Opensource CMS systemen onveilig(?)

[Pantsy]

Interessant dat het volgende article is verschenen op webwereld:

http://webwereld.nl/nieuws/106264/jo...tm_campaign=ww

Het is denk ik vrijwel bij alle hosters al jaren een bekend probleem, exploits die vaak hacking tools, phishing sites of zelfs daemons installeren. In extreme gevallen word de hele server overgenomen (rooted), dat is sowieso al een slecht teken.

Nou ben ik benieuwd wat jullie als mede hosters hier aan doen? Wat wij tegenwoordig aanbieden voor shared hosting klanten met dergelijke software, zijn speciale hosting pakketten + service contract om de installatie up-to-date te houden (inclusief plug-ins). Daarnaast zijn de nodige maatregelen genomen (denk aan firewall/mod_security/suphp).

Fire away!

[cyrano]

Moet je SPIP draaien. 100% veilig.


Wel beter je kennis Frans bovenhalen...

[Wido]

Moet je SPIP draaien. 100% veilig.


Wel beter je kennis Frans bovenhalen...

100% veilig bestaat niet

Daarnaast, als je server geroot wordt door een lek CMS, dan ligt dat niet aan het CMS, maar aan de server zelf, want met een goede beveiliging mag zoiets niet voorkomen.

Verder zal een firewall je ook niet tegen een lek CMS beschermen, mod_security wellicht, maar ik vind dat pleisters plakken op de verkeerde plek.

[cyrano]

100% betrouwbaar ook niet, blijkbaar.

Nochtans draai ik SPIP al bijna tien jaar op een server die nog geen minuut downtime gekend heeft. Zelfs niet toen de provider fysisch van data center verhuisd is. In die tien jaar zijn er twee security probleempjes geweest. beide lagen aan mij, niet aan de software. De server/site heeft al ettelijke aanvallen doorstaan zonder enige downtime.

Momenteel test ik een grote hollandse provider <wink wink> waarvan de sql server in de afgelopen weken al enkele keren plat gelegen heeft. En nu werkt .htaccess weer niet meer. Apache is ook erg traag geweest. En nog altijd durf ik niet zeggen dat het je reinste amateurisme is.

100% bestaat niet. Maar met 99,9 % ben ik dik tevreden. 66% komt niet eens in de buurt. En daar word ik ondertussen goed ziek van. Joomla komt ook niet in die buurt. Drupal is beter, maar gaat al gauw resources vreten. En Drupal is niet zo geschikt als CMS, het is eerder een ontwikkel platform waar een eenvoudige boerenlul als ik al snel in verloren loopt...

[Randy]

Mijn eerste reactie bij het lezen van dat bericht op Webwereld was van "Morgen melden ze dat water nat is". Ik mis OScommerce eigenlijk in de lijst en Wordpress zou er m.i. niet meer in thuis moeten horen. Als je kijkt naar de verschillen tussen een Joomla en Wordpress, dan zie je dat de laatste een auto-update functie heeft. Hetzelfde geldt ook voor plugins. Ik denk dat WP daar een geode zet gemaakt heeft. In hoeverre kun je van een eindgebruiker verwachten dat hij/zij de 'mijncavia.info' website zal bijwerken na de installatie van een OS-pakket.

Ik denk dat de Joomla's van deze wereld er goed aan zouden doen om het voorbeeld van Wordpress (Magento) te volgen en een auto-update funtie te bieden, of in ieder geval iets van een notificatiesysteem bij nieuwe versies.

[xserve]

In die tien jaar zijn er twee security probleempjes geweest. beide lagen aan mij, niet aan de software.

Dus ook niet 100% veilig.

Of het nou aan de software, de beheerder of aan het OS ligt. 100% veilig = 100% veilig.

[cyrano]

2 dringende updates op zowat tien jaar. Ken je iets dat het beter doet?

[The-BosS]

2 dringende updates op zowat tien jaar. Ken je iets dat het beter doet?

