Pretty Hard to Protect

Dass PHP-"Applikationen" sicherheitstechnisch noch mehr Aufmerksamkeit genießen als Buffer-, Heap-Overflows etc. in C ist ja seit mehreren Jahren nichts Neues mehr.
Zum einen liegt das Sicherlich an der Natur der Sache, da PHP einen schnellen Einstieg in die Programmierung bietet. Leider bietet die Sprache gerade Anfängern aber auch recht wenig Schutz davor, sich selbst ins Bein zu schießen, weil sie nichts über grundlegende Dinge wie "sicherere" Programmierung wissen. Nicht zuletzt aus diesem Grund wurden (zurecht) viele Probleme dem jeweiligen Programmierer selbst in die Schuhe geschoben.

Spätestens nach Stefan Essers Rücktritt aus dem PHP Security Respone Team, und den damit verbunden recht offenen Worten sollte jedoch klar sein, dass auch gerade die PHP-Götter immer noch nichts aus ihren Fehlern gelernt haben.

Die nächste Überraschung dann war für mich der Angriff auf das Rootforum, dessen Admin ich als äußerst sorgfältig und mit dem nötigen Background versehen kenne. Selbst das hat herzlich wenig gegen die bis dahin unbekannte Sicherheitslücke in der (sonst auch recht hoch gelobten) phpMyFAQ genutzt.

Auch wenn der Einstieg dieses Posts vielleicht bewusst effekthascherisch gehalten ist, kann ich dem hierzu passenden SecurityFocus-Artikel nur beipflichten:

Perhaps PHP should stand for Pretty Hard to Protect

Mein Ziel, langsam aber sicher von sämtlichen PHP-Apps wegzukommen steht jedenfalls fest. Sobald in ferner Zukunft wieder etwas mehr Zeit ist, ziehe ich dieses Blog weiter vom (trotz allem grandiosen) Serendipity um auf das Ruby on Rails-basierte Typo. Was mit den Bookmarks und dem Feedreader wird weiß ich zwar noch nicht genau, bin aber sicher, dass auch hierfür eine Lösung nicht so weit sein kann. Vorschläge werden jedenfalls gern entgegen genommen.