Alexander Stelter – foo, bar, baz

Seit gestern gibt es einen Patch, der für PHP erstmals den Tainted Mode implementiert. Das bedeutet, dass Daten, die von außen an die Anwendung gegeben werden, zunächst als gefährlich eingestuft, solange sie nicht von bestimmten Funktionen modifiziert worden sind. Das könnte unter anderem XSS verhindern. PHP ist in sofern konfigurierbar, dass man entscheiden kann, was passieren soll. Von garnichts bis hin zum Fatal Error für den Entwickler ist alles einstellbar und hilft frühzeitig schon Sicherheitslücken durch unbedachte Verwendung von Userinput zu verhindern.

Ich habe den Patch selber noch nicht ausprobiert und werde in der nächsten Zeit auch keine Zeit dazu haben, aber die Kommentare zeigen, dass man doch einiges positives davon erwarten kann. Ich bin gespannt auf die weitere Entwicklung und die Kommentare auf der Liste.

written by Alexander \\ tags: internals, PHP, security