PHPGangsta - Der praktische PHP Blog

Es gibt nicht viele Tage im Jahr wo ich so früh aufstehe wie heute: 4:30 Uhr (Nachts!). Aber heute ist der erste reguläre Tag der International PHP Conference 2011 (IPC11) wenn man vom Workshop-Tag am Sonntag absieht, und dafür stehe ich auch nach 3 Stunden Schlaf wieder auf.

Trotz vieler Baustellen auf den 300km Strecke bis nach Mainz bin ich 8:50 Uhr an der Rheingoldhalle und kann einchecken. Kurz darauf beginnt bereits die Opening-Keynote. Die erste Session ist für mich „Client Security im Web 2.0 und mit HTML5“, vorgetragen von Carsten Eilers, einem Consultant, Trainer und Autor spezialisiert auf IT-Sicherheit. Im Talk geht es um Probleme mit dem Local Storage, Session Storage, Clickjacking, Buttonjacking, Framebuster, und natürlich am Rande um XSS und CSRF. Insgesamt eine solide Session mit einigen neuen Sicherheitsproblemen über die ich noch nicht nachgedacht habe. Bin ja auch eigentlich kein Frontendler 😉

Um 11:15 Uhr hat Sebastian Glandien über die „Leichtgewichtige und standardisierte Authentifizierung mit OpenID“ gesprochen. OpenID als Konzept war mit bereits bekannt, aber bisher fehlten die Details, die Sebastian gut ausgefüllt hat, sodass ich nun besser über das System und die Features von OpenID Bescheid weiß. Mal sehen ob ich mir ein OpenID Konto anlege.

Gernot Pflüger hielt die Keynote nach dem Mittagessen mit dem Titel „Rechts überholt – Überlebensstrategien für das große Innovations-Rennen“. 45 Minuten interessante Geschichten aus dem Leben eines Unternehmers. Durchaus amüsant, einige Seitenhiebe auf Apple und die Automobilbranche, ein wirklich guter Speaker dem man auch gern 2 Stunden zugehört hätte.

Im nächsten Talk „JavaScript Testing“ beschrieb Sebastian Springer die Vorgehensweise von Mayflower, wie Javascript getestet wird. QUnit, jsTestDriver, Selenium, Sinon.js und Jenkins sind Stichworte seiner Präsentation eines Rundumschlags des Javascript Testens.

„Wie sicher ist eigentlich Ihre Produktivumgebung?“ fragte Arne Blankerts. Von Grund auf ging es los bei der Hardware (VServer, Rootserver, Housing: beim ISP mieten, eigene Hardware). Wer und wohin wird gebackupt? Backuppen mehrere Server auf den selben Backupspace? Nach der Basisinstallation des Betriebssystem muss dieses abgesichert werden, alle nicht benötigten Dienste deinstalliert werden. Cronjobs sollten nicht als root laufen, PHP-Dateien read-only mounten. PHP absichern: expose_php Off, open_basedir, suhosin, FPM evtl. auf weiterer VM. MySQL wenn möglich über Socket oder lokale IP (evtl. VPN). Nicht den MySQL root Account nutzen. Im Prinzip nichts neues, aber nette Listen worauf man achten kann, je nachdem wo man die Kosten/Nutzen Grenze zieht. 100% Sicherheit gibt es nicht, man kann es den Angreifern nur so schwer wie möglich machen.

Dann noch einige ElePHPanten an den Mann gebracht und ab ins Hotel. Abendessen und dann den Schlaf nachholen, bin ganz schön fertig. Bei Twitter kann man einiges nachvollziehen wenn man nach #ipc11 sucht.

Vielen Dank nochmal an Herrn Stepan und Frau Pfeffer für das Presseticket!

Bis morgen!