¿Qué tan seguro es mi código fuente de Heroku?

Question

¿Qué tan seguro es mi código fuente de Heroku?

#1 de Purefan (1 votos)

1

Estoy usando Heroku para alojar una pequeña cantidad de servicios. Quiero entender mejor los permisos de acceso a los archivos que estoy colocando en mis instancias de Heroku.

En primer lugar, soy consciente de que estoy entregando mis datos a una compañía externa, y que es un juego si los actores malos logran infiltrarse en Heroku o piratear mi cuenta de usuario individual.

Con eso fuera del camino, tengo algunas preguntas:

¿Qué tan seguro es el código fuente de los microservicios que estoy enviando a un dino Heroku? Si alguien más conoce la URL de mi aplicación, por ejemplo, https://newbs-dyno.herokuapp.com , ¿qué pueden hacer? ¿Pueden los usuarios no autorizados clonar el repositorio de git subyacente? ¿Pueden ver los contenidos (archivos y carpetas) que he puesto en el dinamómetro?
¿Qué tan bien almacenadas están las variables de configuración? Quiero usar vars de configuración para almacenar algunas credenciales, como se describe en la documentación . ¿Es esta buena práctica?

¿Qué define qué tan visible o invisible es el contenido de mi dinano, las variables de configuración incluidas, son? ¿Es correcto pensar en mi dinamómetro como una aplicación del lado del servidor que expone algunos puntos finales bien definidos?

web-application webserver server git

pregunta Newb 09.02.2017 - 09:07

fuente

1 respuesta

Lea otras preguntas en las etiquetas web-application webserver server git

Imagen de publicación desde la raíz del servidor web externo Cifrar / Aislar archivos del Software

score 1 · Accepted Answer

Heroku es una plataforma como oferta de servicio, su código vivirá en contenedores virtuales, esto significa que es mejor aislarlo de otros contenedores que se ejecutan en el mismo servidor (hablando estrictamente sobre el acceso directo a archivos).

La forma de almacenar secretos, como usted señaló , es utilizar config vars . La documentación de heroku especifica esto como la forma segura:

Una mejor solución es utilizar variables de entorno y mantener las claves fuera del código. En un host tradicional o trabajando localmente puede configurar vars entorno en su archivo bashrc. En Heroku, usas vars de configuración.

De hecho, puede mantener los archivos fuera de la carpeta pública mediante especificando el Documento Raíz de su aplicación. Esto establecerá la carpeta donde el servidor web buscará sus archivos php. El servidor web rechazará el acceso directo a Internet a los archivos que se encuentran fuera de la raíz de documentos, su código aún puede introducir vulnerabilidades que lo permitan, pero desde el punto de vista de la configuración, este es el camino a seguir.