Newsgroup: it.comp.www.php
Titolo: Quale CSM è + sicuro

 
 
          Ho intenzione di tirare su un sito con un CSM.
Ero indirizzata ad utilizzare PHPNUKE, ma ho sentito che presenta molti
bachi di sicurezza e recentemente tali siti sono stati vittime di attacchi
hacker.
Chiedo a tutti gli esperti di ng (e ce ne sono tanti), quale CSM presenta
maggiori garanzie di sicurezza?
Bye
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Bye
Anzitutto si dice CMS (Content Management System) :)
Partendo dal presupposto che PHPNUKE personalmente lo considero un
colabrodo, potresti indirizzarti su Midgard. E' un pochino piů complesso da
usare ma efficiente. In alternativa c'č Zope.

 
Beh, Zope è in python...
Tac

> Anzitutto si dice CMS (Content Management System) :)
Quanto sei suscettibile!!!!
dammi un contributo.
Si batte la fiacca,
eppure mi pare un problema importante e che riguardi molti.
Anzi, potrebbe essere un argomento di discrussione x tutti gli esperti in
CMS (non CSM!!!)
Insomma quali tra:
Nuke, WUpit, MK portal, Nuke-Proxima, Zope-Plone,Envolution
Fle3, Xaraya, Xoops, E-xoops, E-Xoopport, phpwebsite, Mambo e altri?
bye


 Fle3, Xaraya, Xoops, E-xoops, E-Xoopport, phpwebsite, Mambo e altri?
Ne esisteranno di sicuri ma già il fatto che il codice sorgente sia 
disponibile pubblicamente aumenta le probabilità di trovare una falla.
Ora, questo contribuisce al miglioramento del prodotto nel tempo etc. 
etc. etc. (e vai di sviolinate open source) ma se la tua priorità è la 
sicurezza la cosa migliore è studiare un po' e farsi le cose da se.
Quel che voglio dire è che l'assalto a siti di cui conosci già la 
struttura dati ed il codice è estremamente piu' facile.
Oltre a questo un'altra domanda: sai già su che server metterai il sito?
Se il server non è configurato per benino.
Banalmente anche avere una versione di php inferiore alla 4.32 dà 
problemi di sicurezza.
Avere una versione di html2ps non patchata (non sono sicurissimo su 
questo cmq) sul server (viene inclusa in molte distro linux) può 
comportare l'esecuzione di codice arbitrario e via dicendo.
Sicuramente avere un cms con codice fatto per benino è cmq un buon 
inizio.
Tac

Grazie, Tac ;-))
Quanto dici č interessante, anche se dovrebbe essere ovvio.
Trovo sbalorditivo che di fronte a tanti CMS e sviluppatori, nessuno abbia
fatto uno studio comparato soprattutto sulla sicurezza, oltre che sugli
altri parametri fondamentali.
Penso anche che molti frequentatori di questo ng abbiano avuto esperienza in
merito.
Bye


 merito.
Vediamo se qualcuno si fà vivo.
Tac

 struttura dati ed il codice è estremamente piu' facile.
Non sono d'accordo con quanto hai affermato, certo esistono CMS scritti 
con i piedi che fanno acqua da tutte le parti, ma ne esistono 
altrettanti validi scritti da gente molto esperta e praticamente 
inattaccabili (cito E-Xoops tanto per fare un nome), ed in cui il 
contributo della comunità opensource è fondamentale.
Secondo te è meglio scriversi da sé il proprio CMS perché è più 
sicuro...a parte il fatto che difficilmente una persona da sola può fare 
un prodotto migliore di uno sviluppato da un team di programmatori e a 
parte il fatto che ci potrebbe perdere molto più tempo dietro, secondo 
te i sistemi operativi Microsoft dovrebbero essere più sicuri ad esempio 
di Linux perché quest'ultimo ha i sorgenti disponibili, e non mi pare 
proprio che sia così.
A nefertari consiglio una visita a 
http://www.securityfocus.org
 , dove 
potrai vedere quali sono i più bucati fra i vari CMS che hai citato.
-------------------
Francesco Mazzi
Webmaster di AltroPC.it - 
http://www.altropc.it
Project Admin di "PHP Reservation - Online booking system" - 
http://phpreservation.sourceforge.net
Dev.Staff di E-Xoopport - 
http://dev.e-xoopport.it

 proprio che sia così.
Se rileggi i post precedenti ho affermato l'esatto contrario.
Avere sotto mano sorgenti e struttura dati facilità la scoperta delle 
imperfezioni, questo sia a scopo di miglioramento che non.
Ciao, buona serata.
Tac

 imperfezioni, questo sia a scopo di miglioramento che non.
Ok, allora avevo capito male ;-)
Ciao
-- 


 veramente sicuri sotto tutti i punti di vista ed in tempi ragionevoli.
Mah. Non vogliono investire in sicurezza e vogliono un sistema sicuro?
Per carità, con una piccola serie di 'best pratices' si migliora cmq di 
molto, ma da qui a dire che è inattaccabile?
E cmq ripeto: per quel che penso io la priorità n.1 è un sistemista un 
minimo scafato, altrimenti è tutto inutile.
Tac