Ekspert bezpieczeństwa PHP odchodzi

14.12.2006 13:26, Autor: Grzegorz Niemirowski (gniemirowski), Kategoria: News
NewsImage

Stefan Esser, znany specjalista od bezpieczeństwa PHP, odszedł z grupy PHP Security Response Team zajmującej się bezpieczeństwem PHP.

Przyczyną rezygnacji był brak perspektyw na możliwość uczynienia PHP bezpieczniejszym. Esser rozczarował się postawą programistów, którzy ignorowali jego uwagi na temat najprostszych nawet błędów. Zaowocowało to wieloma dziurami umożliwiającymi zdalne wykonanie kodu. Ponadto próby krytyki bezpieczeństwa PHP spotykały się negatywnymi reakcjami Security Response Team. Esser będzie kontynuował swoją pracę nad bezpieczeństwem PHP na własną rękę. Zamierza publikować raporty na temat odkrytych przez siebie dziur bez względu na to, czy deweloperzy przygotują poprawkę czy nie. Oczywiście otrzymają oni na to odpowiednią ilość czasu.

Z punktem widzenia Stefana Essera nie zgadza się Zeev Suraski, który twierdzi, że większość problemów wynika z braku doświadczenia użytkowników PHP, niepotrafiących pisać bezpiecznego kodu. Jest w tym sporo racji, jednak błędy są też samej implementacji PHP. Nad jego bezpieczeństwem według Essera tak naprawdę pracują tylko trzy osoby. Poprawki pojawiają się zbyt późno i są niewystarczająco dokładnie testowane. Przykładowo obecnie w CVS znajdują się poprawki, na które użytkownicy czekają od sześciu miesięcy.


Aktualizacja, 15.12.2006, 02:32

Zeev Suraski zdementował informacje jakoby zrzucał odpowiedzialność na niedoświadocznych webmasterów korzystających z PHP. Zaznaczył, że nie neguje istnienia dziur w PHP.

r   e   k   l   a   m   a

Komentarze (27)  

Avatar
sCooBy^(tm) - Micro$yft (niezalogowany) | 14.12.2006 14:17#1

I właśnie to tak jak z tymi linuxiażami - mówić im że Linux jest do niczego, i choćby nawet wiedzieli sami że jest do niczego to i tak będą głosić herezje ze jest najlepszy i do wszystkiego.

Najleprzy jest asp.net

Czy przypadkiem PHP nie jest open source ??

Avatar
gregor64 (niezalogowany) | 14.12.2006 14:33#2

Hmm. Zle sie dzieje. Byloby zle gdyby PHP upadlo:-( A takie informacje/zdarzenie moge to tego doprowadzic.

Avatar
MarcinK (niezalogowany) | 14.12.2006 14:57#3

Małe zgrzyty - i dobrze. Teraz na pewno nastąpi poprawa. Nie sądzę, żeby php upadło w najbliższym czasie - za dużo firm w to zainwestowało. Co prawda są środowiska, które mogłyby spokojnie zastąpić php, ale to jeszcze nie teraz.

Avatar
ert (niezalogowany) | 14.12.2006 15:01#4

wyksztalceni ****** wiedzia lepiej, to niech robia tak jak uwazaja i tak sie przejada na wlasnych bledach :)

Avatar
asembler (niezalogowany) | 14.12.2006 15:36#5

@sCooBy^(tm) - Micro$yft
Ty si ę nie wymądrzaj bo nawet dobrze nie znasz tej twojej Visty lepiej powiedz mi jak w viscie włączyć pulpit 3d

Avatar
Lisek (niezalogowany) | 14.12.2006 16:02#6

Rany, jak uwielbiam komentarze kolesi którzy nie mają pojęcia o czym piszą.
Nie będę oceniał co jest lepsze a co gorsze, bo nie o to mi chodzi, natomiast bardzo chciałbym aby sCooBy^(tm) - Micro$yft napisał DOKŁADNIE na czym polega różnica między ASP.NET a PHP.
Szczególnie biorąc pod uwagę, że PHP jest językiem programowania a ASP.NET technologią.
Więc proszę, wykaż się wiedzą albo przestań komentować cokolwiek jeśli nie wiesz o czym mówisz.

