Safe Mode On/Off

Uppdatering – 9/12 2010: Väldigt mycket har hänt sedan detta inlägg publicerades. Bland annat har vi genomfört den största uppgraderingen i Surftowns historia, vilket bland annat introducerar safe_mode = off och en memory_limit på hela 128 MB! Vi har även lanserat vår egna VPS-tjänst. Läs mer om uppgraderingen och vår VPS-tjänst.

Sedan ganska lång tid tillbaka får vi frågor kring varför vi kör PHP med safe_mode påslaget på våra webbservrar. Då dessa frågor dyker upp oftare och oftare, tänkte jag nu förklara de underliggande orsakerna till detta.

Apaches PHP-tolk körs som en modul inuti webbservern, vilket gör att dina PHP-script exekveras med samma rättigheter som Apaches systemanvändare har. Detta medför att Apacheanvändaren måste kunna tillgå alla användares filer på servern. För att undvika att en kund får tillgång till en annan kunds filer använder vi den inbyggda validering av användaridentiteter som PHP:s safe_mode-inställning tillhandahåller.

Denna validering säkerställer att ditt PHP-script bara kan få tillgång till dina filer, genom att scriptets ägarskap jämförs med ägarskapet på de filer det försöker tillgå. Vi har, trots idoga försök och grundliga efterforskningar, inte kunnat hitta en bättre lösning som lämpar sig för den driftmiljö vi för närvarande har. Därför har vi valt att behålla safe_mode påslaget tills vidare, för att kunna garantera dina filers säkerhet och samtidigt ge dina besökare den bästa möjliga upplevelsen.

Den bästa lösningen vi kan tänka oss för att komma runt detta problem idag, är att flytta ditt webbhotell till en virtuell privat server, en så kallad VPS. I skrivande stund kan vi dock inte erbjuda den tjänsten, men vi arbetar febrilt på att lansera våra VPS-paket inom kort. Som VPS-kund får du en helt egen, virtuell server, där du varken behöver dela resurser eller filsystem med andra användare.

Eftersom varje VPS bara tjänstgör för en specifik kund kan vi garantera att ingen annan kommer åt dina filer, och kan därför också erbjuda PHP med safe_mode frånslaget. Även om priserna på våra VPS-tjänster ännu inte är fastställda kommer de av naturliga skäl att kosta lite mer än våra webbhotell. Dock får du som VPS-kund en hel del fördelar som vi inte kan erbjuda i vår delade hostingmiljö, i form av mer frihet och större möjligheter.

För dig som inte är intresserad av en egen VPS försäkrar vi dig om att vi arbetar kontinuerligt för att hitta en lösning som tillåter användning av PHP med safe_mode frånslaget även i vår delade hosting, utan att för den sakens skull göra avkall på tjänstens säkerhet och kvalitet.

Vår förhoppning är att vi ska kunna erbjuda detta inom en inte allt för avlägsen framtid, inte bara för att safe_mode-funktionaliteten kommer att försvinna i och med PHP version 6.0, men också just för att fler och fler kunder efterfrågar möjligheten.

198 Comments

1 2 3 4
  1. Tobias
    mars 17, 2009 @ 4:53 e m

    Att ha safemode påslaget och skylla på säkerhet är en mycket dålig ursäkt för en inkompetent serverkonfiguration eftersom safe_mode limiterar möjligheter för utvecklare till en sådan stor grad att ni blir ett webbhotell enbart riktat mot amatörer som kundgrupp. Men som tröst kan jag säga att ni är inte ensamma.

    Läs mer om detta här:

    https://ilia.ws/archives/18-PHPs-safe_mode-or-how-not-to-implement-security.html

    Summa sumarum av att safe_mode försvinner i PHP6 är att det inte var en bra lösning från början.

  2. Tobias
    mars 17, 2009 @ 5:53 e m

    Att ha safemode påslaget och skylla på säkerhet är en mycket dålig ursäkt för en inkompetent serverkonfiguration eftersom safe_mode limiterar möjligheter för utvecklare till en sådan stor grad att ni blir ett webbhotell enbart riktat mot amatörer som kundgrupp. Men som tröst kan jag säga att ni är inte ensamma.

    Läs mer om detta här:

    https://ilia.ws/archives/18-PHPs-safe_mode-or-how-not-to-implement-security.html

    Summa sumarum av att safe_mode försvinner i PHP6 är att det inte var en bra lösning från början.

  3. Micke
    mars 19, 2009 @ 1:20 f m

    Tjena,

    Efter att jag har försökt lista ut har jag byter från php 4 till 5 och inte lyckats, så frågar jag nu här. Hur jag det?

