امنيت مامبو در چه سطحيه!؟

[moztarzadeh]

دوستان سلام
از راهنمایی هاتون خیلی ممنون
[quote author=سعید link=topic=20637.msg109493#msg109493 date=1246967385]
نظرات مختلفی ممکنه در ذهن دوستان شکل بگیره که همه قابل احترام هست، اما من شخصا به این جمله معتقد ترم :
[quote author=سیامک link=topic=20637.msg109486#msg109486 date=1246954036]
در مورد اون جمله که در مورد تمپلیت گفتید، فکر نمیکنم هیچ جوابی لازم باشه! قطعا چنین اظهار نظری اینقدر ناشیانه و سطحی هست که پاسخ گویی بهش مسخره به نظر میرسه
[/quote]

البته نه تنها در مورد اون یک جمله ! به نقل قول دقت کنید:
[quote author=moztarzadeh link=topic=20637.msg109476#msg109476 date=1246950275]
من از مدير يك شركت برنامه نويسي و طراح سايت كه خودش هم يك برنامه نويس تحت وب هست ...
[/quote]

بنابراین حرفی برای گفتن باقی نمی مونه !
[/quote]

من این شخص رو به خوبی میشناسم ، تو کارش هم وارده ولی حالا که نظرات دوستان رو خوندم متوجه شدم که به احتمال زیاد با سوء نیت این حرفها رو زده. چیزی که مشخصه اینه که همین طور که مامبو و جوملا طرفداران زیادی دارن ، دشمنان و مخالفان زیادی هم دارن چون با وجود چنین سیستم هایی کارشون کمتر شده!

[سعید]

[quote author=moztarzadeh link=topic=20637.msg109613#msg109613 date=1247129053]
من این شخص رو به خوبی میشناسم ، تو کارش هم وارده ولی حالا که نظرات دوستان رو خوندم متوجه شدم که به احتمال زیاد با سوء نیت این حرفها رو زده. چیزی که مشخصه اینه که همین طور که مامبو و جوملا طرفداران زیادی دارن ، دشمنان و مخالفان زیادی هم دارن چون با وجود چنین سیستم هایی کارشون کمتر شده!
[/quote]
از نیت افراد کسی خبر نداره و نیت افراد بر همه جز سازندشون پوشیده هست و در صلاحیت ما نیست که راجع به نیت افراد صحبت کنیم.

منتها بنده خودم هم برنامه نویس هستم، هم پروژه هایی در حد یک سیستم مدیریت محتوا رو نوشتم یا مدیریت کردم، روی مامبو/جوملا هم کار کردم.

با ایمانی که به کارم دارم و صد البته مورد تایید اساتیدم و مشتری هم بوده، اما باز هم سعی می کنم برای کاربردهای متداول از سیستم های مدیریت محتوای متن باز استفاده کنم. به دو دلیل :

1- اگر بخوام راهی رو برم که توسعه دهندگان مامبو رفتند، بعد از 9 سال تازه به جیی می رسم که الآن مامبو رسیده!

2- قطعا کسانی هم که روی مدیریت محتوای مامبو و جوملا کار می کنند که در دو سال پیاپی بهترین سیستم های مدیریت محتوای جهان شناخته شدند (با وجود این همه سیستم غیر رایگان)، اونها هم برنامه نویس هستند و شکی نیست که هم از نظر اشراف به برنامه نویسی هم نکات امنیتی و هم تجربه ساخت و توسعه سیستم های مدیریت محتوا در سطح بسیار بالاتری قرار دارند.

مامبو 9 سال تجربه با خودش داره. کسی که مدعی میشه که حفره های امنیتی در این سیستم ها کشف کرده و البته قادر هم هست که اینها رو رفع کنه الزما وجوبی نیست که 9 سال تجربه برنامه نویسی اون هم در زمینه بخصوصی مثل توسعه سیستم مدیریت محتوا داشته باشه. بالاخره چیزهایی هست که ممکنه به ذهن افراد برسه . اما باید در حدی باشه که اگر تغییری در این سیستم ایجاد کرد تضمین امنیتی رو بکنه که در 9 سال بدست اومده و سیستمی رو تحویل بده که 9 سال هست آب بندی شده!
بنابراین اگر مورد خاصی در خصوص امنیت مامبو مدنظر ایشون باشه، خوب می تونن استناد کنند و اگر هم مورد خاصی وجود نداره اینطور نیست که بشینند و به این راحتی حفره تراشی کنند و هرطوری که شده به هر جهت تغییراتی رو ایجاد کنند تا توجیهی باشه برای دریافت هزینه.

من به دغدغه این دوست احترام می گذارم، چون خودم یک برنامه نویس هستم و دقیقا ایشون رو درک می کنم.
اما راهش این نیست. ایشون می تونن روی توسعه و خدمات همین سیستمی کار کنند که از این گسترگی کاربرد برخوداره. جوملا و مامبو هرچقدر هم که دسته کم گرفته بشه انصافا باز هم ارزش این رو دارند که از اون به عنوان یک framework استفاده بشه. خصوصا اینکه هر دو API خوبی رو در اختیار توسعه دهنده قرار دادند.

