Dopo l'ennesimo exploit e l'iniezione di malware nel suo sito web, l'ospite Leo Laporte della rete Twit ha recentemente affermato / dichiarato dal suo esperto di sicurezza che cadere vittima di tali attacchi è semplicemente il costo di fare affari su Internet, e che la cosa migliore da fare è reagire rapidamente, rimuovere il malware e correggere qualsiasi exploit, se possibile. La più grande colpa per questo è stata posta ai piedi di PHP, che è "intrinsecamente insicuro" con la sua architettura execute-files-in-any-folder.
Questa affermazione mi ha semplicemente fatto impazzire. È questo il miglior consiglio che un esperto di sicurezza può offrire? Anche se è certamente vero che PHP non è esattamente il linguaggio più stretto là fuori, e che ci sono quasi inevitabilmente degli exploit da qualche parte, specialmente se usi molti pacchetti pre-fab drop-in, la più grande colpa dovrebbe ancora essere attribuita a incompetenti programmatori e amministratori di server. No?
È davvero un compito insormontabile per uno sviluppatore attento alla sicurezza che sa cosa sta facendo per sviluppare un sito web moderatamente complesso privo di exploit in un ragionevole lasso di tempo? Mentre sono sicuro che i sistemi che ho sviluppato non sono al 100% bug gratuiti, mi prendo molta cura di tutto ciò che può consentire a un utente malintenzionato di modificare il mio server in qualsiasi modo; e finora non ho avuto a che fare con l'iniezione di malware. Lo stato dello sviluppo web è tale che l'unica soluzione per l'iniezione di codice è quella di pulire costantemente dopo i cattivi? Esistono dati reali su questo problema?