  4. Micke
    mars 19, 2009 @ 2:20 f m

    Tjena,

    Efter att jag har försökt lista ut har jag byter från php 4 till 5 och inte lyckats, så frågar jag nu här. Hur jag det?

  5. KJ
    mars 25, 2009 @ 10:51 e m

    Jag önskar att jag varit smart nog att efterforska surftown innan jag beställde ett konto. Nu sitter jag med ett betalt webbhotellskonto där jag inte kan använda en majoritet av de webbapplikationer jag vill/måste använda.

  6. KJ
    mars 25, 2009 @ 11:51 e m

    Jag önskar att jag varit smart nog att efterforska surftown innan jag beställde ett konto. Nu sitter jag med ett betalt webbhotellskonto där jag inte kan använda en majoritet av de webbapplikationer jag vill/måste använda.

  7. Jonathan Gabor
    mars 26, 2009 @ 8:35 f m

    @Micke – Kontakta supporten, så hjälper de er med det. 🙂

    @KJ – Men det är ju därför vi har vår 30 dagars pengarna tillbaka-garanti! 😀 Se till att utnyttja den, så får du pengarna tillbaka för ditt webbhotell. Klicka på ”Money Back Guarantee”-knappen i My Surftown, eller kontakta supporten om du behöver hjälp.

  8. Jonathan Gabor
    mars 26, 2009 @ 9:35 f m

    @Micke – Kontakta supporten, så hjälper de er med det. 🙂

    @KJ – Men det är ju därför vi har vår 30 dagars pengarna tillbaka-garanti! 😀 Se till att utnyttja den, så får du pengarna tillbaka för ditt webbhotell. Klicka på ”Money Back Guarantee”-knappen i My Surftown, eller kontakta supporten om du behöver hjälp.

  9. Daniel Collin
    april 3, 2009 @ 2:14 e m

    Har haft problem med Safe_mode men börjar finna egna lösningar (egen programmering runt detta). Dock trist att av en slump hamna på ett forum här om kvällen där det sägs att personalen på Surftown går runt med t-shirts med stort tryckt på ryggen: SAFEMODE ON

    Alltså som ett slags hån! Stämmer det eller är det tagit ur luften?

    Jag citerar från safemode on/off ovan:

    För dig som inte är intresserad av en egen VPS försäkrar vi dig om att vi arbetar kontinuerligt för att hitta en lösning som tillåter användning av PHP med safe_mode frånslaget även i vår delade hosting, utan att för den sakens skull göra avkall på tjänstens säkerhet och kvalitet.

  10. Daniel Collin
    april 3, 2009 @ 3:14 e m

    Har haft problem med Safe_mode men börjar finna egna lösningar (egen programmering runt detta). Dock trist att av en slump hamna på ett forum här om kvällen där det sägs att personalen på Surftown går runt med t-shirts med stort tryckt på ryggen: SAFEMODE ON

    Alltså som ett slags hån! Stämmer det eller är det tagit ur luften?

    Jag citerar från safemode on/off ovan:

    För dig som inte är intresserad av en egen VPS försäkrar vi dig om att vi arbetar kontinuerligt för att hitta en lösning som tillåter användning av PHP med safe_mode frånslaget även i vår delade hosting, utan att för den sakens skull göra avkall på tjänstens säkerhet och kvalitet.

  11. Jonathan Gabor
    april 3, 2009 @ 2:42 e m

    @Daniel Collin – Hej Daniel, det är faktiskt precis tvärtom! Som du ser på denna bild så står jag med en t-shirt som säger ”safe_mode OFF” – min egna lilla protest mot safe_mode.

    Så det är verkligen inte något slags hån! Du får gärna berätta vilket forum det var, så jag får möjlighet att bringa lite ljus till det hela…

  12. Jonathan Gabor
    april 3, 2009 @ 3:42 e m

    @Daniel Collin – Hej Daniel, det är faktiskt precis tvärtom! Som du ser på denna bild så står jag med en t-shirt som säger ”safe_mode OFF” – min egna lilla protest mot safe_mode.

