[Typo3-UG Russia] Hosting + php-accelerator

[Aleksey Barabanov]

Dmitry Dulepov wrote:

>
>> Потому, что к хостингу может потребоваться доступ через ssh, ftp, со 
>> стороны web-менеджера, который может иметь собственные дырки. И, 
>> главное, со стороны клиента-растяпы, от глупости которого не должны 
>> страдать другие клиенты.
>
>
> Ну и что? Чем логин из под юзера лучше логина через Апаче в chroot-ed 
> environment?

Дело не в логине под юзера, а в системном бюджете. В апаче не логин, а 
просто аутентификация, потом же просто апач начинает работать вроде как 
исходя из программных настроек в рамках принятых соглашений. Если при 
этом что-то внутри ломается, то все:
1.пользователь или получает права апача
2.или права кого угодно из базы этих псевдологинов
3.или еще как-то ухитряясь заэксплойтить ту смесь php и апачевых модулей.

Если модуль сразу запускается от некоторого пользователя то остается 
только п.3 из перечисленного.

Кстати, chroot это не панацея. Uml еще туда-сюда. Интересно, кто-то уже 
использует xen или пока еще не добрались славные трудяги "хостинга и 
орала" до него ;)

>
> На данный момент не просто виртуальный "апач" а множество vps крутятся 
> на хостинге моего бывшего шефа и ничего, проблем с производительностью 
> нет. Всё живёт великолепно. Зависит от кривости рук того, кто 
> настраивает систему.
>
Не. Сначала от ресурсов.

>> А не в том дело , что имеют, а в том, что могут получить.
>
>
> Нет, дело не в том, что юзеры гипотетически могут, а в том, что 
> большиство их реально имеет, т.к. именно из этого исходят, когда 
> планируют ресурсы и политику системы.

Бесполезный спор. Посмотрите на рынок мобильных телефонов. Дело не в том 
чтобы использовать все что туда понапихано, а в том, что потенциальный 
клиент элементарно сравнит предложения и выберет с большим числом опций.

>
> Давайте конеретнее, на пальцах. Расскажите о недостатках параллельного 
> исполнения кода пхп. За многие годы я что-то в контексте безопасности 
> об этом не слышал. Видимо, это сокровенное знание есть у Вас и автора 
> первого сообщения :)
>
Не. Знания это не то, что можно в листе передать. Просто есть две модели 
паралелизма (грубо говоря и не считая нюансов организации нитей в 
линукс). В них по разному разделяются ресурсы и дублируются среды. При 
это , здесь важно , системные механизмы разделяют задачи в рамках VM 
ядра. А вот программные только в рамках внутренней памяти отного 
процесса или являются обертками над системными.

Вот и все. Значит если сломалось что-то в процессе линукса, то далее 
решается в рамках прав и ограничений на процессы линукса. А если 
сломалось что-то внутри php, то линукс об этом ничего не узнает и все 
проблемы будут решаться за счет соседних псевдо-процессов !

И при исчерпании ресурсов точно также.

>
> Именно. Я пишу про Апачевского юзера. Кому надо внимательнее смотреть?
>
А все остальные про реальных пользователей-клиентов. Т.е. тут и 
сравнивать нечего. Вы пытаетесь осуждать, то что не используете.

>
> Зато практично. Я исхожу из практики.
>
Вы себя ограничиваете. Это ваше право. Но призывать остальных к тому же 
равносильно тому, что не пробовавший бифштексов начинает осуждать 
поедание говядины.

>
> Я обоснования не увидел. Увидел голые утверждения, что запуск пхп под 
> отдельным юзеровским экаунтом лучше и ссылки на секьюрити без 
> какого-либо чёткого обоснования чем это лучше.
>
А мне понравилось. И причем точно также как вы Ларионов Дмитрий явно 
исходил из своего пактического опыта.

> С другой стороны, многие пхп-приложения не пойдут под любой его 
> CGI-версией. Хотя бы из-за того, что часть из них завязаны на 
> $SCRIPT_NAME.
>
> Я не верю, что FastCGI быстрее mod_php, а мониторинг секьюрити не 
> показывает серьёзных проблем с php или mod_php. Так же никто не привёл 
> никаких конкретных примеров, когда проблемы с безопасностью возникли 
> по причине работы mod_php+apache+use "apache". А голая теория меня не 
> интересует, я занимаюсь практикой.

А когда теория "не голая" тогда практика у дырявого ПО просто 
прекращается. Здесь же все пока в рамках дискусии.

Но вы употребили "не верю". Т.е. засомневались. Если практик говорит "не 
верю", то у него нет иных аргументов в защиту своей позиции.

Значит надо или взять/отыскать результаты тестов или задуматься почему 
их вам никто не предоставляет. Может кому-то выгодно чтобы было побольше 
неверующих ?

>
> Это верно. А ещё бывают такие, как в суппорте на вэльюхосте... Я к 
> таким не принадлежу. И никому не советовал бы им уподобляться: всё 
> закрыто, ничего нельзя, админ работает в консоли из под рута, а пароли 
> юзеров списками по Инету бегают... Зато у них как раз под отдельным 
> юзером всё работает.
>
> На вещи надо смотреть реально. Те, кто сильно перестраховываются в 
> одном и гнут пальцы, обычно не додумывают в другом. Я сужу из опыта. 
> Мой опыт подсказывает, что автор первого письма сделал необоснованый 
> выбор. Если кто-то так не считает - его право следовать  точке зрения 
> того автора. Я останусь при своей.

Конечно, конечно.

Но мне показалось, что Ларионов Дмитрий не гнул пальцы, а просто 
поделился опытом. Он даже так свое письмо и начал.

А додумывать в чем он там еще не достраховался совершенно бесполезно. 
Поскольку, как Вы правильно заметили - "на вещи надо смотреть реально".

Кстати, на счет незнания альтернатив сказано совершенно верно. Я бы еще 
добавил на счет кросто козлиного консерватизма. Это совсем не в адрес 
присутствующих. Просто обычно, если хостинг настроен, но добиться чтобы 
его переделали как надо продвинутому клиенту очень тяжело, точнее 
невозможно. И если что-то используют "все", то это не значит, что и на 
прогулку надо строем выходить.

Здесь предложена альтернатива. Почему бы не задуматься.

Но я конечно не буду Вас далее агитировать. Хотелось лишь смягчить для 
остальных впечатления от Вашей критики предложения Ларионов Дмитрий, 
которе лично мне показалось вполне дельным.

-- 
Bye,
Aleksey Barabanov <alekseybb at mail.ru>