Kan me niet voorstellen dat er maar 2 updates in 10 jaar tijd geweest zijn, of draai je het nog steeds met oud OS; libraries; .... Of bedoel je dat er maar 2 security patches in 10 jaar tijd geweest zijn. Nu het feit of dat er veel hacks/exploits etc zijn voor een bepaald product heeft ook alleen maar met naam bekendheid en wereldwijde gebruik te maken. Kijk naar het verschil in virussen voor windows, macos, linux, bsd, het is niet dat er op linux en bsd geen virussen kunnen bestaan. Maar waarom iets maken als iedereen windows gebruik, dus waarom een exploit maken voor iets wat 0.1% gebruikt tegen over 50% van de huis tuin en keuken websites.

Wat betreft drupal, dat is in mijn ogen niet echt een cms maar meer een framework. Aangezien je hier niet echt een simpele user interface hebt zoals een concrete5, joomla, cms made simple, .... En dan nog moet ik het eens zijn met sommige conculega's zelf al heb je een zo een lek joomla script of wat, als je dat in een jailed omgeving draaid hoeft dit geen enkel gevolg te hebben voor de rest van de server. Dus de beveiliging zit niet enkel in het cms maar ook hoe de server zelf beveiligd is. En om af te sluiten niets is 100% veilig, er is wel altijd iemand slimmer dan iemand anders die wel een manier zal vinden om het te hacken/exploiten/....

[Pantsy]

Wel beter je kennis Frans bovenhalen...

Volgens mij mis ik de clue hier... Daarnaast geloof ik spijtig genoeg ook niet in 100% veilig, wat draait er op die server? 1 cms systeem welke goed word onderhouden en ge-update?

Ik denk dat de Joomla's van deze wereld er goed aan zouden doen om het voorbeeld van Wordpress (Magento) te volgen en een auto-update funtie te bieden, of in ieder geval iets van een notificatiesysteem bij nieuwe versies.

Amen! Een auto update functie is zeer gewenst en daar heeft Wordpress zeker een juiste stap in de goede richting gemaakt... nu de rest nog. Ben het met je eens dat oscommerce en diverse andere systemen er thuis horen, maar ik mag aannemen dat de meeste sysadmins dat wel begrijpen...

[t.bloo]

Kijk naar het verschil in virussen voor windows, macos, linux, bsd

fout... de meeste webservers draaien linux of bsd en toch zijn er minder virussen voor en ook macos is een zeer interessant target

[The-BosS]

fout... de meeste webservers draaien linux of bsd en toch zijn er minder virussen voor en ook macos is een zeer interessant target

Ik had het over de consumenten markt en niet over (web)servers, want daar ben je niet veel met een virus (aangezien beveiliging hier beter is dan consumenten pc), wel met een exploit/rootkit. Dus mijn stelling blijft, waarom zou je een exploit maken voor een cms dat 0,1% gebruikt tegen over joomla wat veel meer gebruikt is. Het gaat niet zozeer over veilig of niet, maar meer de manier hoe ze omgaan met een exploit bug. Ik heb liever een e-commerce/cms systeem waarvan er 100 nieuwe exploits per week uit komen, en waarvan een dag later er 90 gefixt zijn en paar dagen later alles. Dan een e-commerce/cms systeem waarvan er 5 exploits per jaar uitkomen, maar er 3 jaar later nog steeds in zitten.

En ja het is de verantwoordelijkheid van de gebruiker om zijn e-commerce/cms/... up to date te houden, maar het is ook de verantwoordelijkheid van de sysadmin/netadmin om exploits op de server/netwerk te voorkomen door deftige instellingen en firewalls/ids/ips/.... En uiteraard om de gebruiker er op te wijzen om zijn e-commerce/cms/... up to date te houden.

[cyrano]

Kan me niet voorstellen dat er maar 2 updates in 10 jaar tijd geweest zijn, of draai je het nog steeds met oud OS; libraries; .... Of bedoel je dat er maar 2 security patches in 10 jaar tijd geweest zijn.

2 security patches in 10 jaar.

