Beitrag von sascha fitzner (1 Beitrag) am Montag, 21.Januar.2002, 21:07.
Re: Wg. Sicherheitslücke(n)
hallo christoph!
wir hatten diesbezüglich ja auch vor einiger zeit schon mal kontakt. auch ich habe das anders interpretiert wie du es dir gedacht hattest. ich wurde darauf durch einen anderen baseportaluser aufmerksam der micht freundlicherweise darauf aufmerksam gemacht hat. dafür nochmal ein grosses dankeschön an ihn. ich habe daraufhin auch konsequenzen gezogen und so gut wie möglich geblockt. weiterhin habe auch ich befreundete baseportaluser darauf hingewiesen wo es eventuell nachzubessern gilt. meine meinung zu der sache ist das templates nur auf eigene datenbanken zurückgreifen dürfen. bedeutet: wenn ich denn user mauritius bei baseportal habe muss das / (root) im userhome (mauritius) liegen. es darf meiner meinung nach nicht möglich sein aus seinem eigenem HOME rauszukommen und mit ../../ oder was auch immer in irgendwelchen anderen roots rumturnen um sich von dort in andere HOME's runterzuhangeln. meine definifion hierzu ist auch, dass jeder darf .... bedeutet das jeder mit "meinem" template darf was ich in der datenbank erlaube und nicht mit "seinem" template. ich kann schliesslich immer noch steuern welche felder angezeigt werden und welche nicht.
ich denke das sollte erstmal die basis sein. sollte es user bei baseportal geben die accountübergreifend arbeiten müssen dann - sorry - aber erstmal gelitten.
es kann dann nicht kurzfristig darum gehen eine lösung für alle zu finden, das muss ein langfristiger plan sein. kurzfristig musst du erstmal die sicherheitsansprüche der meisten user befriedigen.
ich denke vielleicht ist es ja auch möglich so eine art freigabe zu machen, like "auf meine daten dürfen auch die accounts x, y und z zugreifen! ich denke aber das das accountübergreifende nicht die regel ist. ich denke die regel ist das "vermutlich fast jeder" auch mit stovnormalen templates irgendwo was macht um eben den aufwand für quickies zu minimieren und das innerhalb seines account. gerade die neueinsteiger werden erstmal mit normalen datenbanken anfangen und sich die benötigten templates erstmal generieren lassen ohne sich von anfang an mit perl rumzuschlagen. und das bedeutet für mich das newbies erstmal unsichere datenbanken haben müssen bis sie soweit sind das sie sich mit perl auskennen und die türen schliessen können.
meine bitte deshalb: erstmal sperren das ein account an daten eines anderen account ran kann. somit ist erstmal sicherheit gewährleistet. dann wird man schon sehen wie hoch die notwendigkeit ist sich über eine freigabe für einen anderen account gedanken zu machen.
das solche sachen wie der unloader dann nicht mehr funktionieren ist mir persönlich ganz egal. dann soll der halt in die bib gestellt werden und jeder der ihn braucht soll ihn sich von dort ziehen.
gruss sascha fitzner