Re: w3cache and security

Autor: Wojtek Sylwestrzak (wojsyl_at_icm.edu.pl)
Data: Thu 14 Mar 1996 - 11:31:53 MET


Michal Jankowski (Michal.Jankowski_at_fuw.edu.pl) wrote:

: Natomiast po wglebieniu sie w problem, uwazam, ze kasza nie powinna W
: OGOLE kaszowac dokumentow nie posiadajacych w headerze rubryki
: 'Last-modified'. W kazdym razie wtedy, kiedy dokument pochodzi z
: serwera Apache. Mysle, ze powinno dac sie to latwo rozpoznawac i
: stwierdzac, nawet jesli obecny kod harvesta tego nie ma, to latwo
: dopisac.

: Porzadny serwer, jakim jest Apache, opatruje data ostatniej
: modyfikacji wszystkie dokumenty, dla ktorych ten czas jest znany. Brak
: tej rubryki oznacza 'dynamicznosc' dokumentu, ergo kaszowanie nie jest
: celowe.

: A jesli skrypt lub dokument zawierajacy 'server side includes' mam
: output pomimo wszystko statyczny, to jest juz sprawa autora takich
: dokumentow, zeby o tym powiedzial (np. chmod g+x ...), serwer kaszy
: nie ma szans na zgadniecie, jak ma byc...

: Zdaje sobie sprawe, ze sa serwery, ktore w ogole Last-modified nie
: podaja - wtedy trudno, serwer kaszy musi zgadywac. Ale w przypadku
: porzadnych serwerow 'zrodlowych', kasza lepiej zrobi, jak nie bedzie
: za madra.

Chyba masz racje. Tym bardziej, ze coraz wiekszy procent stanowia
serwery 'porzadne'. Co wiecej - problem cache jest dostrzegany
przez tworcow http 1.1, ale zanim on bedzie na tyle dojrzaly,
ze zaczna masowo pojawiac sie serwery WWW http 1.1 i serwery
cache i klienci http 1.1 jeszcze troche czasu minie i trzeba
sobie jakos radzic z tym co mamy.

To, czy lepiej wiecej 'nieznanych' dokumantow cache'owac czy nie
nie jest prostym problemem i wymaga jednak pewnej analizy,
a do tego trzeba troche przedtem potestowac rozne konfiguracje,
pozbierac dane etc. Nie ma sensu w tym testowym okresie zniechecac
uzytkownikow (co z uporem godnym lepszej sprawy usilujesz zrobic).

Przyznaje sie do bledu, ze powinnismy byc moze raczej utrzymac
w3cache w tajemnicy, zanim konfiguracja sie nie ustabilizuje.
Ale okazuje sie, ze sa dziesiatki ludzi, ktorzy juz z tego korzystaja
i chwala sobie. Przymusu nie ma ;-)

Tez nie jestem pewien, czy problem 'nieswiezych' dokumentow nie jest
troche wyolbrzymiany. W wiekszosci przypadkow wcale nie zalezy mi
na tym, zeby koniecznie miec najnowsza wersje, a jesli mi juz zalezy,
to wiem o tym i przewaznie z tresci dokumentu lub zamieszczonej daty
potrafie wywnioskowac czy nacisnac reload czy nie.

Inna sprawa, ze browsery WWW moglyby gdzies udostepniac zawartosc
"last-modified' czytajacemu.

: PS. Jeszcze raz sie nie moge nadziwic, ze uwazacie wystepowanie
: stringu /cgi-bin/ jako identyfikujacej skrypty za cos danego od Boga.

Michal, masz racje, ze wazniejsze jest to co w headerze, i to powinno
byc uwzgledniane przede wszystkim, a nie parse'owanie URLa.
Z drugiej strony sa pewne *niepisane* zwyczaje, ktore nie sa okreslone
zadnym standardem, i teoretycznie mozesz sobie na przyklad plik
zgzipowany nazwac plik.ps - nikt Ci nie zabroni, ale tez nikt
sie nie spodziewa, ze tak zrobisz, bo po co. To samo z /cgi-bin/

--w



To archiwum zostało wygenerowane przez hypermail 2.1.7 : Wed 19 May 2004 - 15:55:13 MET DST