Nu het feit of dat er veel hacks/exploits etc zijn voor een bepaald product heeft ook alleen maar met naam bekendheid en wereldwijde gebruik te maken. Kijk naar het verschil in virussen voor windows, macos, linux, bsd, het is niet dat er op linux en bsd geen virussen kunnen bestaan. Maar waarom iets maken als iedereen windows gebruik, dus waarom een exploit maken voor iets wat 0.1% gebruikt tegen over 50% van de huis tuin en keuken websites.

Dit is een zeer veel gebruikt CMS, maar alleen in 't franstalig gedeelte van de wereld. De halve Franse overheid, onderwijs, kranten, vzw's...

Naast zeer veilig is het ook veel performanter dan bv. Drupal. Er zijn sites met miljoenen pagina's en duizenden dagelijkse bezoekers die op shared hosting lopen zonder enig probleem. Als ik dan zie wat een batterij dedicated dat bv. Drupal nodig heeft voor 't zelfde. Maar Drupal kan wel verder door ontwikkeld worden. Maar in SPIP hoef je dan weer veel minder zelf te doen. Dingen als RSS inout, agenda, webdav, stats enz. zijn er allemaal al. Alleen de docs zijn op z'n Frans: verspreid en verwarrend. Blijkbaar lezen heel weinig mensen die.

Wat betreft drupal, dat is in mijn ogen niet echt een cms maar meer een framework. Aangezien je hier niet echt een simpele user interface hebt zoals een concrete5, joomla, cms made simple, .... En dan nog moet ik het eens zijn met sommige conculega's zelf al heb je een zo een lek joomla script of wat, als je dat in een jailed omgeving draaid hoeft dit geen enkel gevolg te hebben voor de rest van de server. Dus de beveiliging zit niet enkel in het cms maar ook hoe de server zelf beveiligd is. En om af te sluiten niets is 100% veilig, er is wel altijd iemand slimmer dan iemand anders die wel een manier zal vinden om het te hacken/exploiten/....

Yes. Of de user gaat wat ecperimenteren.

[cyrano]

Volgens mij mis ik de clue hier... Daarnaast geloof ik spijtig genoeg ook niet in 100% veilig, wat draait er op die server? 1 cms systeem welke goed word onderhouden en ge-update?

De server is een goede shared hosting. De webserver is Litespeed. En naast het CMS dat ik gebruik, lopen er nog de gebruikelijke andere websites. Vziw is er nog nooit een inbraak in SPIP zelf gerealiseerd. En dat is niet omdat het niet geprobeerd is. Ik doe er ook al jaren testen op.

[Pantsy]

Wat wij zelf vaak ervaren en zien is dat het overgrote deel van de opensource systemen niet goed worden bijgehouden en/of bug fixes/patches worden te laat uitgegeven. Met betaalde oplossingen kom je dit 95% minder tegen en als er bugs zijn komt er vrij snel een fix/patch.

Als voorbeeld, magento bied het gratis en betaald aan (ok de drempel hier tussen is heel hoog) en ik ben er wel van overtuigd dat dit het gratis product ten goede komt. Dit om de dood simpele reden doordat het hun broodwinning is wanneer een gebruiker beslist over te stappen naar de betaalde versie.

@Cyrano, wat ik enkel niet begrijp "De server is een goede shared hosting"? Is het nou een server waar meerdere accounts op draaien of niet? Lijkt mij niet... als je slechts 2x security patches hebt aangebracht op de server, ik zou dit niet kunnen verkopen/verwoorden aan onze klanten.

[Blacky]

Ik zie hier een paar keer Magento genoemd worden, maar waarom is men daar zo kapot van?
Als ik zie dat deze in vergelijking tot een aantal andere webshops toch nog graag behoorlijk wat directorys op 777 wenst te hebben (volgens de handleiding) geeft het me te denken. Of mis ik iets?
Even los van dat je dat kunt oplossen met mod_ruid of suphp of whatever.
Er zijn immers ook een aantal webshops die dat ook hebben, maar niet bij zoveel dirs als Magento.

Anyway, bij ons wordt de gebruiker gewoon gewaarschuwd dat als hij Joomla wenst te draaien, hij deze zelf up2date moet houden en adviseren we Wordpress.