Windows Server - Apache oder IIS

[bernau]

Zitat von WM_CLOSE:

Da steht dirn, dass sie für nichts, auch keine eigenen Fehler haften, außer in Deutschland.
Das wiederum heisst, dass sie gefundene Fehler schnellstmöglich beseitigen müssen, um nicht für eventuelle Schäden haften zu müssen.

Definiere "schnellstmöglich".

[WM_CLOSE]

@Melfin: Nur, wenn man seine Produkte in Deutschland verkaufen will...
Diese Diskussion führt zu nichts. Können wir uns darauf einigen:

IIS = kommerzielle Software -> Fehlerbehebung nach Gesetz verpflichtend -> stabil (verlässlich)
Apache = Open Source -> Fehlerbehebung nach Laune der Entwickler -> potentiell unzuverlässig

Ob das besser oder schlechter für jemanden ist, muss derjenige selbst entscheiden.
Beides hat seine Vor- und Nachteile. Keines ist grundsätzlich besser als das Andere.
Entscheidungen, die nur auf den eigenen Idealen beruhen, haben in der Geschäftswelt nichts verloren.

@supermuckl: gratuliere

[bernau]

Zitat von WM_CLOSE:

IIS = kommerzielle Software -> Fehlerbehebung nach Gesetz verpflichtend -> stabil (verlässlich)
Apache = Open Source -> Fehlerbehebung nach Laune der Entwickler -> potentiell unzuverlässig

Sorry. Das ist der größste Quatsch, den ich bisher gelesen habe.

Zitat von WM_CLOSE:

IIS = kommerzielle Software -> Fehlerbehebung nach Gesetz verpflichtend -> stabil (verlässlich)

Fehler werden unter den Tisch gekehrt bis jemand (nicht MS-Angehöriger) den Fehler entdeckt und veröffentlicht. Es gibt Fehler, die sind Monate oder Jahrelang nicht gefixt worden.

Zitat von WM_CLOSE:

Apache = Open Source -> Fehlerbehebung nach Laune der Entwickler -> potentiell unzuverlässig

Viele Entwickler schauen über den Code und haben keine NDA "a la MS" unterschrieben. Fehler gelangen schnell an die öffentlichkeit und werden behoben.

Wenn du schreibst "potentiell unzuverlässig", dann hast du doch bestimmt Beispiele für die Unzuverlässigkeit. Oder ist das nur so ein Bauchgefühl.

Weist du eigendlich, wer hinter der Apache Software Foundaion alles steht. Schau mal in Wikipedia rein. Du wirst überrascht sein. Klein sind die wirklich nicht.

[Dalai]

Zitat von WM_CLOSE:

IIS = kommerzielle Software -> Fehlerbehebung nach Gesetz verpflichtend -> stabil (verlässlich)
Apache = Open Source -> Fehlerbehebung nach Laune der Entwickler -> potentiell unzuverlässig

Der war gut, YMMD! Welches Gesetz verpflichtet denn einen Softwarehersteller zur Haftung? Der Punkt ist doch gerade, dass es keine Produkthaftung für Software gibt.

Und meinst du nicht, dass eine dicke Lücke, für die MS potentiell freiwillig geradestehen würde, von der Open Source Community ebenfalls recht zeitnah gefixt würde? Ich nenne nur mal die Sache mit OpenSSL bei Debian. Es ist lange nicht aufgefallen, das stimmt, aber nach dem Bekanntwerden ziemlich schnell behoben worden. MS würde da jetzt wie genau schneller/besser reagieren? Ich bin gespannt.

MfG Dalai

[generic]

Nur als Info direkt von der Front:

Unsere Admins haben mehrere VMs von VSphere auf HyperV umgezogen.
Alle IIS Maschinen laufen normal.

Apache und seine Freunde machen nun die Grätsche mit "(OS 109)Die Pipe wurde beendet. : mod_fcgid: get overlap result error" und keine Webseite lässt sich mehr öffnen.

Nun wollte ich den Apachen auf 2.2.23 updaten inkl. mod-fcgi 2.7.
Schade keine Binaries mehr auf Apache.org für die aktuellen Versionen.
Gibt nur 2.2.22 und 2.6

Jetzt werde ich wohl den Compiler bemühen müssen.
Die Chance das es trotzdem nicht funktioniert, halte ich für hoch.

Mal ein Glück, dass das nur interne Testmaschine sind.

[Sougetsu]

Moin zusamm,

ich steh auf grade vor der Frage ob ich nen IIS oder nen Apache auf den zukünftigen W-Server konfiguriere will.
Auf meinem privaten Server bei Strato hab ich seit jahren einen zuverlässigen Apache am laufen. Auf dem wurde von aussen schon so vieles probiert aber bis jetzt kam noch nix davon durch. Der letzte große mir bekannte ist dieser PHP Exploit, wo versucht wird die ini umzuschreiben, damit PHP Systemweit zugriff hat.
Solang PHP allerdings als Modul läuft ist harmlos, beim IIS dagegen weiß ich noch nicht ob der da was anrichten kann, da läuft PHP ja bekanntlich als FastCGI (php-cgi.exe).
Da würde es mich ja interesssieren ob hier schon jemand damit Bekanntschaft gemacht hat und dazu ggf. was sagen könnte.
Aus den aktuellen Statistiken geht halt hervor das der Apache am verbreitesten ist.
Netcraft News

Das hat aber wie wir bekanntlich wissen nicht immer nur gutes, das Kontra wäre natürlich auch, dass Apache stark im Focus ist und das nicht nur von guten Jungs/Mädchen. Und in der Vergangenheit ist im Apache sehr viel an Lücken bekannt geworden, dabei beziehe ich mich auf diese Statistik von 2013 CVDDetails-Apache
Bei dem IIS kam dabei im Jahre 2013 nur eine Lücke, was mich allerdings auch skepisch macht. CVEDetails-IIS

Stellen sich dann Fragen wie, wird bei Apache mehr nach Fehlern gesucht?, ist der IIS wirklich soviel weniger anfällig oder gibt es vllt doch unveröffentlichte Zugänge/Bugs? etc..

