Door ZiZi: Volgens mij is dit alleen op het openen van de socket. Daarna kunnen de rechten aangepast worden. Iets wat iedere webserver op Linux dus eigenlijk al doet? Dus draait het process gewoon onder een standaard rechten en doet het niets meer met root. Toch? Je zou het socketdeel moeten ontkoppelen van de rest en dat van die rest onder een specifiek eigen serviceaccount moeten draaien. Nou wil ik van jou een lijst zien waar dat zo geïmplementeerd is. Ik ken er geen meer. Shellshock was het bewijs dat het bij geen enkel webserver zo geregeld is, met code injection heb je hetzelfde argument. Het is meer werk niet moeilijker eerder eenvoudiger, toch gebeurt dat niet. Leg maar uit waarom niet. Dat zelfde verhaal heb je met de netwerksegmentering (fysiek en logisch) en admin gebruik. Geef maar uitleg voor die weerstand. Dat zelfde verhaal met LDAP/LDAPS, je vind het technisch eenvoudig, prima. Leg dan maar uit waarom het trajecten van vele moeizame jaren zijn. Denk dan eens aan die vele duizenden ...