Estoy intentando diseñar la arquitectura de una aplicación que se ejecutará en una AMI de Linux de AWS, dentro de un contenedor Docker.
La aplicación tratará con datos financieros confidenciales, por lo que la seguridad es la máxima prioridad . Se espera que la aplicación maneje una carga muy pesada, con decenas de miles de solicitudes que se le envíen por segundo.
Si hay un aumento de seguridad significativo, entonces la seguridad tiene prioridad sobre la velocidad . La lógica es simple: si tengo una violación grave y pierdo la fe de mis clientes / inversores, 500 ms adicionales en el tiempo de carga no me ayudarán.
Ya consulté con un experto en seguridad en una empresa muy conocida en San Francisco, y me recomendaron usar Jetty .
Indicaron que, si bien se reduciría el rendimiento de Apache Tomcat , las mejoras de seguridad fueron tan importantes que valió la pena. También recomendaron a Jetty sobre Nginx . Dijeron que Apache y Nginx estaban escritos en C, y como tales, contenían más vulnerabilidades de seguridad que un servidor escrito en un lenguaje interpretado como Java.
También me recomendaron que no usara un servidor web en lenguajes como Python y Ruby, citando posibles fallas de seguridad.
Luego aprendí que Google App Engine cambió de Apache Tomcat a Jetty por su servidor web / contenedor de servlets, y eso fortaleció el argumento. Artículo de InfoQ: Por qué Google Chose Jetty
Entonces, aunque parecía haber muchos argumentos sólidos para Jetty (la sugerencia del experto en seguridad, la elección de Google), quise abrir esta discusión a la comunidad InfoSec en Stack Exchange.
En su opinión, ¿cuál de las siguientes opciones es la más segura si ignoramos por un minuto el código de la aplicación que está escrito encima?
- embarcadero
- Apache Tomcat
- Nginx
- Servidor web basado en Python / Ruby
- Servidor Web Node.js
- otros que no he mencionado