    Så det är verkligen inte något slags hån! Du får gärna berätta vilket forum det var, så jag får möjlighet att bringa lite ljus till det hela…

  13. Daniel Collin
    april 3, 2009 @ 3:02 e m

    ASG! Tummen upp måste jag säga! Nätet är fullt av skit/snack… Jag ber om ursäkt men ville ju bara veta! Jag återkommer med länk om jag hittar dit igen! Have a nice weekend! ;=)

  14. Daniel Collin
    april 3, 2009 @ 4:02 e m

    ASG! Tummen upp måste jag säga! Nätet är fullt av skit/snack… Jag ber om ursäkt men ville ju bara veta! Jag återkommer med länk om jag hittar dit igen! Have a nice weekend! ;=)

  15. Hanna
    april 9, 2009 @ 7:33 e m

    @Jonathan Gabor

    Fast det där är ju ett bullshitsvar utan dess like, ni säljer era tjänster med hjälp av snabbinstallationer av en hel del php-script. Script som man sedan inte kan uppgradera till senaste versionen för att safe mode säger ifrån .

  16. Hanna
    april 9, 2009 @ 8:33 e m

    @Jonathan Gabor

    Fast det där är ju ett bullshitsvar utan dess like, ni säljer era tjänster med hjälp av snabbinstallationer av en hel del php-script. Script som man sedan inte kan uppgradera till senaste versionen för att safe mode säger ifrån .

  17. Jonathan Gabor
    april 14, 2009 @ 9:13 f m

    @Hanna – Vad är ett bullshitsvar? Automatiska uppgraderingar via php-script var (och är) inte någon särskilt vanlig funktion. Så här på rak arm, kan jag bara komma på två script i vår 1-Click Toolbox som har stöd för detta – och det är Joomla och WordPress, där båda har möjlighet att kringgå safemode-problematiken.

    De allra flesta php-script kräver fortfarande manuell uppgradering, det vill säga att man ersätter gamla filer med nya via FTP eller liknande, och det är inget som hindras av safemode. Dock blir automatiska uppgraderingar vanligare och vanligare (och med all rätt), och det är inget snack om saken att vi behöver få styr på hela safemode-situationen för att framtidssäkra vår 1-Click Toolbox (speciellt i och med PHP version 6).

  18. Jonathan Gabor
    april 14, 2009 @ 10:13 f m

    @Hanna – Vad är ett bullshitsvar? Automatiska uppgraderingar via php-script var (och är) inte någon särskilt vanlig funktion. Så här på rak arm, kan jag bara komma på två script i vår 1-Click Toolbox som har stöd för detta – och det är Joomla och WordPress, där båda har möjlighet att kringgå safemode-problematiken.

    De allra flesta php-script kräver fortfarande manuell uppgradering, det vill säga att man ersätter gamla filer med nya via FTP eller liknande, och det är inget som hindras av safemode. Dock blir automatiska uppgraderingar vanligare och vanligare (och med all rätt), och det är inget snack om saken att vi behöver få styr på hela safemode-situationen för att framtidssäkra vår 1-Click Toolbox (speciellt i och med PHP version 6).

  19. Lars Ranft
    april 20, 2009 @ 11:47 f m

    Tyvärr så funkar ju inte ett webhotell som de skall om man inte kan använda det.

    Att Surftown fortfarande inte har löst detta safe mod on problematiken är mycket dåligt.

    Jag håller med främst med Tobias för det är där skon klämmer och Hanna, Kj att man i praktiken inte kan använda några applikationer som man vill updatera och det är ju igentligen en katastrof ur säkerhetssynpunkt för en användare av ert webhotell.

    Det finns andra webhotell som redan löst detta för länge sedan och tyvärr så verkar det inte som Surftown klarar av att fixa det av någon anledning som de ej kan förklara. Man vill helt enkelt vänta på php6 istället för att fixa det för sina kunder n u.

  20. Lars Ranft
    april 20, 2009 @ 12:47 e m

    Tyvärr så funkar ju inte ett webhotell som de skall om man inte kan använda det.

    Att Surftown fortfarande inte har löst detta safe mod on problematiken är mycket dåligt.

    Jag håller med främst med Tobias för det är där skon klämmer och Hanna, Kj att man i praktiken inte kan använda några applikationer som man vill updatera och det är ju igentligen en katastrof ur säkerhetssynpunkt för en användare av ert webhotell.

    Det finns andra webhotell som redan löst detta för länge sedan och tyvärr så verkar det inte som Surftown klarar av att fixa det av någon anledning som de ej kan förklara. Man vill helt enkelt vänta på php6 istället för att fixa det för sina kunder n u.

  21. Jonathan Gabor
    april 20, 2009 @ 1:08 e m

    @Lars Ranft – Gällande uppdateringar, så är det endast när man försöker använda inbyggda autouppdateringsfunktioner som safe mode ställer till problem. Givetvis kan du uppdatera applikationerna manuellt via FTP, som fortfarande är det vanligaste sättet att uppdatera en applikation. Har applikationen stöd för att uppdatera via FTP, som t.ex. Joomla och WordPress har, så fungerar detta även med safe mode on.

