Re: [apache-talk] SSI & security

[Ilya Basalaev <scarab@xxxxxxxxxxxxx>]

On Thu, 11 Oct 2001, Alexander Sobcanyuk wrote:

> > > --------------------------------------------
> > > ...... Поймите, на боевом сайте и SSI не будет - все это
> > > проламывается просто на счет раз.
> > > --------------------------------------------
> > >
> > > ктонибудь может прокомментировать?
> > >
> > Нужен контекст. Если речь идет о сайте военно-промышленного
>
> контекст такой
> это обычный корпоративный сайт для московского провайдера
> никакой фин и подобной инфы там нет и не будет
> обычная визитка компании
>
> никакого публичного хостинга ессно не будет
> обсуживаться будет специалистами заказчика
> ССИ - это просто инклюды текста - без EXECов ессно

По-моему, это уже у человека паранойя разыгралась.
SSI - оно по определению server-side - неважно, текстовые там инклюды, либо
какие-то еще. Соответственно, посетитель сайта, будь он хоть трижды хакер,
никогда не узнает - была там SSI, или не была, и никак не сможет ее
использовать в каких-то нехороших целях. Даже теоретически.
Естественно, остается еще вариант взлома самого сервера - но тогда уже не
о SSI думать придется :-)
Вообще - безопасность вещь комплексная, и тут правильно сказали - надо
прежде всего следить за углом искривления рук разработчиков/админов,
а не за ssi.


wbr.,
[Scarab] Ilya Basalaev (IAB22-RIPE)  --  System administrator, Web-developer.
Novosibirsk State Regional Scientific Library. (http://rstlib.nsc.ru).

=============================================================================
=               Apache-Talk@xxxxxxxxxxxxx mailing list                      =
Mail "unsubscribe apache-talk" to majordomo@xxxxxxxxxxxxx if you want to quit.
=       Archive avaliable at http://www.lexa.ru/apache-talk                 =