Avatar
elektrrrus (niezalogowany) | 14.12.2006 16:04#7

@sCooBy^(tm) - Micro$yft
Jak taki mądry... Umiesz coś ludzikiego zrobić w tym twoim asp.net?

Avatar
sCooBy^(tm) - Micro$yft (niezalogowany) | 14.12.2006 16:17#8

asembler@ nie słyszałem jeszcze o pulpicie 3D w windows, chyba że chodzi ci o trójwymiarowe przełączanie pomiędzy okienkami - to do tego masz po lewej drugą ikonke na pasku start od przycisku ("byłego") start.

Avatar
sCooBy^(tm) - Micro$yft (niezalogowany) | 14.12.2006 16:30#9

Lise@ a czy ja napisałem najlepszy jest język asp.net?? Chodziło mi o technologie...

Avatar
Lisek (niezalogowany) | 14.12.2006 16:43#10

No, teraz to już mnie po prostu zabiłeś.
Czyli lepsza jest technologia od języka programowania, niesamowite, niezły bełkot.
To jak powiedzieć, że pralka jest lepsza od lodówki.

To napisz proszę w czym DOKŁADNIE jest "najleprzy" ASP.NET i DLACZEGO. Skoro coś twierdzisz, to masz zapewne jakieś konkrety na myśli. Jeszcze raz serdecznie proszę...

Avatar
uel. (niezalogowany) | 14.12.2006 16:44#11

podziwiam takich ludzi jak Esser...

Avatar
Ehh (niezalogowany) | 14.12.2006 16:54#12

@Lisek: Co się tak tego asp.net jako technologia przyczepiłeś? Tak, działa on na bazie frameworka .net i korzysta z jp. c# lub vb ale kurcze, php to nie jest tylko język programowania, ale przecież także i środowisko z bibliotekami włącznie, dlatego też spokojnie można porównywać asp.net i php jako ŚRODOWISKA, zresztą tak jak np. Ruby z Ruby on Rails.

Avatar
m010ch (niezalogowany) | 14.12.2006 17:22#13

PHP nie jest żadną konkurencją dla ASP.NET - nie ta półka. ASP.NET ma konkurować z Java EE Suna.
Tu chodzi o poziom tworzenia aplikacji typowo biznesowych opartych na architekturze wielowarstwowej, nie małe hobbistyczne serwisy jak w przypadku PHP (nie przeczę - są wyjątki).

Avatar
Lelek Kozodoj (niezalogowany) | 14.12.2006 17:44#14

Nie rozumiem dlaczego w ogóle reagujecie na wypociny jakiegoś niedouczonego pajaca. Niektórzy biedacy nie są w stanie pojąć niczego innego niż dwuklik myszą w związku z tym pojawia się u nich postawa agresywna w stosunku do inności. Aby utrzymać się w przekonaniu o "gurowatości" użytkowników specjalizujących się w dwukliku walczą z wszelkimi przejawami odmienności w komputerach. Przecież ONI znają dwuklik i to już wystarczy. Dwuklik i wszystko jasne. Dwuklik, dwuklik uber alles. Ich liebe dwuklik. Dwuklik - uznanie na Śląsku. I tak dalej...

Więc jak jakiś dwuklik Strong zobaczy informacje o Linuksie to już wie, że on tego nie rozumie (a co gorsza NIE ZROZUMIE choćby się starał) więc zaczyna krzyczeć i bić w morde. Niechęć dwuklika rozszerza się również na inne produkty rozwijane w zgodzie z ideologią otwartości oprogramowania. Cóż z tego, że ktoś ciężko pracuje, by dać innym coś co mogą również za darmo używać, zaoszczędzić kupę kasy itp. itd. Ważne jest, że dwuklik nie rozumie - niezależnie więc od wartości i użyteczności produktu Open Source, należy go za wszelką cenę zniszczyć, a programistów rozgonić.

Następnie trzeba sprzedać babkę w niewolę, wystawić nerkę na Allegro i już można cieszyć się nowiutkim Aero w Viście. Przepraszam. Powinienem powiedzieć technologią Aero i przyklęknąć na jedno kolano.

Jak ja nie cierpię idiotów...

