Какие есть аналоги Suhosin?

Question

[Oleg Burca]

Привет.

Есть сервер хостинга. До недавнего времени была ОС Debian 6 x64 и PHP 5.3 с установленным патчем Suhosin.
Сейчас обновил железо, за одно и систему.
Установил ОС Debian 7 x64 и PHP 5.4, который не поддерживает Suhosin (похоже что проект умер).

Отсюда несколько вопросов:

1. Нужны ли вообще подобные системы безопасности?
2. Насколько они эффективны и как сильно грузят систему?
3. Знакомы ли вам аналоги Suhosin?
4. Может, лучше использовать какие-нибудь решения для защиты на уровне ядра (AppArmor, SElinux, Grsec, etc)?
Если да - то какой выбрать?

Answer 1

[Алексей Сундуков]

1) На уровне PHP нет.
2) Вносят неудобство в работу. На производительность в принципе не влияют.
3) Да. Но смысла не имеют, см. п.1.
4) Лучше использовать механизмы предоставляемые ОС. Банально корректно права на файлы расставить, использовать php-fpm и запуск от заданного юзера и прочее.

Answer 2

[Сергей Протько]

https://pierre-schmitz.com/php-5-4-1-in-suhosin-out/

Comments

[Oleg Burca]

There is no Suhosin for PHP 5.4. This means we would be stuck at 5.3 and cannot ship the most recent packages which is one of the goals of Arch Linux.
The upstream project has become less and less active in the past years. There are certain indicators which make Suhosin an unhealthy open source project: There is still only one main contributor, the development process is mostly closed, there is no public repository for the patch, no bug tracker, the forums are in maintenance mode for years and the latest news entry is from 2007. Of course things might be different in the background, but this is the situation which is publicly visible.
The delays between PHP releases and their Suhosin counterparts are increasing. I often have to patch the Suhosin patch itself to use it with latest minor updates of PHP. This leaves us with a PHP version that is neither supported by the PHP project nor the Suhosin authors. While these modifications are mostly trivial I cannot exclude the possibility that I break PHP in a dangerous way. The situation is even worse on major update like we have now. Adjusting Suhosin to PHP 5.4 is not trivial. In addition to this testing development releases or release candidates often means that you have to disable Suhosin.
There are no plans of the project to ever move any of Suhosin’s features into PHP itself. In fact the Suhosin author is strictly against such a move.