    Att vi inte har lyckats lösa problemet ännu har Joakim försökt förklara i blogginlägget, bland annat i följande stycke:

    Apaches PHP-tolk körs som en modul inuti webbservern, vilket gör att dina PHP-script exekveras med samma rättigheter som Apaches systemanvändare har. Detta medför att Apacheanvändaren måste kunna tillgå alla användares filer på servern. För att undvika att en kund får tillgång till en annan kunds filer använder vi den inbyggda validering av användaridentiteter som PHP:s safe_mode-inställning tillhandahåller.

    En lösning på detta problem är att köra PHP i FastCGI-läge, vilket betyder att PHP-scripten exekveras med samma rättigheter som scriptets ägare (istället för med samma rättigheter som Apaches/webbserverns systemanvändare). Men att gå över till det är inte bara att trycka på en knapp.

    Det krävs åtskilliga timmar att konfigurera/installera om alla våra webbservrar, vilket betyder att vi måste ta dessa resurser från andra projekt/arbeten (såsom antispam-optimeringar, webmail-fixar, nya funktioner/produkter, etc.). Men jag garanterar dig att vi lägger så mycket krut som det bara är möjligt på att lösa safemode-problemet.

  22. Jonathan Gabor
    april 20, 2009 @ 2:08 e m

    @Lars Ranft – Gällande uppdateringar, så är det endast när man försöker använda inbyggda autouppdateringsfunktioner som safe mode ställer till problem. Givetvis kan du uppdatera applikationerna manuellt via FTP, som fortfarande är det vanligaste sättet att uppdatera en applikation. Har applikationen stöd för att uppdatera via FTP, som t.ex. Joomla och WordPress har, så fungerar detta även med safe mode on.

    Att vi inte har lyckats lösa problemet ännu har Joakim försökt förklara i blogginlägget, bland annat i följande stycke:

    Apaches PHP-tolk körs som en modul inuti webbservern, vilket gör att dina PHP-script exekveras med samma rättigheter som Apaches systemanvändare har. Detta medför att Apacheanvändaren måste kunna tillgå alla användares filer på servern. För att undvika att en kund får tillgång till en annan kunds filer använder vi den inbyggda validering av användaridentiteter som PHP:s safe_mode-inställning tillhandahåller.

    En lösning på detta problem är att köra PHP i FastCGI-läge, vilket betyder att PHP-scripten exekveras med samma rättigheter som scriptets ägare (istället för med samma rättigheter som Apaches/webbserverns systemanvändare). Men att gå över till det är inte bara att trycka på en knapp.

    Det krävs åtskilliga timmar att konfigurera/installera om alla våra webbservrar, vilket betyder att vi måste ta dessa resurser från andra projekt/arbeten (såsom antispam-optimeringar, webmail-fixar, nya funktioner/produkter, etc.). Men jag garanterar dig att vi lägger så mycket krut som det bara är möjligt på att lösa safemode-problemet.

  23. Peter
    april 20, 2009 @ 1:37 e m

    Jag jobbar med Joomla och imagevuex. För att kunna installera moduler utan att behöva göra massa ”workaround” för Joomla behövs safe mode off. Imagevuex kräver det också.

    Safe mode off begränsar kraftigt användandet av Surftown. Jag hoppas att det kommer en lösning inom kort annars måste jag tyvärr lämna Surftown.

    Men jag uppskattar att Surftown öppnar upp för en öppen dialog kring detta, det är ett stort +.

    Hoppas på en snar lösning!

    Peter

  24. Peter
    april 20, 2009 @ 2:37 e m

    Jag jobbar med Joomla och imagevuex. För att kunna installera moduler utan att behöva göra massa ”workaround” för Joomla behövs safe mode off. Imagevuex kräver det också.

    Safe mode off begränsar kraftigt användandet av Surftown. Jag hoppas att det kommer en lösning inom kort annars måste jag tyvärr lämna Surftown.

    Men jag uppskattar att Surftown öppnar upp för en öppen dialog kring detta, det är ett stort +.

    Hoppas på en snar lösning!

    Peter

  25. RuggigHund
    april 24, 2009 @ 9:08 e m

    Det här var jobbigt. Kanske blir till att använda money back garantin. Jag tänkte flytta över min tidigare wordpress.com-blogg till en egen hostad blogg här på surftown men vid importen får jag en massa ”Cannot set time limit in safe mode”-fel.