Was die Konfiguration angeht ist es mir eigtl. egal. Ich kann beide konfigurieren und härten. Wo ich halt bedanken habe sind zukünftige Exploits um ein Server zu kompromitieren, denn da sind konfigurationen der Services oft zweitrangig.

Bei dem Betriebssystem haben wir uns (und ich glaub es nicht, dass ich es schreibe) schon für Windows entschieden. Ich muss zugeben, dass Windows sich sehr stark weiterentwickelt hat und linux in manchen bereichen nicht so stark mithalten kann. Wenn es um Domänen, Brachcache oder andere neue features von Windows geht. Aber das ist jetzt ein ganz anderes Thema.

IIS vs Apache!?

Gruß
Sougetsu

[jaenicke]

Man sollte auch beachten, dass Features wie ASLR unter Windows umfangreicher implementiert sind als unter Linux (im Standard, es gibt Zusatzmodule für Linux). Da der Apache unter Linux verbreiteter ist als unter Windows, mag auch das eine Rolle spielen.

Ich persönlich glaube nicht, dass Apache oder IIS an sich einen großen Unterschied in der Sicherheit haben, ich halte beide für sehr sicher. Zumindest liest sich das so, was es in der Richtung an Material gibt. Viel entscheidender ist die Sicherheit der Webseiten selbst und deren Software. Und da gibt es, insbesondere in Eigenentwicklungen vieler Firmen, teilweise Löcher, in die ein Schweizer Käse komplett passen würde...
Der Unterschied ist nur, dass man so eine Lücke dann nicht massenhaft nutzen kann, aber für einen gezielten Angriff finden sich in der Regel bessere Angriffsstellen als die Webserversoftware an sich.

Ich selbst nutze privat sehr gerne den IIS, weil ich in der Management Konsole viele Möglichkeiten habe und dort alles zentral verwalten kann.
Beruflich ist bei uns in der Firma der Apache im Einsatz, das ist ein Krampf im Vergleich... auch wenn man beides kennt.

[Sougetsu]

Nachdem ich heute mal ein bisschen mit dem IIS8 (WS2012) herumgespielt habe, habe ich festgestellt das Authentifizierung recht umständlich implementiert wurde.
Das sehe ich als ein Kontra an. Ein Basic ist veraltet egal bei welchem der Beiden. Die Digest Methode ist gut, doch der IIS möchte zum Abgleich die Daten aus einem Active Directory haben, blöd nur wenn man keine AD hat. Der Apache erledigt das mit 2 text dateien. Ansonsten wäre da noch die NTLM Methode, Nachteil nicht jeder hat Windows und nicht jeder benutzt den IE.
Desweiteren gäbe es dann noch eine Zertifikats Methode, auch umständlich, da keine CA vorhanden ist und man beim Provider eine Web Edition bekommen wird, des weiteren müsste man Zertifikate pflegen, da diese irgendwann ungültig werden.
Es zeigt sich somit für mich deutlich, dass der IIS eher für Unternehmen konzipiert wurde. Der einfache User könnte als Ausweg einen Webbasierten Schutzen bauen, das wäre am einfachsten über ein Formular.
Bei einer Softwareschutzimplementierung, um z.b. sein pma zu schützen oder andere sensible Bereiche, macht der Apache für den kleinen Mann eine bessere Figur.

Gruß
Sougetsu

[himitsu]

Wenn es nur um den Webserver geht, kann man auch sowas wie Lighttpd verwenden.

Im Grunde hat vieleshier und da seine Vorteile.
Es kommt mehr auf die Umgebung und den Anwendungszweck an.

- Was für ein Server liegt dahinter.
- Was für Features/Module sollen verwendet werden.
(bei Apache kann man sich z.B. einen eigenen SVN-Server direkt da reinhängen)
- mit welchem System kommt man besser zurecht
- usw.

Zitat:

Apache = Open Source -> Fehlerbehebung nach Laune der Entwickler -> potentiell unzuverlässig

Ich stimme da der anderen Antwort mal zu.

Nur weil etwas ClosedSource und nicht kostenlos ist, ist es noch lange nicht besser.

Apache ist weiter verbreitet, da arbeiten mehr dran, und es können somit viel mehr nach Fehlern suchen.


Apache vs. IIS ist wie Windows vs. Linux ... man kann nicht entscheiden was grundsätzlich besser ist.


Ich würde mir ja wünschen, wenn ichbei meinem aktuellen Server-Projekt die Wahl zwischen Apache und IIS hätte, aber leider läuft Beides dort nicht.
(wobei IIS klar war, daß es dort nicht läuft => Android)

[bernhard_LA]

Das Sozial Software Engineering ist beim MS unschlagbar :


für jedes Thema gibt es mindestens 5 Schulungen, viele davon in anderen Städten mit der Option zur Dienstreise.
Man bekommt tolle Zertifikate die im Layout Hochschuldiplomen ähnlich sind und nicht zu vergessen bedruckte Kaffeetassen und .....


Manchmal sollte man sich nicht nur nach technischen Aspekten entscheiden ....