Das betrifft dann aber analog auch SFTP, SCP, HTTPS und SSH im Allgemeinen... Also worauf willst du hinaus? TLS ist besser als nichts. TLS ist das einzige, was wir haben. Also nutzt man TLS.asdfman schrieb:Aus der eher jüngeren Vergangenheit sei zum Beispiel dies erwähnt:
http://www.heise.de/security/meldun...-gefaehrden-SSL-Verschluesselung-1925115.html
Interessanterweise ist das beste Mittel gegen den im Artikel angesprochenen Kram, einfach auf Snakeoil zu setzen.
WebFTP schon mal gehört? Schon mal mit Tools Verwaltungsschnittstellen wie Confixx gearbeitet, die WebFTP anbieten? Hier macht es einen GEWALTIGEN Unterschied, ob man einfach mit PHP die Dateien erstellt, oder ob man eine FTP-Verbindung aufbaut.Yuuri schrieb:Warum haltet ihr denn alle an FTP fest? So wie ich das verstanden habe, ist FTP doch vollkommen überflüssig. Man befindet sich doch eh schon auf der Homepage, da reicht ein simples Dateiverwaltungstool mit Userunterstützung und gut ist.
Die Verwaltungsschnittstelle läuft im Zweifel als www-data oder einem spezifischen User für dieses Frontend. Sie liegt im Zweifel irgendwo in /usr/share/... oder sowas.... und das eben noch nicht einmal unbedingt auf der selben Maschine, auf der deine Zielwebseite liegt.
Deine Webseiten, selbst wenn sie auf dem selben Host wie deine Verwaltung liegen, gehören aber nicht www-data (außer du bist ein Vollidiot). Sie gehören meinetwegen web123:client45. www-data hat schon erstmal gar keine Lese-, geschweige denn Schreibrechte für den Ordner von web123. Und selbst wenn www-data schreiben könnte, er würde im Zweifel als www-data schreiben. Der lesende Apache-Prozess gehört dann aber web123 und kann Dateien von www-data im Zweifel nicht lesen... außer der Admin ist ein Idiot.
FTP hingegen ist es egal, ob du auf Localhost bleibst oder nicht. FTP hat durch die Credentials direkt die korrekten Berechtigungen.