    Finns det någon ”workaround” för det?

  26. RuggigHund
    april 24, 2009 @ 10:08 e m

    Det här var jobbigt. Kanske blir till att använda money back garantin. Jag tänkte flytta över min tidigare wordpress.com-blogg till en egen hostad blogg här på surftown men vid importen får jag en massa ”Cannot set time limit in safe mode”-fel.

    Finns det någon ”workaround” för det?

  27. RuggigHund
    april 25, 2009 @ 6:08 f m

    Märkte nu att det funkade när man istället installerade
    Wordpress via ”One Click Toolbox”.. så nu funkar det!

  28. RuggigHund
    april 25, 2009 @ 7:08 f m

    Märkte nu att det funkade när man istället installerade
    Wordpress via ”One Click Toolbox”.. så nu funkar det!

  29. Linus
    maj 4, 2009 @ 7:10 e m

    När kommer PHP 6? Och hur lång tid dröjer det från release-datum till att ni har installerat PHP 6 på era servrar?

  30. Linus
    maj 4, 2009 @ 8:10 e m

    När kommer PHP 6? Och hur lång tid dröjer det från release-datum till att ni har installerat PHP 6 på era servrar?

  31. Jonathan Gabor
    maj 5, 2009 @ 11:37 f m

    @Linus – Det har inte satts något release-datum ännu.

    Men då det är mer regel än undantag att det upptäcks tidiga (och ofta kritiska) säkerhetsbuggar strax efter en release, så brukar leverantörer vänta ett litet tag innan de uppgraderar. Men givetvis kommer vi göra vad vi kan för att uppgradera våra webbservrar med PHP6 så tidigt som möjligt.

  32. Jonathan Gabor
    maj 5, 2009 @ 12:37 e m

    @Linus – Det har inte satts något release-datum ännu.

    Men då det är mer regel än undantag att det upptäcks tidiga (och ofta kritiska) säkerhetsbuggar strax efter en release, så brukar leverantörer vänta ett litet tag innan de uppgraderar. Men givetvis kommer vi göra vad vi kan för att uppgradera våra webbservrar med PHP6 så tidigt som möjligt.

  33. Lars Ranft
    maj 14, 2009 @ 11:31 f m

    php 6 är mycket mycket långt borta! Säkert 1,5 år som jag har fått info om så det är en lång tid.

    ”Har applikationen stöd för att uppdatera via FTP, som t.ex. Joomla och WordPress har, så fungerar detta även med safe mode on.” Detta är tyvärr inte sant då det inte funkat då jag prövat med att ställa in ftp layer i Joomla.

    Det går ju att pröva att installera Joomla from toolbox och sedan något tillägg som tex community builder och sedan att installera något tillägg via community builder. Funkar inte alls om man inte lägger ner några timmar på att gå runt det men det är många som inte klarar av det. Samma med andra tillägg som t ex editor JCE försök att installera några plugins via JCE. Fungerar inte etc etc .

    Jommla fungerar inte hos Surftown helt enkelt tyvärr så det är bara att lämna Surftown om man skall köra dessa applikationer. Automatisk uppdatering i Joomla fungerar inte heller så du måste sitta med en gammal Joomla 1.5+ som är en säkerhetsrisk. För att köra en massa uppdateringar som måste du chmodda massa filer foldrar 666 777 fixa med .htaccess och phpin et etc

    jag blir bara trött på detta och som sagt för amatörer så är det bra men tyvärr inte om du vill göra något mer.

  34. Lars Ranft
    maj 14, 2009 @ 12:31 e m

    php 6 är mycket mycket långt borta! Säkert 1,5 år som jag har fått info om så det är en lång tid.

    ”Har applikationen stöd för att uppdatera via FTP, som t.ex. Joomla och WordPress har, så fungerar detta även med safe mode on.” Detta är tyvärr inte sant då det inte funkat då jag prövat med att ställa in ftp layer i Joomla.

    Det går ju att pröva att installera Joomla from toolbox och sedan något tillägg som tex community builder och sedan att installera något tillägg via community builder. Funkar inte alls om man inte lägger ner några timmar på att gå runt det men det är många som inte klarar av det. Samma med andra tillägg som t ex editor JCE försök att installera några plugins via JCE. Fungerar inte etc etc .

