sziasztok!
ismét ügyféllel kapcsolatos kérdés miatt fordulok hozzátok.
a kérdés a következő: ha egy ügyfeletek (egyébként teljesen ismeretlen webes levélküldő) 3rd party szoftvert szeretne telepíteni az általatok felügyelt szerverre, milyen szempontokat vesztek figyelembe a döntés során?
úgy, mint:
* biztonság?
* stabilitás?
* ügyfél elégedettsége?
* php jogosultságai?
* kell-e módosítani az alapkonfigon, ami az összes többi ügyfél számára tökéletes?
még valami?
hogy döntitek el adott szoftverről, hogy azt végül hajlandóak vagytok-e telepíteni vagy sem?
egyelőre nem szeretnék konkrétumokba bocsátkozni, ha a későbbiekben érdekessé válik, melyik szoftverről van szó jelen esetben, akkor update-elek.
segítségeteket előre is köszönöm!
- 1551 megtekintés
Hozzászólások
Feltéve, hogy az ügyfél ismeretlen, van egy világos policy, ami kimondja, hogy az ügyfél csak olyan kódot futtathat, amivel nem léphet ki a saját sandboxjából. Azaz nem futtathat binárist a szerveren, nem nyithatja meg, csakis a saját filejait és nem férhet hozzá nem publikus szolgáltatásokhoz.
Apró módisítás a konfigokon (pl. memória limit emelése), libek telepitése, "még egy adatbázis please" okés.
Ami bármi potenciálisan veszélyesre ad lehetőséget(olyan változtatást hajthat végre az állapotterén, ami többlet privilégiumot ad neki, akár csak egy cat /etc/passwd), az _nem_ okés. Legfőképpen az ismeretlen binárisok futtatása tartozik ide. Itt nem a rosszindulat, bizalmatlanság számít, hanem amit megtehet, az megtörténhet, ergo meg is fog történni. Nem az ő rosszindulatából, hanem figyelmetlenségből vagy gondatlanságból (feltörik az accountját, onnan meg a többit).
--
The Net is indeed vast and infinite...
http://gablog.eu
- A hozzászóláshoz be kell jelentkezni
mégis úgy érzem jobb, ha már az elején pontosítok: egy php-ben íródott hírlevélküldő szoftverről van szó.
- A hozzászóláshoz be kell jelentkezni
Akkor azon mit kell telepíteni?
Ezt az ügyfél is felmásolhatná a saját tárhelyére, és include. Ha php.ini-t kell módosítani hozzá, akkor továbbra is él: programfuttatás (popen, sytem stb.) és más állatságok tiltva, ha csak egy kicsivel több memória kell neki, miért ne.
UPDATE: újraolvastam a postod, ez egy webhosting szerver?
--
The Net is indeed vast and infinite...
http://gablog.eu
- A hozzászóláshoz be kell jelentkezni
igen, ez egy webszerver, bocs hogy ezt kihagytam.
az alap hozzáállás szerint nincs a hétköznapi értelemben vett "tárhelyszolgáltatás", ergo az üf nem tud felmásolni, telepítgetni webes motyókat, nincs ispconfig, hogy a domainjeit buherálja, alapvetően erősen korlátozottak az üf lehetőségei.
az érintett szoftver hírlevélküldésre való, és mint ilyen, különösen aggaszt.
- A hozzászóláshoz be kell jelentkezni
Ha ennyire kívül esik a szerver felhasználásán, amin ha tényleg nincs külsős cucc, akkor érdemes közölni a juzerrel, hogy sajnos külsős futtatása nemmegy. Más esetben, meg aláiratni vele, hogy a hírlevélküldő tevékenysége által okozott esetleg károkért és elmaradt haszonért vállalja a felelősséget.
- A hozzászóláshoz be kell jelentkezni
Én máshogy állnék az ilyesmihez. Levélküldésre nem az ő szoftvere alkalmas, hanem a te rendszered. Ha ő előfizet webhostingra, és a te webhostingod képes további módosítások nélkül ezt (vagy bármi mást) futtatni, akkor joga van használni. Az a te felelősséged, hogy úgy konfiguráld be a szervert, hogy privilégium eszkalációra ne adjon lehetőséget. Az pedig az ügyfél felelőssége - és ezt írásban kell adnia - hogy amit rajta futtat, azért ő felel.
