Делает ли обратный прокси безопасный файл node.js?

Question

Я хочу поместить node.js в облако для приложения, содержащего конфиденциальную корпоративную информацию. Я боюсь, что node.js не так безопасен, как некоторые из старых серверов, так как он не был широко распространен. Я видел людей, которые рекомендовали использовать обратный прокси-сервер, чтобы сделать его более безопасным. Я понимаю, как это безопаснее, поскольку оно не подвергается непосредственному воздействию мира. Но все же, xss и другие атаки возможны. Только с точки зрения безопасности, кто-нибудь думает, что node.js находится на одном уровне со старыми серверами? Любые советы о том, «как убедить своего начальника + команду корпоративной безопасности»?

Answer 1

Теоретически, обратный прокси-сервер не будет передавать запросы, которые он сам не может обработать (включая те, которые он намеренно заблокировал).

Однако, если бы в файле node.js были ошибки, которые, например, приводили к раскрытию содержимого определенных переменных при получении запроса, подобного

GET /x0c/xa0

, то прокси просто передавална этот запрос и передать ответ клиенту (злоумышленнику).

Так что все еще есть риски ...

Answer 2

Способ убедить босса и команды безопасности - показать, что вы продумали проблемы и имеете разумный и реалистичный план их тестирования.

В любых корпоративных условиях ваш прокси-сервер будет лишь малой частью общей безопасности, и именно так будут управляться риски.

Чтобы протестировать что-то подобное, вам нужно будет набрать на прокси несколько * un * разумных запросов. Мне нравится предложение Джуанда, например, вы также должны бросать очень большие запросы в прокси.

Прокси-сервер Node.js должен быть по крайней мере таким же безопасным, как Apache или пользовательский прокси-сервер python / c ++, так как вам нужно только разрешить ему проксировать очень специфичные элементы.

Answer 3

Почему бы не создать хардкорный прокси-сервер блокировки на python, c ++ и т. Д., Который будет контролировать доступ?Каждый, кто проходит этот прокси-сервер, является доверенным пользователем, и node.js работает с ними.