Re: Dienste "beschraenken"
Waldemar Brodkorb <waldemar@thinknow.de> wrote:
[...]
>> Wo wir gerade über Sicherheit reden: Warum überhaupt bind?
> Weil manchen Menschen die Lizensen von Dan Bernstein vielleicht nicht
> zusagen.
Hallo!
Prinzipielles ACK, aber es gibt beXXXXXXXXe Lizenzen und beXXXXXXXXe
Lizenzen, mit der von djbdns kann man leben, man muss die Software
halt selbst kompilieren, aber das ist ja wirklich kein Hexenwerk,
insbesondere da die Software klein ist und schnell kompiliert.
>> Für ein cache-only System gibt es drnd, und für so ziemlich alles
>> andere funktioniert tinydns/dnscache ebenfalls sehr gut, und hat
>> sinnvollere Defaults: läuft nicht als root, läuft chrooted, hat
>> eine (IMHO) übersichtlichere Konfiguration, und ist wenigstens hier
>> _deutlich_ weniger anspruchsvoll (CPU/Speicherbedarf). Comments?
> bind läßt sich ebenfalls chrooted betreiben.
[...]
djbdns ist es per default, ohne zusaetzliche Arbeit.
> Im Endeffekt genauso Geschmackssache wie bei der Wahl von MTA's,
> MUA's und sonstigen Dämonen und Applikationen.
"Im Endeffekt" - ACK.
> Mit einer Einschränkung, root-exploits bei Dan Bernsteins software
> sind mir bisher nicht bekannt.
Bei MTAs ist die Lage aber schon etwas anders. Die grossen boesen Bugs
sind schon lange (sendmail 8.9.2 ?) her und es gibt mit exim und
postfix noch zwei ernsthafte Mitspieler neben qmail und sendmail. Bei
DNS gibt es momentan aber nur nur Skylla und Charybdis (MaraDNS ist
iirc noch nicht ernstzunehmen):
bind: feature complete, vergleichsweise fett, sicherheitsmaessig
suboptimal, kryptisch.
djbdns: +schlank, klein, sicher, modular.
--Bernsteins soziale Kompetenz.
+Imho wesentlich einfacher zu konfigurieren. Wer gegenteiliges
behauptet, haelt sicher auch sendmail fuer einfacher als
exim, d.h. er hat schon sehr lange Erfahrung damit.
-+einige Features fehlen, weil sie der Autor fuer
sinnlos bzw. eine schlechte Ideen haelt, afaik geht es dabei
vor allem um den Datenaustausch zwischen grossen NS
untereinander, Bernstein meint, das sollte man besser mit
dafuer gebauten Tools (rsync-ssh) machen statt DNS zu
"vergewaltigen".
cu andreas
--
Hey, da ist ein Ballonautomat auf der Toilette!
vim:ls=2:stl=***\ Sing\ a\ song.\ ***
Reply to: