Webhosting Vertrauenswürdigkeit

[grum.py]

Ad-hoc-Lösungen und zusammenkopierte Programme sind aber unter Python auch nicht unüblich und "dank" pip auch eher Regel als Ausnahme. :K

Ich benutze Python tatsächlich nur noch für Prototyping, meine Begeisterung fand bei den syntaktischen Problemen schnell ein Ende. Ich mag das Ökosystem, es gibt ein paar wirklich feine Pythonprogramme, aber eine Nische, wo es besser als andere Sprachen reinpasst, sehe ich irgendwie nicht.

Der RPi und dessen Fokus auf Python ist beängstigend, in der Tat. Andererseits ist Python ja dort auch nur eine von mehreren Sprachen.

[grum.py]

Python 4? Hab ich irgendwas verpasst?

Die Wolken am Horizont.

[snafu]

meine Begeisterung fand bei den syntaktischen Problemen schnell ein Ende.

Hat dir Python zu wenig geschweifte Klammern...?

[grum.py]

Unter anderem, ja.

[BlackJack]

@grum.py: Mit pip kann man keine Programme zusammenkopieren. Da kommt jetzt wieder Deine komische Ansicht das man ja keine Bibliotheken benutzen soll ins Spiel. Hatte ich fast schon wieder vergessen, das Du von Softwareentwicklung keine Ahnung hast. Ich meine tatsächlich Quelltexte die aus mehreren Quellen zusammen kopiert werden. In die gleiche Quelltextdatei, von Leuten die keine Ahnung haben, mit Überresten die nichts mit der Lösung zu tun haben, aber immer wieder mitkopiert oder gar von Hand dazu geschrieben werden wenn etwas nicht funktioniert, weil es ja irgendwo anders mal stand und vielleicht auf magische Weise hilft. Also das was viele PHP-”Programmierer” praktizieren.

@snafu: Ich weiss natürlich nicht in welche Richtung Python 4 geht, aber wenn man den Trend zu statischer Typisierung in Python 3 sieht, liegt der Codename „Java“ für Python 4 nahe.

[grum.py]

Mit pip kann man keine Programme zusammenkopieren. Da kommt jetzt wieder Deine komische Ansicht das man ja keine Bibliotheken benutzen soll ins Spiel.

Ist richtig. Bzw. anders: Man sollte schon eine verdammt gute Ausrede haben, wenn man irgendwas anderes als die Standardbibliotheken nutzen will. In anständigen Sprachen reichen die ja auch (und theoretisch sogar in Python).

Ich meine tatsächlich Quelltexte die aus mehreren Quellen zusammen kopiert werden. (...) Also das was viele PHP-”Programmierer” praktizieren.

"Hallo zusammen, ich habe eine kleines Programm zusammenkopiert und..."

Böse PHP-Programmierer.

[Sirius3]

@grum.py: Was hat der Verlinkte Beitrag mit PHP zu tun, außer dass das Forum anscheinend kein Code-Highlighting für Python hat und man deshalb PHP nehmen muß. Es ist auch erschreckend, wie da zwei im Nebel herumstochern, obwohl einer von beiden ja angeblich eine "Legende" ist.

[DeaD_EyE]

Hier geht es noch um das eigentliche Thema oder?
Ich vermische mal zwei Themen. Datensicherheit und Angreifbarkeit und Module.

Datensicherheit
=============
Vertraulich ist es nur, wenn man die Inhalte auf dem Server verschlüsselt ablegt, Kundendaten sichert und sich selbst um die komplette Administration kümmert. Es gab schon Fälle, wo ein Kunde mit einem fremden Server das RZ verlassen hat. Selbst das kann passieren!

Verlässt man sich auf Dienstleister, ist man wieder am Anfang. Wer kann sicherstellen, dass niemals Daten entwendet werden? Niemand kann das zu 100% sicher sagen. Vom Gefühl her kann ich sagen, dass Hetzner sich bisher ganz gut geschlagen hat. Es geht auch unter anderem darum, wie mit Datenlecks umgegangen wird und ob die Kunden auch informiert werden.

Angreifbarkeit
============
Wer weiß welcher Exploit morgen wieder im Netz rumgeistert. Das Internet ist gefährlich und das weiß man, wenn man einen eigenen Server hat. Ich nenne die Brute-Force-Attacken auf SSH das natürliche Hintergrundrauschen des Internets. Möchte man die Sicherheit erhöhen und die Angreifbarkeit reduzieren, kann man Cloudflare davor schalten. Cloudflare ist sowas wie ein intelligenter reverse Proxy gegen dDoS und andere Angriffe. Die Daten werden dann durch den Provider teils gefiltert, Angriffe werden abgewehrt soweit es geht. Caching findet auch statt. Transportverschlüsselung lässt sich auch kostenlos nutzen. Die Transportverschlüsselung kann auch zwischen Cloudflare und dem Webserver stattfinden.

Was man bei Cloudflare beachten muss:

• kein MX-Eintrag, der die IP des Webservers verrät (hier muss ein externer Server verwendet werden)
• niemals zulassen, dass der Webserver durch Zufall seine eigene IP verrät. Das kann z.B. durch den PHP-Mailer geschehen (btw. Exploit)
• Firewall: Alle Ports schließen, Port 22 für SSH freigeben, Port 21 für FTP, Port 80 und 443 nur für die Cloudflare-Server.