Avatar
Macieqqq (niezalogowany) | 14.12.2006 17:51#15

Szkoda :( sam programuje w php... A co do kłótni o ASP (nie asp.net) bo podejżewam że o to chodziło sCooBy^(tm) - Micro$yft, to niestety, ale musze poprzeć że asp jest lepszy mimo że jest trudniejszy.
Dlaczego? zaczynając od lepszego korzystania z baz danych, poprzez to że programy w nim można w kilka minut skompilować pod platforme .net i kończąc na takich szczegułach jak możliwość uploadowania plików na stronach stworzonych w nim bez ich odświerzania.

Avatar
Lisek (niezalogowany) | 14.12.2006 17:53#16

@Ehh -> nie przyczepiłem się do ASP.NET, powiem więcej, właśnie go używam i prawie całkiem przerzuciłem się z PHP na właśnie ASP.NET (C#).
Po prostu strasznie mnie denerwują kolesie którzy walą na lewo i prawo jakieś opinie za dużo nie wiedząc na ten temat, zawsze lubiłem PHP za jego elastyczność i jakby nie patrzeć prostotę. Dlatego też podnosi mi ciśnienie gość walący, że najlepszy jest ASP.NET. Więc chcę go po prostu zapytać, co na ten temat wie, że głosi takie kategoryczne osądy.
Dla mnie jeśli już ktoś chce porównywać PHP to chociażby właśnie z C# a nie z ASP.NET, takie jest moje zdanie.

Avatar
sCooBy^(tm) - Micro$yft (niezalogowany) | 14.12.2006 18:04#17

Lisek@ na ciśnienie dobre mleko...

Avatar
BlackMan(tm) (niezalogowany) | 14.12.2006 18:17#18

@sCooBy^(tm)

[[[Lisek@ na ciśnienie dobre mleko...]]]

WTF ?

Nie zawyżając poziomu:

"Na niskie IQ dobry przeszczep mózgu od goryla...."

BTW.
http://wiadomosci.gazeta.pl/wiadomosci/1,60935,2591306.html
http://www.google.pl/search?hl=pl&q=%22koko+gorilla%22+iq+%22george+bush%22&btnG...=
http://www.google.pl/search?hl=pl&q=%22goryl+koko%22+iq&btnG=Szukaj&lr=

MEGA LOOOOOOOOOOOOOOOOOOOL :DDDDD

Avatar
Ehh (niezalogowany) | 14.12.2006 18:25#19

@Lisek:
"właśnie go używam i prawie całkiem przerzuciłem się z PHP na właśnie ASP.NET (C#)"
No to piątka, bo ja także (po czterech latach stażu w php). :)

Avatar
BlackMan(tm) (niezalogowany) | 14.12.2006 18:39#20

@Ehh

[[[@Lisek:
"właśnie go używam i prawie całkiem przerzuciłem się z PHP na właśnie ASP.NET (C#)"
No to piątka, bo ja także (po czterech latach stażu w php). :)]]]

A ja dalej bawię się PHP i wcale nie mam zamiaru się przerzucać. A już na pewno nie na rozwiązanie, które działa tylko na jednej platformie (no chyba że w końcu developerzy MONO dostatecznie go rozwiną).

Poza tym co mi z tego rozwiązania, skoro serwery obsługujące ASP.NET są drogie i trudno dostępne ? Ani nie zastosuję tego do własnej witryny webowej ani nic... To rozwiązanie dobre tylko dla wielkich korporacji...

Dlatego właśnie PHP rządzi.

Avatar
sCooBy^(tm) - Micro$yft (niezalogowany) | 14.12.2006 18:50#21

BlackMan(tm)@ na twój mózg dobra tylko trepanacja czaszki...

Avatar
Ehh (niezalogowany) | 14.12.2006 19:07#22

@BlackMan:
Przesadzasz z tymi kosztami, asp.net to nie taka droga zabawka jak mogłoby się wydawać i nie musisz sobie od razu stawiać jakiegoś porządnego serwera dedykowanego z licencją na windę plus jeszcze najlepiej mssql. Od czego są shared hostingi i jak myślisz, dla jakiego segmentu rynkowego? Wejdź na webhostingtalk.com, i przejrzyj sobie oferty oraz ceny.