Ha tudod, hogy ezt lehet használni spamelésre, esetleg figyelmeztesd, hogy ugye nem arra akarja használni. Ha rajta kapod, vagy panasz érkezik, akkor pedig azonnal mondd fel a szerződését kompletice. Ameddig nem bizonyosodik be a bűnössége, addig használnia szabadna.
De ez csak egy vélemény. Meg nem tudom, hogy milyen megállapodással van nálad az oldala.
--
The Net is indeed vast and infinite...
http://gablog.eu
- A hozzászóláshoz be kell jelentkezni
Amennyiben levelezőszerver is, futtassa csak a sajátját.
Ezekből több baj van, mint haszon, ha valaki feljelent a spamcop&társainál (ezzel nem az a kérdés, hogy megtörténik e, hanem az, hogy mikor történik meg).
- A hozzászóláshoz be kell jelentkezni
mármint béreljen tárhelyet ennek máshol?
igen, egyelőre ez levelezőszerver is. még éppen nincs rajta akkora forgalom, hogy dedikált legyen, de ahhoz már éppen elég nagy, hogy ha bl-re kerülünk, kezdhetek aggódni az állásomért :o
- A hozzászóláshoz be kell jelentkezni
Igen, menjen máshova vele. Még ha el is veszíted.
Akkor érdemes csak tartani, ha kizárólag a felhasználó tudtával iratkoztat fel rá embereket (hogy ezt hogy ellenőrzöd nem tudom), és nem akarja nyomni őket ezrével naponta.
Idegennek ilyet semmiképpen nem csinálnék.
- A hozzászóláshoz be kell jelentkezni
Óvatosan kell bánni az ismeretlen szoftverekkel, szerintem is.
Ha van rá mód, én rákérdeznék, h milyen problémát akar megoldani az adott szoftverrel, és lehetőség szerint ajánlanék egy olyan megoldást, ami ellátja az adott feladatot és ismerem / megbízom benne. Lehet anyagilag is jobban jössz ki ebből a verzióból, ha azt mondod h neked kell ezt telepíteni/beállítani (bár ha jól értem, egyébként is neked kellene, nincs webftp v ilyesmi).
- A hozzászóláshoz be kell jelentkezni
Karbantartásos szerződés mellett szól még az is, hogy folyamatosan kell frissíteni az ilyen szoftvert, mert a feketék sokan vannak s gyorsan dolgoznak.
Ha adok neki tárhelyet 10 euróért havonta, fizessen még 2 eurót azért, hogy a külső szoftverét frissen tartom.
Az úgy nem működik, hogy majd ő ezt megoldja magától. Ilyen nincs (tapasztalat). Ezt szerintem az üzemeltető kell megoldja.
- A hozzászóláshoz be kell jelentkezni
Hírlevelet akar küldeni, saját szoftverrel. Ez jó. Mármint neki... Gondolom, az írásos megállapodásban van olyan klauza, hogy jogsértő tevékenységet nem végezhet -- fel kell hívni a figyelmét arra, hogy a hírlevél küldéséhez valamennyi címzettnek egyértelmű hozzájárulását kell bírnia (valamint, mivel személyes adatokat is kezel, így az adatvédelmi biztos hivatalánál be kell jelentkeznie), és a hírlevélben a leíratkozásra vonatkozó információt kell elhelyeznie. Ha bármelyik feltétel hiányzik bármikor is, vagy emiatt valaki panaszt tesz, akkor a részére nyújtott teljes szolgáltatás felfüggesztésre kerül, megalapozott panasz esetén pedig szerződést bontotok.
Ami a szoftverét illeti... Ha weboldalas fel/leíratkozás és hírlevélküldés van, akkor azt kell megnézni, hogy a folyamat milyen: Van-e pl. megerősítést kérő e-mail a webes felíratkozást követően?
Ha explicit módon nincs kikötve egyébként, hogy saját szoftvert futtathat, akkor simán el lehet hajtani -- én mindenképp azt mondanám, hogy egyeztetve az üf.-lel lehet, hogy kiderül, hogy egy általad is ismert listakezelő alkalmazással is meg lehet oldani a dolgot -- ekkor bár te újabb feladatot (levlista szolgáltatás) veszel a nyakadba, a biztosnágával kapcsolatban nem az üf. hanem a te tudásod, odafigyelésed, szakértelmed fog számítani.
- A hozzászóláshoz be kell jelentkezni