תשתית האבטחה בדרופל

בפוסט הקודם ראינו כי החשיפה של דרופל לנסיונות פריצה, גבוהה יותר מרמת החשיפה הנמוכה של אתרים המושתתים על קוד קנייני אלמוני. נמשיך ונבדוק מהי רמת האבטחה הבסיסית של דרופל, בהשוואה למערכות מתחרות.

במערכת דרופל מתחרות שתי קבוצות של מערכות ניהול תוכן: מערכות הקוד הפתוח האחרות (בעיקר וורדפרס וג'ומלה - הקמת אתרים שמישים - עיצוב אתרים שקטים), ומאידך המערכות המבוססות על קוד קנייני. בעוד שרמת האבטחה של כל מערכות הקוד הפתוח היא גבוהה, ושווה, פחות או יותר, רוב המערכות הקנייניות סובלות מפיגור משמעותי (הקמת אתרים שמישים - קונבנציות עיצוביות).

תשתית האבטחה של דרופל (ומערכות הקוד הפתוח האחרות) היא גבוהה ממספר סיבות:

• הרמה הגבוהה של המתכנתים האחראים על אבטחת המערכת בפיתוח הגרסאות השונות. (בניגוד לרמה הבינונית של המתכנתים העוסקים בפיתוח רוב המערכות הקנייניות, בדרופל יש קהילה של מתכנתי-על שכדי להמנות עליה צריך להיות מוכר ועם קבלות – לא מספיק להיות חייל משוחרר ומוכן לעבוד בזול... הקמת אתרים שמישים - שישה עקרונות חשובים).
• זמן הפיתוח הרב המוקדש לפיתוח כל גרסה חדשה (בניגוד לתהליך המזורז והמחופף בו נהוג לפתח מערכות מקבילות בארץ).
• ההיכרות הטובה של מומחי האבטחה של דרופל עם עולם ההאקרים (נודה בעובדות – חלקם בכלל האקרים...).

תשתית גבוה זו מספקת מערכת מאובטחת ברמה גבוהה מהמקובל, דא עקא – הפרופיל הגבוה של דרופל גם חושף אותה ליותר התקפות. בבואנו להחליט האם בניית אתרים בדרופל עדיפה (לפחות מבחינת רמת האבטחה - הקמת אתרים שמישים - לגולש לא אכפת) עלינו להתחשב ביתרון האיכותי של אבטחת דרופל, וגם בחסרון של דרופל, הנובע מפרופיל הגבוה של המערכת.

אסור לשכוח - מערכת דרופל זוכה לשדרוגי אבטחה שוטפים, לתיקון כל פירצה או חשש לפירצה שמתגלים בידי הקהילה, ולכן נמצאת כל הזמן בתנועה קדימה – לעבר המיגון האבסולוטי.

אז דרופל או לא דרופל

בנוגע לשאלה: "אז מה עדיף מבחינת אבטחה?" התשובה מורכבת. לאתרים פשוטים/חנויות פשוטות ואתרים בפרופיל נמוך (לא של חברות מפורסמות, מוסדות מוכרים וכיוצא באלה אתרים שעלולים למשוך אש ספציפית), ברור שעדיף דרופל (רמת האבטחה הראשונית גבוהה בהרבה מהמערכות הקנייניות המקבילות, והשדרוגים רציפים ותדירים). בגלל שהאתר פשוט ובפרופיל נמוך, סביר להניח שאף האקר לא יתעניין בו באופן מיוחד, ואז די לנו בתשתית האבטחה הראשונית.

לגבי אתרים מורכבים, חנויות גדולות, ועסקים בפרופיל גבוה – התשובה לא ברורה. מה שכן, יש להאמין כי ככל שתקציב האתר גדול יותר – כן תיטה הכף לכיוון המערכת הקניינית.

בפוסט הבא ניקח צעד אחד אחורה ונתבונן ב"סצינת האבטחה ברשת" כדי לנסות להבין מהי מידת הסכנה הצפוייה לבעל האתר הממוצע.