Kira Eggers/Chicalogic.dk: Hjælp til open source shops

Chicalogic.dk har fået denne mail og jeg ved ikke nok om det til at kunne komme med et uddybende svar, men jeg synes det er interessant. Nogle bud? Sådan med facts, ikke bare gætterier? :)
Tak for det!

Hej Kira
Jeg har med interesse læst dit indlæg om hackermuligheder på open source webshops. Først på Strictly Business listen og mere uddybende på din hjemmeside. Det er fint, at du kan hjælpe de kunder, som kan blive bedraget af disse hackere. Jeg savner derimod hjælp som webshopejer, så jeg ikke uforvarende ruinerer mine tillidsfulde kunder.

Jeg har selv en webshop i et dyrt licensbetalt system. Jeg håber så sandelig, at der ikke er en åben bagdør i min butik. Nu er jeg imidlertid i den situation, at jeg har planer om at flytte min shop til et open source baseret system for at få et billigere og mere fleksibelt system. Hvordan undgår jeg at åbne en butik med fri adgang for at svindlere stjæler fra mine kunder? Er nogle open source platforme mere sikre end andre? Eller er det brugeren/administratoren, der laver fejl og derved åbner bagdøre?

Jeg håber, du kan hjælpe mig med nogle svar, eller lede mig videre. Jeg er absolut ikke it-nørd, men jeg bliver nødt til at finde en billigere måde at drive webshop på, hvis jeg ikke skal ende med at lukke. Og jeg er nødt til at gøre arbejdet selv med hjælp fra børn og svigerbørn, for jeg har ingen penge til en dyr webkonsulent.

Venlig hilsen,

Kira

Hun brander :)

Kira: De fleste problemer med sikkerhed skyldes menneskerne bag.

De opdatere ikke software og bliver så overrasket når en 4 år gammel exploit udnyttes - det burde de ikke.

Deres computere bliver inficeret med trojanere eller anden malware og det bruges til at angribe deres webshop (eller website) fordi de ikke har været påpasselige nok med hvad de trykker på og sikret sig godt nok.

Der findes naturligvis i alle systemer muligheden for decideret fejl og åbne huller - fordelen ved Open Source er at de findes og lukkes lynhurtigt og så længe man gør sit til enten selv at opdatere og opgradere, såvel hovedsystemet som 3. parts udvidelser, så vil man være super tryg ved open source.

Såfremt man ikke selv besidder kompetencerne til at opdatere og opgradere så er det alfa og omega at man får sin leverendør til at gøre det - også selvom det så koster en smule ekstra for det er bare så vigtigt.

Vi levere og udvikler det mest avancerede open source webshop system til Joomla og vi har gør det selv kunder, samarbejdspartnere der klarer sig selv, samarbejdspartnere vi er underleverendører for, hele kunder hvor vi ordner alt, kunder som selv opdatere og opgradere og kunder hvor vi har lært dem og opdatere og opgradere men hvor vi gjorde det i starten.

Generelt men gyldigt svar: Nonsens at open source skulle være mere usikkert!

Et meget ofte brugt argument for brugen af open source, er jo netop at koden er åben for alle, hvilket betyder at flere kan tjekke den, udbedre dårlig kode og det endda hurtigere end proprietære.

Omvendt så bruger nogle ofte gratis-argumentet for valg af open source. Det er jeg ikke enig i nødvendigvis. Det er ikke hverken billigere eller bedre.

Umiddelbart skal man holde sig fra uopdateret skrammel - så er der ikke mere at frygte i forhold til licensbetalte systemer. Hvis jeg nævner Zencart, Ubercart, OsCommerce og Magento er det fine steder at starte.

*HVIS DER ER EN DER ER FRISK skulle der stå. DET ER MANDAG!

Kira Eggers:

Tak for svar! OsCommerce har netop vist sig at være ret usikkert i forhold til at det ikke opdaterer deres sikkerhed. Jeg har hvertfald læst mig frem til at de ikke har slået https til på de shops folk benytter sig af hos dem. Om det så kun er nogen af dem eller hvorfor eksempelvis hængekøje.dk ikke har https, ved jeg ikke? Nogen shops har det først, når betalingsinfo er indtastet har jeg bemærket. Det undrer mig, for så kan man jo ikke vide om sitet er sikkert før det er "for sent".

Det er næsten svært at forklare over skrift, men jeg skal forsøge:

osCommcerce, Magento og andre "host-selv"-løsninger har det til fælles at deres sikkerhed afhænger af hvem der ejer/driver systemet. Hvis du har en DanDomain-weshop står DanDomain for sikkerheden ved systemet ligesom de står for implementeringen af SSL-certifikater (https). Hvis du har en OpenSource-løsning er du (eller din udvikler) selv ansvarlig for at opdatere systemet når der kommer sikkerhedsopdateringer og implementere SSL-certifikater.

Dermed er det shopejeren der bestemmer om/hvor der skal benyttes SSL-certifikat på webshoppen. Det giver fint mening ikke at benytte det på almindelige "statiske" sider hvor der ikke skal indtastes følsomme oplysninger.