Poza tym jesteś już kolejną osobą, która marudzi i wspomina "gdyby mono"... Co mono? A śledzisz dokładnie jego rozwój? Naprawdę wiele już zrobiono jeśli chodzi o kompatybilnością drugiej wersji net. Mam kolejny raz zarzucić stroną z listą kompatybilności bibliotek mono 1.2? To już nie jest to co kiedyś. Tylko nie wyskakuj z .net 3.0, bo to nie ma sensu. Chyba tylko linq w asp.net byłoby czymś konkretnym.

Avatar
kolo (niezalogowany) | 14.12.2006 19:10#23

Wielu narzeka na php, bo miał złą sławę, jako jezyk strukturalny i niebezpieczny. Ale coraz bardziej idzie w kierunku obiektowym i daje to naprawde dobre rezultaty. Taką samą drogę przechodziło stare asp w kierunku asp.net. Wiem że asp.net to technologia, ale zaczeło się także od języka mieszanego z htmlem, tak jak stary php (ok, nowy też, ale nie trzeba tego robić).

Niewątpliwą zaletą .net są duże ilości wbudowanych bibliotek. W php często trzeba czegoś szukać bo nie ma, albo jest toporne w obsłudze, ze względy na strukturalny styl.
Zaletą, albo wadą, zależy jak na to patrzeć, jest brak możliwości zamknięcia źródła php. Nie licząc encoderów, ale to nie jest dobre rozwiązanie...

Należy pamiętać, Microsoft zrezygnował z kompatybilności asp wstecz, co dało mu dużą przewagę.

Avatar
asembler (niezalogowany) | 14.12.2006 19:22#24

@sCooBy^(tm) - Micro$yft
"Lisek@ na ciśnienie dobre mleko..."

Widze że dobrze myślisz, że na ciśnienie najlepsze jest mleko, a powinieneś jeszcze dodać, że dodatkowo benzodiazepiny więc jak dobrze wiesz co może człowiekowi pomoc na ciśnienie to może powinieneś zmienić zainteresowania z komputerów na medycynę bo widze po twoich komentarzach, że to 1 ci nie wychodzi.

Avatar
BlackMan(tm) (niezalogowany) | 15.12.2006 13:10#25

@Ehh

[[[Przesadzasz z tymi kosztami, asp.net to nie taka droga zabawka jak mogłoby się wydawać i nie musisz sobie od razu stawiać jakiegoś porządnego serwera dedykowanego z licencją na windę plus jeszcze najlepiej mssql. Od czego są shared hostingi i jak myślisz, dla jakiego segmentu rynkowego? Wejdź na webhostingtalk.com, i przejrzyj sobie oferty oraz ceny.]]]

To może podaj mi adres własnej strony WWW zrobionej w .NET. I to w miarę konkretnej strony z jakimś DARMOWYM CMSem na przykład, a nie jakieś byle co w stylu "Hello world".

Ty, @Lisek, także.

Avatar
Lisek - Admin (niezalogowany) | 15.12.2006 16:14#26

@BlackMan(tm) -> odezwij się na moje GG to pokażę Ci parę sajtów.

Avatar
prgTW (niezalogowany) | 20.12.2006 1:52#27

@Macieqqq
Zgadzam się, ASP.NET jest lepszy pod wieloma względami, aczkolwiek ja tak samo pozostaję przy PHP z racji open-source'owości, łatwości budowania stron. Poza tym przy wykorzystaniu AJAXa też nie musisz przeładowywać stron żeby coś zmienić, aczkolwiek taka interaktywność w czasie rzeczywistym to dla mnie już nie strona internetowa tylko "aplikacja" odpalana na serwerze ;) Osobiście wolę bardziej toporne strony, aczkolwiek dla end-user'a ważna jest łatwość poruszania się po sajcie także ... co kto lubi.

Dodaj komentarz

Zasady publikowania komentarzy
Autor
Treść
 
Polecamy
Test Sharp AQUOS SH80F

Warto (byłoby) się szarpnąć
Testujemy GALAXY NOTE

Czy to tablet z telefonem?
Huawei E583C

Test przenośnego routera 3G
Top programy
  •  
Top programy ostatnie 7 dni
  •  
Top programy ostatnie 30 dni
  •  
Skanery antywirusowe
skaner av