    Jommla fungerar inte hos Surftown helt enkelt tyvärr så det är bara att lämna Surftown om man skall köra dessa applikationer. Automatisk uppdatering i Joomla fungerar inte heller så du måste sitta med en gammal Joomla 1.5+ som är en säkerhetsrisk. För att köra en massa uppdateringar som måste du chmodda massa filer foldrar 666 777 fixa med .htaccess och phpin et etc

    jag blir bara trött på detta och som sagt för amatörer så är det bra men tyvärr inte om du vill göra något mer.

  35. Jonathan Gabor
    maj 14, 2009 @ 12:12 e m

    @Lars Ranft – Det stämmer att PHP6 kan vara mycket långt borta, kanske hela 2 år borta om vi har otur. Men vi siktar på att få löst de safemode-problem vi har idag betydligt mycket tidigare än så!

    Men angående Joomla’s FTP-stöd, så har jag personligen testat det framgångsrikt. Givetvis kan det uppstå problem med tredjeparts tillägg, vilket är svårt för oss att testa och fixa då det finns rätt många tillägg till Joomla. Men har ni problem med att installera ett tillägg på grund av filrättigheter kan ni testa att nollställa filrättigheterna via My Surftown -> Nollställ filrättigheter. Det kan ibland behöva göras innan varje uppdatering/installation av ett tillägg, inklusive när man ska uppdatera Joomla.

    Vi är väl medvetna om att det innebär en del extra arbete om man ska köra mer avancerade instanser av Joomla hos oss, men det är något vi arbetar på att få löst. Vi är igång med ett omfattande projekt där vi siktar på att få många av dessa problem lösta. Någon tidsestimering har jag däremot tyvärr inte idag.

  36. Jonathan Gabor
    maj 14, 2009 @ 1:12 e m

    @Lars Ranft – Det stämmer att PHP6 kan vara mycket långt borta, kanske hela 2 år borta om vi har otur. Men vi siktar på att få löst de safemode-problem vi har idag betydligt mycket tidigare än så!

    Men angående Joomla’s FTP-stöd, så har jag personligen testat det framgångsrikt. Givetvis kan det uppstå problem med tredjeparts tillägg, vilket är svårt för oss att testa och fixa då det finns rätt många tillägg till Joomla. Men har ni problem med att installera ett tillägg på grund av filrättigheter kan ni testa att nollställa filrättigheterna via My Surftown -> Nollställ filrättigheter. Det kan ibland behöva göras innan varje uppdatering/installation av ett tillägg, inklusive när man ska uppdatera Joomla.

    Vi är väl medvetna om att det innebär en del extra arbete om man ska köra mer avancerade instanser av Joomla hos oss, men det är något vi arbetar på att få löst. Vi är igång med ett omfattande projekt där vi siktar på att få många av dessa problem lösta. Någon tidsestimering har jag däremot tyvärr inte idag.

  37. Erik
    maj 22, 2009 @ 3:06 e m

    Jag skulle också vilja se en snabb lösning på detta, då det ställer till en del problem med automatisk uppdatering av plugins i wordpress.

  38. Erik
    maj 22, 2009 @ 4:06 e m

    Jag skulle också vilja se en snabb lösning på detta, då det ställer till en del problem med automatisk uppdatering av plugins i wordpress.

  39. Mathias
    maj 26, 2009 @ 4:49 e m

    Jag vet inte om detta är den optimala alternativet/lösningen men detta är nått jag hittade på nätet och skulle ju kunna funka: virtuella hoster för varje domän. Medans på global nivå är safe mode = on men på virtuell nivå:

    <VirtualHost>
    php_admin_flag safe_mode Off
    </VirtualHost>

    källa: https://www.webhostgear.com/166.html

    Vad gäller omstrart av apache så kunde man kanske bara låta starta om tjänsten 1 gång om dagen med cron? Konto-innehavaren anger i kontollpanelen att safe mode ska vara off och ett autoscript ändrar denna flagga i virtuella confen i httpd.conf för just det domänet/kontot. Konto-innehavaren får då vänta tills tjänsten/apache är omstartad vilket kan visas med nedräkning i kontrollpanelen.

    Eller så kan man kanske låta skapa en ny apache-tjänst parallellt i och med ändring och omstart som tar över tills ordinarie tjänst är omstartad och klar. Jag har för mig att det ska gå att köra flera apache-tjänster på nått speciellt sätt, men är inte säker på detta…

  40. Mathias
    maj 26, 2009 @ 5:49 e m

    Jag vet inte om detta är den optimala alternativet/lösningen men detta är nått jag hittade på nätet och skulle ju kunna funka: virtuella hoster för varje domän. Medans på global nivå är safe mode = on men på virtuell nivå:

    <VirtualHost>
    php_admin_flag safe_mode Off
    </VirtualHost>

    källa: https://www.webhostgear.com/166.html

    Vad gäller omstrart av apache så kunde man kanske bara låta starta om tjänsten 1 gång om dagen med cron? Konto-innehavaren anger i kontollpanelen att safe mode ska vara off och ett autoscript ändrar denna flagga i virtuella confen i httpd.conf för just det domänet/kontot. Konto-innehavaren får då vänta tills tjänsten/apache är omstartad vilket kan visas med nedräkning i kontrollpanelen.

