bugie.cz

Publikování použitého frameworku

Má o sobě použitý framework prohlašovat, že je použitý? A včetně verze?

Posledních pár let se v oblasti PHP rozmáhá používání frameworků. Programátory už nebaví vymýšlet znova kolo a tak šáhnou po nečem, co už je hotové. Nette, jeden z nejpopulárnějších PHP frameworků v české kotlině posílá v hlavičkách odpovědi informaci o svém použití a to včetně verze. Není to náhodou chyba?

Když jsem před asi rokem podobnou funkcionalitu protlačoval do zend frameworku, protiargument byl velmi logický a docela i pochopitelný - bezpečnost. Pokud se v daném frameworku nalezne nějaká bezpečností chyba, je pro útočníka velmi snadné napsat robota, který bude vyhledávat a napadat weby, které daný framework používají. Stačí se podívat do hlavičky odpovědi a hned má jasno, zda může zahájit útok nebo má jít o dům dál.

Co si budeme nalhávat, žádný framework není bez chyby. A changelogy tomu dávají za pravdu. V mojim oblíbeném zend frameworku se tu a tam nejaká bezpečnostní chybka objeví. Je sice velmi rychle opravena, ale málokdo se obtěžuje již na běžící aplikaci framework aktualizovat. Občas je to jenom lenost vývojáře, občas nemožnost v implementaci. Což se ale dá docela slušně obejít automatizovaným testováním - projdou testy = můžeme aktualizovat framework.

A přitom víceméně neexistuje z této informace žádná výhoda. Ano, dají se dělat statistiky "x% web; používá ten a ten framework" ale k čemu to? Proč útočníkům ulehčovat práci a na talíři jim říkat, že web je napadnutelný?