Beiträge von phil

phil

Zitat von A.Topal

Phil, hast du die E-Mail von denen schon bekommen? Das lässt doch echt hoffen.

Ja, sie versprechen tolle Sachen, aber ich bin einfach nicht überzeugt, daß die Lage sich grundlegend verändert. Ich administriere jetzt seit mehr als 4 Jahren einen ganzen Haufen Server und eine der Hauptlehren dieser Zeit ist:
Man sollte nicht Server-Software auswählen, für die es fleißig Security-Updates gibt, sondern solche Software, die keine Security-Updates braucht.

Was solche Sachen wie Webforen angeht, ist das wohl ein unerfüllbarer Wunsch und DJB wird sich kaum dazu herablassen, sowas zu programmieren. Aber man kann trotzdem Software auf den Müll befördern, wenn sie sich zahllose Male als unsicher herausgestellt hat. Ist ja fast wie BIND früher

Zitat

Übrigens läuft eines der größten Foren (wenn nicht gar das größte) auf phpBB. Die haben 2,5 Mio. User, 310 Mio. Beiträge und 25.000 User gleichzeitig online. Wenn sich also jemand wirklich mit Forensoftware beschäftigt hat, dann doch die.

Daß phpBB vom Funktionsumfang, von der Skalierbarkeit und der Performance gut mithalten kann, steht für mich außer Frage. Der Anstoß für diese ganze Debatte war nur der Security-Aspekt.

Phil

phil

Zitat von röne

Wie siehts denn eigentlich mit phpBB3 aus?

Naja, da das von den selben Leuten kommt wie phpBB 2.x, traue ich phpBB3 auch nicht wirklich. Es sei denn, es gäbe eine vernünftige Erklärung, wie sie in der neuen Version ausschließen wollen, daß es zu den andauernden Sicherheitsproblemen kommt. Ich lasse mich da je gerne eines besseren belehren, aber nur weil da eine 3 vor dem Punkt steht, löst das nicht automatisch die Probleme.

phil

Zitat von xeen

Mal davon abgesehen sollte aber klar sein, dass wenn die Lücken behoben sind diese eben weg sind. Schließlich hatte Firefox in letzter Zeit auch nicht wenig zu patchen, deswegen ist er jetzt aber trotzdem nicht unsicher, oder?

Einspruch. Bei phpBB ist es eben genau nicht so, daß da eine Lücke gefunden wird, die dann gepatcht wird und dann ist gut - im Gegenteil. Die patchen jetzt seit Monaten (Jahren?) an ein und derselben Stelle im Code um (dieser Highlighting-Kram) und kriegen es einfach nicht gebacken, das sicher zu machen.

Es gibt auch noch einen weiteren Unterschied zwischen Bugs in Firefox und Bugs in phpBB: Firefox läuft auf dem Client, phpBB auf dem Server. Die ganzen Bugs in Firefox beruhen ja darauf, daß eine böse Seite dem Client kaputte Inhalte unterschiebt, und der dann die Grätsche macht. Das ganze geht praktisch immer nur mit Mithilfe des Users. Der User muß einen Link anklicken, oder irgendwas runterladen oder so. Und wenn der Exploit nicht funktioniert hat, dann hat die böse Seite verloren, denn kein User klickt 1000mal auf den Link.
Ganz anders bei phpBB, das hier auf dem Server läuft. Ein Angreifer aht alle Zeit der Welt und kann 1000mal hintereinander versuchen, die Software zu überlisten.

Noch was zur Häufigkeit, in der Fehler gefunden und gepatcht werden: Es gibt eigentlich genau 3 Fälle:

1. Es gibt sehr viele Fehler in der Software und viele davon werden kontinuirlich entdeckt.

2. Es gibt verhältnismäßig wenige Fehler, aber einen sehr großen Anreiz, diese zu finden.

3. Eine Kombination aus 1. und 2.

Gefühlsmäßig würde ich den Firefox bei 2. einsortieren und phpBB (genau wie IE) bei 1.

