¿Es seguro tener un código fuente para el sitio web público? [duplicar]

Si su sitio web es seguro, incluso el código fuente no ayudaría a un atacante en un mundo perfecto. Pero no vivimos en este mundo.

Al hacer público el código fuente, se está manteniendo simultáneamente a sí mismo un código estándar más alto y está introduciendo más riesgos. Ya que le está regalando su código a cualquiera que pregunte, será mejor que lo haga sólido como una roca. (De hecho, deberías estar haciendo esto de todos modos, ¡pero estoy seguro de que lo sabes!)

Liberar su fuente permitirá que personas buenas y útiles señalen cosas malas y le da una motivación para que escriba código sólido en todo momento. Yo diría que es una buena idea. Sin embargo, debe hablar sobre el riesgo con el propietario del sitio web. Los repositorios privados existen en GitHub y puedes instalar tu propio servidor Git / repositorio local de Git para el control de la versión privada.

Lectura sugerida:

• Pros y contras de la implementación de código abierto
• Principio de Kerckhoffs

¿Hará que su sitio sea menos seguro? Sí. Por un factor de .00000000000000001%, da o toma un cero.

Primero, ¿quién quiere piratear el sitio web de un club deportivo para algunas direcciones de correo electrónico?

Segundo, quién quiere revisar todo tu código para descifrar cualquier error o vulnerabilidad.

En tercer lugar, hay toneladas de sitios que utilizan código de código abierto (WP) que está criado por millones. Los piratas informáticos tendrían mucho más que ganar si revisan 1 conjunto de códigos para millones de víctimas en comparación con su relación 1 a 1.

Cuarto, la mayoría de las veces que los sitios son atacados es mediante el uso de bot o software que escanea a través de métodos de ataque conocidos. Tener tu código en dominio público no significa nada para esto.

Entonces, realmente el único problema que tienes es si tienes un colega, amigo, enemigo o simplemente enemigo que sabe que escribiste este sitio web, que es lo suficientemente secreto como para tener suficiente tiempo para analizar tu código y encontrar alguna vacante. Esto es realmente muy descabellado, pero supongo que podría suceder.

La respuesta tiene opiniones contradictorias

Ocultar el código fuente se llama seguridad a través de la oscuridad. En general, se reconoce que la seguridad a través de la oscuridad no es una forma válida de seguridad. Sin embargo, existe un ideal contrastante llamado "defensa en profundidad". La idea es que nunca dependes de una sola capa de defensa. Si su código fuente está disponible gratuitamente, depende de la seguridad de una sola capa: la seguridad escrita en el código fuente.

La respuesta a su acertijo probablemente depende de algunos factores:

• ¿El sitio web administra el dinero? Si hay dinero involucrado, existe un incentivo más fuerte para que alguien quiera romper el sistema. La defensa en profundidad comienza a verse mejor, porque cualquiera que te ayude a encontrar errores también debe decidir si prefiere ganar dinero en su lugar.
• ¿Cuánto espera que la gente ayude en el desarrollo? Si nadie le ayuda a hacer las cosas más seguras, las únicas personas que miran el código tienen intenciones maliciosas. Si crees que esto es algo que podría incendiarse y despegar por sus propios medios, es más probable que los hackers de sombrero blanco encuentren cosas y sugieran soluciones.
• ¿Alguien sabe que el sitio web está utilizando este paquete fuente? Es más probable que las personas malintencionadas tengan que viajar del sitio web al código fuente, y no al revés. Cuanto más fácil sea averiguar qué repositorio de Git contiene el código fuente de ese sitio web, mayor será la ventaja de los piratas informáticos.

Las personas con malas intenciones son más que capaces de encontrar agujeros de seguridad de todos modos. El acceso abierto al sitio probablemente no llevará a las revisiones de terceros a las que el código abierto a veces puede llevar (para que eso funcione, alguien más debe preocuparse lo suficiente por hacerlo), pero si la seguridad depende de mantener el código fuente en secreto. no tiene seguridad Solo asegúrate de dejar las contraseñas y demás.