PHPGangsta - Der praktische PHP Blog

Pünktlich zur Veröffentlichung im November erhielt ich vom Hanser-Fachbuch-Verlag ein Exemplar des Buches: Vorgehensmuster für Software-Architektur – Kombinierbare Praktiken in Zeiten von Agile und Lean, von Stefan Toth.

Es ist aus meiner Sicht eine der interessantesten Neuerscheinungen diesen Jahres und gibt (hoffentlich) gute Einblicke in die Praxis der Softwarearchitektur für Softwareentwickler und -architekten. Da ich selbst noch einige Bücher auf dem Nachttisch habe und in naher Zukunft nicht dazu kommen werde es zu lesen, darf ich es an einen von euch verlosen. Hier einige Stichpunkte des Inhalts, weitere Details gibt es auf der Seite des Buches beim Hanser Verlag:

Risikogetriebene Softwarearchitektur, Rollen und Verantwortung, Qualitätsszenarien, Technische Schulden, Kanban und Backlogs, Architekturvision, Der letzte vernünftige Moment, Architekturprinzipien, Analoge, Modellierung, Architecture Owner, Architekturcommunities, Umsetzungsprüfung

– Arbeiten Sie durch Anforderungen getrieben an Ihrer Softwarearchitektur
– Passen Sie den Architekturaufwand effektiv an Ihr Projekt an
– Profitieren Sie von aktuellen Erkenntnissen zu Zusammenarbeit und Vorgehen
– Verzahnen Sie Softwarearchitektur wirksam mit der Implementierung
– Integrieren Sie Architekturpraktiken erfolgreich in zeitgemäße Vorgehensmodelle
– Extra: Mit kostenlosem E-Book
– Im Internet: www.swamuster.de

Preis: 34,99€ bei Amazon

Was der Autor wohl mit „Der letzte vernünftige Moment“ meint?

Um das Buch zu gewinnen schreibt einfach nur einen Kommentar hier im Blog bis zum 9.12.2013 23:59:59, dann schicke ich es euch passend vor Weihnachten zu (Sorry an alle Postboten). Eine kurze Rezension oder Meinung zum Buch nach dem Lesen ist natürlich sehr hilfreich für alle anderen, die sich dafür interessieren und es noch nicht gekauft haben.

Danke Sarah!

Viel Glück!

HSTS steht für HTTP Strict Transport Security und ist ein HTTP-Header, den Webseiten nutzen sollten die per HTTPS erreichbar sind.

Wenn ein Benutzer in seinen Browser „webseite.de“ eintippt wird der Browser zuerst versuchen die Webseite unverschlüsselt per HTTP zu erreichen. Genau das ist aber ein Schwachpunkt wenn man sich in einem unsicheren Netzwerk aufhält oder befürchtet, dass irgendwo auf dem Weg zum Zielserver jemand den Request abfangen und verändern könnte (Hallo NSA!), dann sollte man vermeiden eine Webseite unverschlüsselt per HTTP aufzurufen die auch per HTTPS erreichbar ist. Dazu gibt es beispielsweise das Firefox-Addon HTTPS Everywhere, in dem eine Liste eingebaut ist mit Domains, die besser verschlüsselt angesurft werden sollten. Wer nicht auf dieser Liste enthalten ist oder auch Besuchern, die dieses Firefox-Addon nicht installiert haben, mehr Sicherheit bieten möchte, nutzt HSTS.

Fast niemand tippt bei einer Seite, die per HTTPS erreichbar ist, immer brav manuell „https://webseite.de“ ein, die meisten schreiben einfach „webseite.de“ und werden dann vom Webserver automatisch auf die HTTPS-Variante weitergeleitet.

Weiterlesen »

Stell dir folgende Situation vor: Du bist im Ausland, beispielsweise Peru, und möchtest dich auf deiner Webseite als Administrator einloggen. Da der mobile Datentransfer im Ausland sehr teuer ist kommt es leider nicht in Frage das Handy zu nutzen, denn bereits wenige Megabyte kosten viel Geld. Also ab ins Internetcafe. Doch dort muss man davon ausgehen dass Keylogger/Trojaner installiert sind, die jeden Tastaturanschlag mitprotokollieren. Die Angreifer kommen also sehr leicht an Username und Passwort, da hilft es auch nicht wenn die Webseite SSL oder sonstige andere Sicherheitsmaßnahmen nutzt.

Wie kann man nun seine Webseite sicher besuchen, ohne sich einzuloggen und ohne viel teuren Datentraffic zu verursachen?

Eine mögliche Lösung

Auf der Loginseite der Webseite ist zusätzlich zum Loginformular ein QR-Code eingeblendet. Dieser QR-Code muss mit dem Handy gescannt und die dahinter steckende Webseite besucht werden. Es erscheint ein kleines Loginformular auf dem Handy, in das man gefahrlos seine Logindaten eingeben kann, denn das Handy ist ja unseres und beheimatet hoffentlich keinen Keylogger. Sobald der Login auf dem Handy erfolgreich war wird man auch auf dem Internetcafe-Computer eingeloggt, völlig ohne eine Taste gedrückt zu haben. Sesam öffne dich!

Ich habe das Verfahren mal umgesetzt, es bedarf lediglich 75 Zeilen HTML und PHP-Code, sowie die Einbindung einer freien PHP-QR-Code-Bibliothek. Mein Code liegt auf Github, und ich habe auch eine kleine Demo-Seite online gestellt.

Diese Methode ist übrigens nicht neu, Google hat damit experimentiert und es, als es publik geworden ist, eingestellt mit der Meldung „Danke, das war nur ein Experiment, bald kommt etwas viel besseres“. Leider wissen wir bis heute nicht was die bessere Lösung sein könnte.

Was haltet ihr davon, überflüssig oder eine nützliche Alternative?

Wie jedes Jahr gab es auch dieses Jahr wieder die große PHP Conference in Santa Clara, organisiert von Zend. Ich habe euch hier eine Sammlung der Präsentationen zusammengestellt, falls ihr die fehlenden noch irgendwo findet sagt Bescheid.

Zend hat eine Wiedergabeliste bei Youtube für die ZendCon 2013 in der sicher noch einige weitere Videos dazukommen werden.

Viel Spass beim Lesen und Videos schauen!

7. Oktober 2013

Zend PHP Certification Boot Camp (Part 1)
Christian Wenz

Improving QA on PHP Development Projects
Michelangelo van Dam

Zend Framework 2 Jump Start
Evan Coury

Caching and Tuning Fun for High Scalability
Wim Godden

Do You Speak Design Patterns in PHP?
Enrico Zimuel

Weiterlesen »