snellere mpm-worker gebruiken.

Enig nadeel is dat iets meer werk is en de documentatie maar summier is.

Zie ook: http://www.pfz.nl/wiki/apache-veilig...iker-uitvoeren

Wist niet dat PHP nu ook met FastCGI werkt, bedankt voor de tip en het artikel!

Oorspronkelijk geplaatst door Rollerscapes

Zie ook: http://www.pfz.nl/wiki/apache-veilig...iker-uitvoeren

volgens mij moet je het stuk van mpm_itk eens opnieuw opstellen. Mpm_itk Beheerd namelijk een pool van processen die gerecycled worden, En niet zoals jij schrijft elk request een nieuwe thread. Door middel van een system call wordt een worker aan een andere user toegekend waarna deze klaar is weer terug in de pool terecht komt. Waarbij het zelfs mogelijk is bij veel requests dat de mpm-worker de thread langer aan user vastbind om nog sneller te kunnen reageren.

De enige echte nadeel aan deze worker is dat hij onder root draait.

Oké, ik zal het binnenkort even aanpassen (nu geen tijd).
Zijn wel meer punten voor dat artikel, zoals de tekststijl.

Wat betreft de veiligheid is mpm-itk net zo (on)veilig als mod_ruid2.
Het proces draait onder root, dus een lek in PHP kan voor problemen zorgen.
Tip: Ubuntu levert PHP standaard met de http://www.hardened-php.net/suhosin.127.html Patch welke de impact van veiligheidsfouten inperkt.

PHP-FPM heeft dit probleem niet omdat de gebruiker voor de Fork van gebruiker wisselt, maar dan heb je weer andere problemen.
Zoals een hogere load bij (heel) veel actieve processen en het instellen wat niet 123 gedaan is.

Dus er is helaas nog geen silver bullet die altijd goed is.
Kijk gewoon wat het beste werkt voor jouw.

Dit zijn wel dingen waar ik wat mee kan. Ik wilde sowieso PHP Suhosin gebruiken inderdaad (draai op Ubuntu 10.04 LTS).
Qua performance en veiligheid lijkt mod_ruid2 nog de beste oplossing tot nu toe begrijp ik? Als je veel verschillende users/vhosts hebt levert PHP-FPM namelijk weer heel veel processen?

Gebruik hier suPHP en Suhosin. Bevalt erg prima.

Oeps, even helemaal vergeten de melden!
Als je mod_ruid2/mpm-itk gebruikt is het verstandig om POSIX (niet te verwarren met Posix Regex) uit te schakelen.

Je kunt de versie van mijn PPA gebruiken.
https://launchpad.net/~s-stok/+archive/rollerscapes

Is het zelfde als de originele met één verschil dat dedbian/rules --no-posix heeft.
Je moet dan alleen wel opletten dat Ubuntu bij een nieuwe versie deze ppa versie overschrijft.

https://help.ubuntu.com/community/Pi...ing%20Packages
http://forums.debian.net/viewtopic.php?t=240

Let wel op dat dit momenteel niet werkt voor apt-get, maar alleen voor aptitude.

Wat haalt --no-posix dan weg? Kun je die functies niet gewoon uitzetten met blacklist van Suhosin?

http://nl.php.net/posix

Kan ook, maar dit veiliger.
Als er nu functies bijkomen moet je de lijst controleren.
Is net wat je zelf het handigst vind.

Oorspronkelijk geplaatst door frenkel

Dit zijn wel dingen waar ik wat mee kan. Ik wilde sowieso PHP Suhosin gebruiken inderdaad (draai op Ubuntu 10.04 LTS).
Qua performance en veiligheid lijkt mod_ruid2 nog de beste oplossing tot nu toe begrijp ik? Als je veel verschillende users/vhosts hebt levert PHP-FPM namelijk weer heel veel processen?

Op zich geen ramp, alleen strip wel alle overbodige modules uit php. Elk proces heeft zijn eigen memory footprint die met een hoop extra modules onnodig resources innemen. hetzelfde geld overigens voor apache. Wanneer je deze analyseert en uitkleed is hier ook nog een extraatje te behalen. Een mooie die bijna altijd standaard meegecompiled wordt maar nagenoeg nooit gebruikt is de webdav module. Zo zijn er nog een paar die eruit kunnen. Zeker in een shared omgeving.

Bedankt voor de tip. Ik heb op ons huidige platform inderdaad ook al wat modules uitgezet. Nog een paar modules om naar te kijken zijn de auth* modules, die heb je ook alleen maar nodig als een klant het wil gebruiken.