Ich habe generell eine gesunde Portion Mißtrauen gegenüber sämtlicher PHP-Software, weil die einfach oft schlampig programmiert ist und das ist in Kombination mit einer so mächtigen Sprache wie PHP einfach mal tödlich. Ich glaube sogar, daß phpBB im Vergleich mit anderer PHP-Software sogar überdurchschnittlich gut abschneidet, aber das reicht mir nicht. Ich hatte es ja schon mal in der "kurzen Geschichte des Firefox-Servers" angedeutet: Dieser Server steht unter Beschuß. Es gibt viele zielgerichtete Angriffe und ich würde höchst ungern auf heise die Schlahzeile lesen: "Deutscher Firefox-Server gehackt". Der Server ist schon so paranoid wie möglich konfiguriert aber das hilft nur begrenzt, solange man so ein Scheunentor wie phpBB laufen hat.

phil

Hallo zusammen,

wie ich gerade auf heise gelesen habe, gibt es wieder mal ein Sicherheitsloch in phpBB. Ich muß ehrlich sagen, daß ich phpBB kein Stück mehr über den Weg traue, da kam einfach zuviel in der letzten Zeit. phpBB ist das Sicherheitsproblem auf diesem Server und jede andere Software mit so einem schlechten security track record wäre schon längst runter geflogen, aber ein so großes Forum wie dieses hier stellt man nicht mal so eben um.

Ich möchte mich aber so langsam mal nach Alternativen umsehen und wollte daher eure Meinung einholen. Als Alternative zu phpBB wird z.B. oft Simple Machines genannt. Kennt das jemand? Ist es aus Benutzersicht brauchbar? Wer kennt andere Alternativen zu phpBB und kann vielleicht etwas empfehlen?

Wichtig sind folgende Dinge:

Es müssen praktisch alle phpBB-Features vorhanden sein, weil sonst das Geschrei hier groß sein wird.

Es sollte OpenSource sein.

Es muß einen funktionierenden Konverter für bestehende phpBB-Foren geben.

Das erwähnte Simple Machines scheint das alles zu erfüllen, mich würde halt interessieren, ob jemand das bereits benutzt und was zur Bedienung sagen kann.

Viele Grüße,
Phil

phil

Danke euch, ich habe grade abgegeben. Mit der Note muß ich jetzt mal abwarten, ich hoffe natürlich auf was sehr gutes. Ich glaube, ich fahr jetzt mal zum See. Das habe ich diesen Sommer noch kein einziges Mal gemacht.
Viele Grüße,
Phil

phil

Zitat von Bazon Bloch

Das ist ja echt wunderbar praktisch, damit können diejenigen, die es stört, es selber ändern und Abdulkadir Topal kann sich den momentan wichtigeren Dingen widmen. (Was macht eigentlich Phil? :wink:)

Phil schreibt grade seine Diplomarbeit, die in 4 Tagen fertig sein muß. Am 18.07. dürft ihr mir virtuell zuprosten und dann sehe ich mir ein paar der Anregungen hier mal an.

phil

Hallo zusammen,

um die die andauerenden Probleme mit den Cookies und den unterschiedlichen Domainnamen zu lösen, wurde die Server-Konfig nochmals geändert.

Der "richtige" Name des Servers ist http://www.firefox-browser.de und nichts anderes. Der Server ist ebenfalls unter firefox.uni-duisburg.de und firefox-browser.de (ohne "www") zu erreichen, allerdings werden diese URLs direkt umgebogen auf den richtigen Namen.

Das Forum ist ebenfalls fest auf http://www.firefox-browser.de konfiguriert und nur von dieser Domain sollten neue Cookies rausgegeben werden.

Ich hoffe, daß die Probleme nun endlich gelöst sind. Evtl. müßt ihr noch eure Bookmarks aktualisieren und einmal Cache und Cookies löschen.