    Eller så kan man kanske låta skapa en ny apache-tjänst parallellt i och med ändring och omstart som tar över tills ordinarie tjänst är omstartad och klar. Jag har för mig att det ska gå att köra flera apache-tjänster på nått speciellt sätt, men är inte säker på detta…

  41. Jonathan Gabor
    maj 27, 2009 @ 8:16 f m

    @Mathias – Det där löser ju fortfarande inte det riktiga problemet – det vill säga säkerheten på webbservern. Våra webbhotell är ju i form av delad hosting, vilket betyder flera kunder som delar på samma server. Så alla domäner ligger redan som virtuella hoster. Men som vi har försökt förklara, så krävs det i dagsläget att vi kör med safemode påslaget på grund av just säkerheten.

    Skulle vi ur säkerhetssynpunkt kunnat acceptera att kunder själva kunde stänga av safemode så hade vi givetvis stängt av det helt och hållet för alla våra kunder. Det är ju inte så att vi inte vet hur man stänger av safemode, vi kan bara inte göra det i dagsläget… Men vi arbetar som sagt på en lösning, som tyvärr tar lite längre tid än vad vi egentligen önskar.

  42. Jonathan Gabor
    maj 27, 2009 @ 9:16 f m

    @Mathias – Det där löser ju fortfarande inte det riktiga problemet – det vill säga säkerheten på webbservern. Våra webbhotell är ju i form av delad hosting, vilket betyder flera kunder som delar på samma server. Så alla domäner ligger redan som virtuella hoster. Men som vi har försökt förklara, så krävs det i dagsläget att vi kör med safemode påslaget på grund av just säkerheten.

    Skulle vi ur säkerhetssynpunkt kunnat acceptera att kunder själva kunde stänga av safemode så hade vi givetvis stängt av det helt och hållet för alla våra kunder. Det är ju inte så att vi inte vet hur man stänger av safemode, vi kan bara inte göra det i dagsläget… Men vi arbetar som sagt på en lösning, som tyvärr tar lite längre tid än vad vi egentligen önskar.

  43. Mathias
    maj 27, 2009 @ 1:12 e m

    @Jonathan Gabor – Jag har läst på litegrann och jag förstår lite bättre nu vad gäller den safe mode som finns idag och situationen för webhotell som kör delade servrar…

    Men frågan är hur blir det då med php6, safe mode ska bort? Jag har tyvärr inte hittat info som är ett alternativ till safe mode förutom open_basedir som jag har läst att inte den heller ökar skyddet för det.

    Intressanta artiklar:
    https://www.php.net/~derick/meeting-notes.html#safe-mode
    https://www.acunetix.com/websitesecurity/php-security-5.htm
    https://www.developer.com/lang/print.php/922871

    I detta avseendet skulle man ju vilja ha det så safe mode är kvar och aktivt om det nu är så att det är möjligt att skapa ”elaka skript” som kommer åt andras konton och deras filer. Jag tycker att safe mode kunde ha haft ett conf-alternativ som ger t.ex. där Användare1 kan bara köra script på sitt eget konto och möjligheten att aldrig kunna se eller köra script hos Användare2.

    Vi vill använda Joomla till föreningen jag är web/data-ansvarig för och vi kan idagsläget inte tänka oss att hosta egen server… Så här sitter man lite i kläm med en deadline…

  44. Mathias
    maj 27, 2009 @ 2:12 e m

    @Jonathan Gabor – Jag har läst på litegrann och jag förstår lite bättre nu vad gäller den safe mode som finns idag och situationen för webhotell som kör delade servrar…

    Men frågan är hur blir det då med php6, safe mode ska bort? Jag har tyvärr inte hittat info som är ett alternativ till safe mode förutom open_basedir som jag har läst att inte den heller ökar skyddet för det.

