Paragoni di sicurezza tra due approcci: come distinguere il FUD dalla Sostanza? [chiuso]

-1

Sfondo:

WorkerB e Tymac stavano discutendo i vantaggi e gli svantaggi dell'utilizzo di due diverse alternative per l'estensione di un sistema di gestione dei contenuti Web utilizzato nella loro azienda.

  • Quello alternativo consente a uno sviluppatore di estendere il CMS utilizzando file PHP di origine locale conformi all'API del CMS.

  • Alternativa due consente a uno sviluppatore di estendere il CMS utilizzando uno strumento di configurazione basato su WebGUI che genera query SQL personalizzate, senza richiedere allo sviluppatore di codificare qualsiasi PHP .

Problema:

WorkerB ha riflettuto sul fatto che due alternative potrebbero essere generalmente "più sicure", perché gli strumenti di web-gui sono forniti dal fornitore del CMS ed è stato esaminato estensivamente dai creatori del CMS.

Tymac ha riflettuto sul fatto che un'alternativa potrebbe essere generalmente "più sicura", perché i file PHP locali possono essere inseriti in un repository git e ogni cambiamento viene monitorato e rivisto da più persone, come beh essere controllati da strumenti come PHP_CodeSniffer.

Opinione di parere esterno:

Un outsider è arrivato e ha ulteriormente confuso la discussione, affermando che l'approccio è intrinsecamente "più sicuro" perché sono entrambe le interfacce di programmazione di Turing Complete, si usa solo la WebGUI e l'altra solo usa i tradizionali file di testo con codice PHP.

L'outsider suggerisce inoltre che chiedere quale approccio sia "più sicuro" va bene se si vuole solo fare la differenziazione o il marketing del prodotto, ma dal punto di vista della sicurezza, la discussione manca di sostanza a meno che non si parli in termini di vulnerabilità specifiche e exploit .

Domande:

  • 1) Esiste un modo non arbitrario e sistematico di confrontare la sicurezza dei due approcci proposti da Tymac e WorkerB?

  • 2) Se la risposta a 1) sopra è "no", come si può capire di cosa sta parlando l'estraneo, con il punto su "Completezza di Turing" e conclusioni di marketing e sostanziali sulla sicurezza?

  • 3) La sicurezza è un problema pulsante che può spaventare le persone e la paura può essere un potente motivatore. Utilizzando l'esempio precedente come modello, come è possibile comprendere i problemi sottostanti e formulare raccomandazioni per la gestione, riducendo al minimo il fattore FUD?

posta dreftymac 16.05.2013 - 19:03
fonte

1 risposta

4

Le raccomandazioni per la gestione devono essere strutturate in termini di impegno, costi e rischi. 'Best Practices' e marketing-speak non comunicano bene da soli, quindi definire il problema in termini di impegno, costi e rischi manterrà tutti concentrati sulla realtà della situazione.

Il tuo "outsider" non sta aiutando la discussione con un termine come "Turing Complete", ma sta aiutando parlando di diventare specifico. Quali sono le minacce di cui hai bisogno per proteggerti e in che modo ciascun approccio ti aiuta a proteggerti da quelle minacce? Quanto costa la protezione e quali rischi vengono esposti utilizzando uno dei due approcci?

Il codice cresciuto in casa tende ad avere problemi che non sono evidenti a quello che lo codifica, quindi le vulnerabilità possono essere trascurate. Il codice pre-scritto di un team avrebbe dovuto passare attraverso la revisione e il test del codice, ma tutti abbiamo visto casi in cui ciò non è vero. Entrambi questi commenti provengono da esperienze generali di altri progetti e non specifici del progetto in questione. Ciò significa che qualsiasi soluzione viene decisa sulla necessità di passare attraverso gli stessi processi di mitigazione del rischio per garantire che tali rischi non danneggino la vostra azienda. Una volta incorporato un approccio universale alla riduzione del rischio per qualsiasi soluzione, potresti scoprire che le tue scelte di soluzioni sono semplicemente basate su sforzi e costi e non su rischi o sicurezza.

Ci sono ancora alcuni elementi arbitrari, anche con questo approccio (definendo e quantificando i rischi, per esempio), ma riduce il FUD e le preferenze personali e arriva a qualcosa di reale e di azione.

    
risposta data 16.05.2013 - 20:34
fonte

Leggi altre domande sui tag