Aplicación de matraz en la oficina en el puerto 80: ¿es seguro? [cerrado]

0

El título lo dice todo; Solo estoy brindando información a los compañeros de trabajo como una cortesía a través de una serie de aplicaciones de una sola página que básicamente consolidé bajo Flask, que sirven plantillas de Jinja. Actualmente, tengo Apache en ejecución, y simplemente coloco archivos HTML estáticos en la ruta. Pero esto fue antes de emplear Flask o un motor de plantillas y no estoy dispuesto a dejar que crezca hasta el punto de que sea más difícil mantenerlo como un montón de HTML estático.

Entonces, para hacer el cambio, puedo configurar Apache para reenviar las solicitudes a mi aplicación Flask, o (b) simplemente apagar Apache, decirle a mi aplicación Flask a app.run(host='0.0.0.0', port=80) y luego sudo python myApp.py , listo y hecho.

Entonces, ¿esto es inseguro? No puedo hablar sobre el nivel de seguridad que emplea nuestro administrador de sistemas para evitar que personas ajenas se paseen por nuestra red local, excepto que "existe". Nuestra LAN se considera como inaccesible desde el exterior, pero honestamente no sé nada de este tipo de cosas. Me parece que si puedo publicar en Stack Overflow desde esta computadora, Someone Somewhere puede ver mi aplicación ejecutándose y hacer cosas malas. También entiendo que esta es la práctica menos preferida, especialmente cuando se supone que algo está disponible públicamente, pero nuevamente, estoy en la oficina aquí, y si no tengo que andar con los archivos Apconconf.conf, entonces Estoy feliz de dejarlos solos y simplemente apagar a Apache.

¿Me estoy preparando para un error de seguridad gigante, o está bien en este contexto?

    
pregunta Stick 22.07.2013 - 18:19
fuente

1 respuesta

1

No podemos verificar los controles de seguridad impuestos por su aplicación, solo unas pocas observaciones con respecto a su configuración:

  • Si está solicitando un nombre de usuario y una contraseña, debe requerir SSL. Este certificado puede ser firmado por el CA de su compañía o un CA oficial. Esto es para asegurarse de que las credenciales de sus empleados (o las suyas) permanezcan seguras.
  • sudo myapp.py = > Big no no aquí, generalmente no hay buenas razones para ejecutar tu aplicación como root. Debe crear un usuario que no pueda iniciar sesión y ejecutarlo bajo su nombre. Este usuario solo debe tener los derechos suficientes para ejecutar su aplicación y realizar ciertas manipulaciones de archivos (por ejemplo, escribir en una determinada carpeta / archivo de registro) y nada más.
respondido por el Lucas Kauffman 22.07.2013 - 18:47
fuente

Lea otras preguntas en las etiquetas