    Intressanta artiklar:
    https://www.php.net/~derick/meeting-notes.html#safe-mode
    https://www.acunetix.com/websitesecurity/php-security-5.htm
    https://www.developer.com/lang/print.php/922871

    I detta avseendet skulle man ju vilja ha det så safe mode är kvar och aktivt om det nu är så att det är möjligt att skapa ”elaka skript” som kommer åt andras konton och deras filer. Jag tycker att safe mode kunde ha haft ett conf-alternativ som ger t.ex. där Användare1 kan bara köra script på sitt eget konto och möjligheten att aldrig kunna se eller köra script hos Användare2.

    Vi vill använda Joomla till föreningen jag är web/data-ansvarig för och vi kan idagsläget inte tänka oss att hosta egen server… Så här sitter man lite i kläm med en deadline…

  45. Jonathan Gabor
    maj 27, 2009 @ 1:44 e m

    @Mathias – Vi är väl medvetna om att safemode försvinner i PHP6, vilket jag även nämnt i tidigare kommentarer. Det är en av många anledningar till att vi arbetar på en alternativ lösning till safemode.

    Till exempel kan man köra Apache (webbservern) i FastCGI-läge, vilket gör att scripten inte körs som Apaches användare, utan som användarens egna användare. Man har där alltså eliminerat det problem som safemode försökte artificiellt lösa, och alla de problem som uppstår idag för Joomla och WordPress försvinner.

    Men tyvärr är det inte något man bara aktiverar på webbservern och så fungerar det. I princip innebär det att vi måste installera om alla våra webbservrar, vilka är en hel del i antal. Dessutom innebär det risk för till exempel nedtid och andra allvarliga driftstörningar, då man ger sig på en större operation.

    Så tyvärr är det inget vi kan ta oss an just nu, på grund av en rad hinder. Och det är just dessa hinder vi arbetar på att överkomma. Under tiden tittar på vi på alternativ såsom VPS, och hoppas på att kunna lansera inom en överkomlig framtid.

  46. Jonathan Gabor
    maj 27, 2009 @ 2:44 e m

    @Mathias – Vi är väl medvetna om att safemode försvinner i PHP6, vilket jag även nämnt i tidigare kommentarer. Det är en av många anledningar till att vi arbetar på en alternativ lösning till safemode.

    Till exempel kan man köra Apache (webbservern) i FastCGI-läge, vilket gör att scripten inte körs som Apaches användare, utan som användarens egna användare. Man har där alltså eliminerat det problem som safemode försökte artificiellt lösa, och alla de problem som uppstår idag för Joomla och WordPress försvinner.

    Men tyvärr är det inte något man bara aktiverar på webbservern och så fungerar det. I princip innebär det att vi måste installera om alla våra webbservrar, vilka är en hel del i antal. Dessutom innebär det risk för till exempel nedtid och andra allvarliga driftstörningar, då man ger sig på en större operation.

    Så tyvärr är det inget vi kan ta oss an just nu, på grund av en rad hinder. Och det är just dessa hinder vi arbetar på att överkomma. Under tiden tittar på vi på alternativ såsom VPS, och hoppas på att kunna lansera inom en överkomlig framtid.

  47. Patrick
    juni 3, 2009 @ 3:29 e m

    Har just köpt en licens av imagevuex och förstår av denna tråd att det var pengar i sjön.

    Känns inget vidare.

    Har lagt ner mycket tid (och år) med flera hemsidor och detta känns ju som ett riktigt lågvattenmärke.

    Eller?

    Patrick

  48. Patrick
    juni 3, 2009 @ 4:29 e m

    Har just köpt en licens av imagevuex och förstår av denna tråd att det var pengar i sjön.

    Känns inget vidare.

    Har lagt ner mycket tid (och år) med flera hemsidor och detta känns ju som ett riktigt lågvattenmärke.

    Eller?

    Patrick

  49. Jonathan Gabor
    juni 3, 2009 @ 3:43 e m

    @Patrick – Lågvattenmärke skulle jag verkligen inte vilja kalla oss. Vi är bäst eller bland de bästa webbhotellen i Sverige, enligt både Råd & Rön och Internetworld! 🙂

    Kräver du dock ett webbhotell med safemode off, så är vi ännu inte rätt webbhotell för dig, men vi arbetar på det!

  50. Jonathan Gabor
    juni 3, 2009 @ 4:43 e m

    @Patrick – Lågvattenmärke skulle jag verkligen inte vilja kalla oss. Vi är bäst eller bland de bästa webbhotellen i Sverige, enligt både Råd & Rön och Internetworld! 🙂

    Kräver du dock ett webbhotell med safemode off, så är vi ännu inte rätt webbhotell för dig, men vi arbetar på det!

1 2 3 4