سیستم های نرم افزاری خصوصا سیستم های مدیریت محتوای متن باز و بالاخص با این همه گستردگی کاربرد و استفاده، مطمئنا زیر ذره بین هزاران نفر از زبده ترین کارشناسان امنیت و هکرها هستند و به محض اینکه حفره ای در اونها مشاهده بشه در کوتاهترین زمان ممکن در پروژه گزارش میشه و رفع عیب میشه.

امنیت هم نسبی هست و به فاکتورهای مختلفی بستگی داره. اون قسمت از امنیت که مربوط به سیستم مدیریت محتواست بنابر اصل تحدی تضمین شده هست. یعنی اینکه اگر مامبو اینطور نا امن بود تا الآن سایت های بزرگ و مهمی مثل سایت وزارت دفاع یک کشور دوام نمی آورد!

[pctaz]

ممکنه یه چند تانمونه کار از این بنده خدایی که امنیت مامبو و جوملا رو زیر سوال بردن و به اصطلاح خودشون امنیت این سیستم ها رو رد کردن بدونم . بهشون بگید چند تا از سایت هاتون رو بدید تا یه چک امنیتی کنیم براتون

[moztarzadeh]

[quote author=کاسپرسکی link=topic=20637.msg110978#msg110978 date=1248771620]
ممکنه یه چند تانمونه کار از این بنده خدایی که امنیت مامبو و جوملا رو زیر سوال بردن و به اصطلاح خودشون امنیت این سیستم ها رو رد کردن بدونم . بهشون بگید چند تا از سایت هاتون رو بدید تا یه چک امنیتی کنیم براتون
[/quote]
اگه اجازه بدید این کارو نکنم!
چون تو سایتهایی که ایشون طراحی کردن هویتشون کاملا مشخصه. ضمنا من از ایجاد این تاپیک هیچگونه نیت بدی نداشتم و فقط می خواستم اطلاعات خودم و دوستان بیشتر بشه.
یاعلی

[pctaz]

مشکلی نیست ! برادر منم قصد بدی نداشتم خدای نکرده !

[مهدی.]

[quote author=moztarzadeh link=topic=20637.msg110979#msg110979 date=1248772198]
هویتشون کاملا مشخصه
[/quote]

مگه اگر هویتشون مشخص بشه، کسی میره ترورشون کنه؟! حالا سایتاشون رو ببینیم بد نیست که! شاید خدا خواست و رفتیم ... . ;D
خوب پیشنهادی دادی رسول جان. >

یا حق

[dj_ahmad]

رو سرور اختصاصی Secure شده یه مامبو نصب کن(آخرین ورژن) بعدش Htaccess رو هم طوری تنظیم کن که خیلی از حملات و اینجکشن ها رو دفع کنه بعد یه قرآن بیار من دست میزارم روش و قسم میخورم عمرا کسی نمیتونه این سایت رو انگولک کنه!!!مگه اعجوبه ای نابغه ای چیزی پیدا بشه که اونم سراغ ساین من و شما و ... نمیاد

[مهدی.]

شاید جالب باشه بدونید که دوست خوبمون یاشار (dj_ahmad)، در هک و امنیت دستی در کار دارند و برای خودشون یه جورایی استاد شدن. اما یک نکته رو فراموش کردن و اون هم اینه که هیچ اکستنشن غیر استاندارد و یا مشکوکی و یا با امنیت کم نصب نشده باشه. اونموقع هست که دیگه نمیشه ... .

یا حق

[dj_ahmad]

من تکذیب میکنم.
مال این حرفا نیستم داش مهدی.ضمنا اگه سایت zone-h رو دوستان دیده باشن که مخصوص ثبت رکودهای هک در دنیا هست با هسته جوملا ساخته شده و یکی از امن ترینهاست.

[سعید]

[quote author=پـــســـر مــهـربــــــــون link=topic=20637.msg110996#msg110996 date=1248778701]
اما یک نکته رو فراموش کردن و اون هم اینه که هیچ اکستنشن غیر استاندارد و یا مشکوکی و یا با امنیت کم نصب نشده باشه. اونموقع هست که دیگه نمیشه ... .
[/quote]

شما هم فراموش کردید !

هنوز خیلی راه های بیشتری هستند که میشه ...

البته نه در مورد مامبو، بلکه در مورد هر سیستمی می تونه مطرح باشه.

حتی اگر این راه هم که مدنظر من هست نبود، باز هم نمی شه امنیت رو 100% تضمین کرد.

ولی بطور نسبی امنیت سیستم مدیریت محتوای مامبو در سطح بسیار مناسبی هست.