Pyhon Module
===========
Was die Nutzung der Bibliotheken angeht, bestimme ich selbst was auf dem Server ist und was nicht. Ich lasse mir da von anderen auch gar nicht reinreden, schließlich hoste ich das selbst und nicht die anderen. Auf die Abhängigkeiten achten eher die Entwickler der Bibliotheken. Beim shared hosting kann ich mir vorstellen, dass man Kompromisse eingehen wird.

[grum.py]

Was hat der Verlinkte Beitrag mit PHP zu tun

Nichts, das ist es ja gerade. Was ich sagen wollte: Zusammenkopieren kannste in jeder Sprache ziemlich einfach (außer Brainfuck und Whitespace ). Wenn du dann nicht verstehst, was du da kopierst, hilft dir auch keine Syntaxverkrüppelung mehr weiter.

Möchte man die Sicherheit erhöhen und die Angreifbarkeit reduzieren, kann man Cloudflare davor schalten.

Meines Wissens sperrt Cloudflare gern mal Tornutzer aus und zwingt somit Besucher dazu, weniger sicher im Web unterwegs zu sein. :K

[BlackJack]

@grum.py: Juhuu, nur weil man in jeder Sprache schlechten Code schreiben kann muss PHP gut sein. *Das* ist natürlich ein schlüssiges Argument.

[DasIch]

Vertraulich ist es nur, wenn man die Inhalte auf dem Server verschlüsselt ablegt, Kundendaten sichert und sich selbst um die komplette Administration kümmert. Es gab schon Fälle, wo ein Kunde mit einem fremden Server das RZ verlassen hat. Selbst das kann passieren!

Verschlüsselung auf dem Server ist größtenteils zur Show da und nicht weil sie tatsächlich irgendeinen Effekt hat. Die meiste Zeit läuft der Server und damit ist jegliche Verschlüsselung des Dateisystems völlig uninteressant. Verschlüsselung auf Anwendungsebene ist größtenteils sinnlos.

Wenn du den Server sicher halten willst brauchst du entsprechende Kenntnisse im Bereich Sicherheit und Systemadministration. Die Kenntnisse hast du aller Wahrscheinlichkeit nicht. Dementsprechend wenig sinnvoll ist es wenn du dich selbst drum kümmerst.

Verlässt man sich auf Dienstleister, ist man wieder am Anfang. Wer kann sicherstellen, dass niemals Daten entwendet werden?

Existierende Gesetze und darüberhinaus gehende vertragliche Reglungen. Also womit du z.B. auch sicherstellst das Mitarbeiter nicht einen Stapel vertraulicher Akten mitnehmen.

Vom Gefühl her kann ich sagen, dass Hetzner sich bisher ganz gut geschlagen hat. Es geht auch unter anderem darum, wie mit Datenlecks umgegangen wird und ob die Kunden auch informiert werden.

Solange der Server nicht von Hetzner administriert wird, ist denen doch vollkommen egal ob der kompromittiert ist.

Möchte man die Sicherheit erhöhen und die Angreifbarkeit reduzieren, kann man Cloudflare davor schalten.

Cloudflare macht effektiv eine MITM Attacke auf deinen Traffic. Auf Servern die möglicherweise außerhalb Deutschlands oder der EU sind. Je nachdem welche Standards für Datensicherheit ansetzt ist damit dann vorbei.

[grum.py]

@grum.py: Juhuu, nur weil man in jeder Sprache schlechten Code schreiben kann muss PHP gut sein. *Das* ist natürlich ein schlüssiges Argument.

Zumindest nicht per se besonders schlecht.

[DasIch]

Zumindest nicht per se besonders schlecht.

Es ist ein absolut lächerliches Argument, bei einem Auto würdest du ja auch nicht sagen dass es keinen Unterschied hat ob man ABS hat oder nicht nur weil man mit beiden einen Unfall bauen kann.

[Liffi]

Zumindest nicht per se besonders schlecht.

Es ist ein absolut lächerliches Argument, bei einem Auto würdest du ja auch nicht sagen dass es keinen Unterschied hat ob man ABS hat oder nicht nur weil man mit beiden einen Unfall bauen kann.

Also ich baue mein Auto immer selbst. Die Teile natürlich auch, damit mir da kein Schund unterkommt. SCNR

[DeaD_EyE]

Verschlüsselung auf dem Server ist größtenteils zur Show da und nicht weil sie tatsächlich irgendeinen Effekt hat.

Ja, das mag sein. Ich nannte nur ein Beispiel, wo selbst der beste Schutz nichts bringt. Wenn jemand nicht autorisiertes deinen Server mit nimmt, ist es eh Zeit den Dienstleister zu wechseln.

Um einen Server muss man sich kümmern. Tut man das nicht, dann hat man halt ein paar Gäste auf dem Server. Geht schneller als man denkt.
Jemanden, der keine Ahnung von Servern hat, sollte man nicht empfehlen selbst zu hosten. Ich kann Hetzner empfehlen. Neulich hatte das Unternehmen wieder irgendeine Auszeichnung bekommen. Die gehen auch mit Problemen offen um.