Phil

phil

Ich stimme dir zu und habe Atopal schon vorgeschlagen, daß wir ab jetzt konsequent nur noch firefox-browser.de benutzen und auch das Forum entsprechend anpassen. Ich möchte aber nochmal betonen, daß die Konfiguration in dieser Sache exakt dieselbe wie vor der Server-Umstellung ist. Klar sollten wir das grade ziehen aber wenn es vorher monatelang so ging, dann geht es jetzt sicher auch noch ein paar Tage so.
Phil

phil

Debian GNU/Linux 3.1

phil

OK, Konfiguration angepaßt. Adressen tauchen jetzt nicht mehr auf.

phil

Mir war klar, daß Bülent die Domain besorgt und damit auch erstmal bezahlt hat. Ich frage mich nur, was passiert wenn die Domain ausläuft und er vergißt oder nicht mehr bereit ist den Betrag zu bezahlen.

phil

hoschen:

Ich sehe den Nachteil nicht wirklich. Ist das schlimm, daß das geht? Außerdem war exakt dies die Konfiguration, mit der das Forum vorher auch lief, und das hat ja offenbar jahreland niemanden gestört.
Mich stört es auch ein wenig, daß wir hier so eine Konfusion mit den verschiedenen Domain-Namen haben (phoenix, firebird, firefox, mal mit stw und mal ohne, ...) aber damit müssen wir wohl vorerst leben, weil einfach verschiedene Adressen im Umlauf sind. Ich fände es sinnvoll, wenn wir in Zukunft strikt nur noch firefox-browser.de benutzen würden, da diese Adresse wohl den längsten Bestand haben wird. BTW: Wer bezahlt da eigentlich die Registrierungsgebühr? Nicht, daß wir eines Morgens ohne Domain dastehen und sich irgendein Spammer firefox-browser.de breit gemacht hat.
Phil

phil

Hm, kann ich nicht nachvollziehen. Die angemeckerten Verzeichnisse wurden natürlich entfernt. Läßt sich der Fehler irgendwie reproduzieren? Bei mir werden immer die gewünschten Threads angezeigt.
Phil

phil

Hallo,
ich glaube, ich weiß wo das Problem herkommt. In der Konfiguration des Forums war als Cookie-Domain "firefox.uni-duisburg.de" eingestellt. Ich habe das rausgenommen und getestet: Jetzt werden Cookies immer auf die Domain ausgestellt, über die man das Forum erreicht hat.
Geht man über http://firefox-browser.de/forum/ dann stellt der Server ein Cookie unter der Domain firefox-browser.de aus. Geht man über firefox.uni-duisburg.de dann stellt der Server ein Cookie unter der Domain firefox.uni-duisburg.de aus.
Ich hoffe, daß damit die Login-Probleme behoben sind.
Phil

phil

Ist in Arbeit, wird wahrscheinlich so aussehen:

http://firefox.uni-duisburg.de/logo/
http://firefox.uni-duisburg.de/logo/dank.php

phil

Eine kurze Geschichte des Firefox-Servers aus Sicht des Server-Admins

Erst wenn man sich zurück erinnert, wird einem bewußt, wie schnellebig manche Entwicklungen im Internet sind. Eigentlich ist es noch gar nicht so lange her, daß Abdulkadir mich nach Speicherplatz auf einem FTP-Server für ein kleines Projekt fragte - es kommt mir allerdings wie eine kleine Ewigkeit vor. Ich habe grade mein Mail-Archiv befragt, um den Zeitpunkt zu rekonstruieren und im Rückblick sind die alten Mails zwischen mir und Abdulkadir schon interessant.

