kann das include?

[fastix®]

Moin!

Erinnerst Du dich nicht an die unverschämte Zenzur, die Freenet mal vorgenommen hat?

Zum _unbedingten_ Vertrauen in den Autor gehört, daß ich diesen kenne. Wenn ein Dienstleister (Wer ist Freenet?) mein Skript verändert, dann habe ich einen anderen Autor. Das so ein Dienstleister bei mir dann keine Dienste mehr leistet, wenn er es wagt meine Skripte oder deren Ausgabe zu verändern, ist klar. Freenet benutzt einen transparenten Proxy, spielt an dem rum und ist somit bei mir unten durch.

Wenn ich aber auf meinem Server A auf diese Weise Resourcen auf meinem Server B zugänglich mache, dann vertraue ich mir in aller Regel. Natürlich multipliert sich in diesem Fall die Wahrscheinlichkeit, dass einer davon kompromittiert wird zu einer höheren Gesamtwahrscheinlichkeit, dass der Server mit dem aufrufenden Skript kompromittiert wird: (Beispielrechnung)

p1 sei die Wahrscheinlichkeit, dass der Server 1 innerhalb von 10 Jahren mal gehackt wird.
p2 sei die Wahrscheinlichkeit, dass der Server 2 innerhalb von 10 Jahren mal gehackt wird.

p1=0,3
p2=0,2
p1,2=(1,3)*(1,2)-1
p1,2=0,56

Die resultierende Wahrscheinlichkeit, dass Server 2 gehackt wird liegt bei mehr als der doppelten Wahrscheinlichkeit, wenn es genügt den Server 1 zu hacken um Server 2 auch hacken zu können (das ist hier der Fall) Das Problem erscheint größer, wenn man noch Proxys und DNS-Server mit einbezieht -> (klassischer "man in the middle"- Angriff: die könnten gehackt werden und statt des gewünschten Skriptes etwas ganz anderes liefern, das Problem wird noch deutlicher, wenn man weiss, dass das http-Protokoll Klartext verwendet...)

Du hast also insofern recht, zu sagen es wäre "böse(tm)". Wenn es aber notwendig erscheint... geht man auch ein Risiko ein.

MFFG (Mit freundlich- friedfertigem Grinsen)

fastix®