Es war im Februar 2003, Abdulkadir und ich wohnten beide im Studentenwohnheim in Duisburg und ich war Admin der Wohnheimnetze dort. Am 04.02.2003 bekam ich folgende Mail:

Zitat

Eigentlich, wollte ich meine 50 MB auf dem STW-Server dazu verwenden, die von mir lokalisierte Phoenix-Version zum Download anzubieten. Davon wurde mir aber abgeraten, weil wahrscheinlich Traffic in nicht unbeachtlichem Umfang anfallen wird. stattdessen wurde mir geraten, mich an dich zu wenden, du könntest das wohl als wissenschaftliches Projekt auf dem Uni-Server hosten.

Der heute so beliebte Firefox-Browser hieß damals noch Phoenix und war nur wenigen Leuten bekannt. Wenn ich mich recht erinnere, hatte ich Phoenix selber gerade installiert und da ich sowieso Verfechter von OpenSource bin, habe ich mich natürlich gerne bereit erklärt, Abdulkadir im Rahmen meiner Möglichkeiten zu helfen. Es gab aber noch das eine oder andere Problem, insbesondere der zu erwartende Traffic, den unser armer kleiner Wohnheim-Server würde ertragen müssen. Abdulkadir schrieb diesbezüglich:

Zitat

Ich will nichts schön reden. Robert Kaiser, der Übersetzer für die deutsche Mozilla-Version sagt, dass seine Site konstant 5000 Zugriffe pro Tag verzeichnet. Wenn man davon ausgeht, dass Phoenix ein Endanwender-Produkt ist, dürfte die Phoenix-Site diese Anzahl an Zugriffen sogar noch übertreffen. Dabei gehe ich davon aus, dass noch kein Forum auf der Site integriert ist. Sonst müsste die Zahl dann wohl nochmal nach oben korrigiert werden. Aber wir können's ja erst einmal ausprobieren. Vielleicht verflacht ja auch das Interesse an Phoenix und ich mache mir hier umonsonst Sorgen.

Hm, mal mit dem heutigen Status vergleichen. 5000 Zugriffe pro Tag? Da lag Abdulkadir um mehrere Zehnerpotenzen daneben. Kein Forum? Gibt es seit langem. Interesse an Phoenix könnte verfliegen? Weit gefehlt, Phoenix bzw. Firefox hat einen nie da gewesenen Senkrechtstart hingelegt.

Abdulkadir hat also damals im Februar eine Seite für Phoenix erstellt und wir haben die auf einen der Server im Wohnheim gepackt. Wenn ich mich recht erinnere, hatte dieser Server zwei Celeron-CPUs (400 MHz), 256 MB Speicher und einen Haufen schrottige IDE-Platten. Der erste Last-Test ergab sich dann eher unfreiwillig im März, als Abdulkadir eine Mitteilung bzgl. Phoenix an ein paar Newsseiten schicken wollte. Konnte ja keiner ahnen, daß Heise das direkt im Newsticker bringt: http://www.heise.de/newsticker/meldung/35051
Der Server hatte den ganzen Tag über gut zu tun und es wurden auf einen Schlag ca. 15 GB übertragen.

Dieses Spielchen wiederholte sich bislang bei jeder einzelnen neuen Version des Browsers: Heise und andere Newsseiten berichten und sofort setzt ein Ansturm auf den kleinen Server ein. Der monatliche Traffic bewegte sich dann sehr bald im Bereich von dreistelligen Gigabytezahlen und spätestens als eine neue Version in der Fernsehsendung Planetopia vorgestellt wurde, haben wir die Terabyte-Grenze gepackt.

Die vielen Downloads und das ebenfalls immer populärer werdende Forum haben dem Server deutlich zu schaffen gemacht. Wir hatten enorme Lastspitzen auf dem Server, teilweise gab es einen load avarage von mehr als 100, d.h. der Server hätte 100mal soviele Hardware-Ressourcen gebraucht wie tatsächlich zur Verfügung standen. Ich konnte durch Anpassen der MySQL- und der Apache-Konfiguration und dem Einsatz eines PHP-Caches die Situation etwas verbessern. Trotzdem war klar, daß der Server der zunehmenden Popularität nicht mehr lange gewachsen war.

Offenbar wurde der Server nicht nur für Firefox-Nutzer sondern auch für Personen mit zweifelhaften Absichten interessant. Abgesehen von einem gewissen Hintergrundrauschen durch die üblichen Würmer gab es auch einige zielgerichtete Angriffe auf den Server. Ich habe daher ständig daran gearbeitet, die Sicherheit des Servers weiter zu verbessern, da ein erfolgreicher Angriff schwere Schäden für das Image des ganzen Projektes bedeuten könnte. Insbesondere die chronisch schlechte Sicherheit des eingesetzten phpBB hat einige Nerven gekostet.

Im Dezember 2004 wurde der das ganze Firefox-Projekt auf einen eigenen Server verlagert und dieser direkt im Rechenzentrum der Uni-Duisburg aufgestellt. Die Hardware war zwar nicht wirklich besser als die vorherige (2*Celeron 400 MHz, 384 MB RAM, 9.1 GB SCSI Platte) aber immerhin stand diese ausschließlich für Firefox zur Verfügung, anders als auf dem Wohnheim-Server vorher. Mehr als eine kurze Verschnaufpause erreichten wir dadurch aber auch nicht. An guten Tagen hat der Apache die Log-Partition der kleinen Platte schneller vollgeschrieben als die Logs komprimiert werden konnten.

Abdulkadir und ich hatten uns daher entschlossen, neue Hardware zu beschaffen. Kaufen kam eigentlich nicht in Frage, da das deutsche Firefox-Projekt nur lose organisiert ist und über keine Geldmittel verfügt. Banner-Werbung wollten wir aber auf keinen Fall einblenden, da wir mit der Website keine Einnahmen erzielen wollen und unseren Usern auch unpersönliche Massenwerbung à la Google ersparen wollten. Wir haben uns daher entschlossen, gezielt Firmen anzusprechen und um ein Sponsoring zu bitten. Gleich die erste Anfrage war ein Volltreffer: Die Firma Thomas Krenn Serverversand hatte sich innerhalb kürzester Zeit bereit erklärt, uns einen neuen Server zu sponsoren.

Das Gespräch mit dem uns zugeteilten Kundenbetreuer war eine völlig neue Situation für mich. Ich war es gewohnt mit absolut minimalen Hardware-Konfigurationen zu arbeiten und jetzt auf einmal konnte man aus dem Vollen schöpfen und gezielt Hardware auswählen. Wir bekamen einen komplett neuen 19" Server, Pentium4 3.0 GHz, 1 GB RAM, 2 Stück 36 GB SATA-Platte plus RAID-Controller und das alles inklusive Business-Support. Der neue Server wurde von mir komplett neu aufgesetzt und es wurden bei der Gelegenheit einige zentrale Komponenten ausgetauscht, z.B. läuft der Server nun mit dem Linux-Kernel 2.6 und Apache 2.

Das erste Mal seit dem Start des deutschen Firefox-Projekts haben wir adäquate Hardware zur Verfügung, die dank der Unterstützung der Uni-Duisburg auch noch sehr gut angebunden ist. Wir sind weit gekommen in den letzten zwei Jahren, zwei Server und zwei Namensänderungen des Browsers später. Sicherlich auch dank des Servers entstand in Deutschland eine sehr aktive und engagierte Community rund um Firefox. Zahllosen neuen Nutzern wurde mit allergrößter Geduld im Forum geholfen und der Erfolg der Bemühungen läßt sich in den ständig steigenden Nutzerzahlen von Firefox messen - in keinem anderen Land ist Firefox so populär wie in Deutschland. Ich glaube, weder Abdulkadir noch ich hätten uns vorstellen können, daß dieses Projekt so erfolgreich sein wird. Gut, daß es nicht nur bei 50 MB Speicherplatz auf einem Wohnheim-Server geblieben ist.

phil