6

Estou com essa dúvida a já um tempo e até hoje não estou tão firme numa posição, não obstante de ter tomado uma.

Sempre que desenvolvo, ou participo do desenvolvimento de uma aplicação (WEB), normalmente tratamos da segurança a dedo-e-unha, ou seja, nós tratamos de todos os processos relacionados a segurança, de sessões até encriptação das senhas, etc.

Lembro-me de ter ouvido alguém um dia a dizer que já não se faz isso hoje em dia que é melhor usar sempre um Framework (Spring, Apache Shiro, etc).

Qual a vossa sugestão?

2 Respostas 2

6

Segurança é algo muito difícil de se fazer corretamente. As chances de você cometer algum erro são enormes. E principalmente se você tiver pouco conhecimento no assunto, há de se considerar a hipótese de você não saber muito bem o que fazer, não só como fazer.

A título de exemplo, quando comecei a trabalhar com Django nunca tinha ouvido falar de CSRF. Só reparei que ao usar a framework, nenhuma das minhas requisições POST via Ajax funcionavam, e eu não entendia por que. Descobri depois que eu tinha ou que implementar um troço chato, ou desabilitar a proteção contra CSRF nas configurações. Como estava aprendendo ainda, desabilitei, deixando pra ver o que era aquilo mais pra frente no projeto (antes dele entrar em produção, é claro).

Quando finalmente descobri do que se tratava esse ataque (na ocasião, meu queixo caiu, pois nunca havia imaginado algo desse tipo - o que mostrou como meu conhecimento sobre autenticação no browser era limitado), fui aprender os meios de se proteger contra ele - e vi como a situação era complicada... Por sorte, as principais medidas estavam bem ali na minha frente, implementadas pela minha framework, bastava eu seguir suas instruções pra usá-la. Lendo mais sobre o assunto, percebi como de fato aquelas medidas eram efetivas tal como estavam (sem que eu precisasse "inventar" mais nada).

Qual teria sido o resultado se eu tivesse tentado fazer tudo à mão? Provavelmente não muito bom, e isso assumindo que eu já soubesse bem o que era necessário fazer. Mas eu não sabia sequer que o ataque existia, muito menos que era minha responsabilidade me proteger dele. E infelizmente, é isso que tenho observado muitas vezes por aí:

  • Gente usando MD5 pra hashear senhas;
    • Ou pior, salvando-as em texto plano!
  • "Perguntas de segurança" sendo usadas de forma indevida;
  • Métodos ineficazes de se resetar uma senha esquecida;
  • Tentativas ad hoc de proteger uma comunicação sem o uso de SSL/TLS;
  • etc.

Cada vez que alguém tenta reinventar essas rodas, alguma coisa sempre acaba saindo errada. E o pior: muitas vezes quem desenvolve nem percebe que elas estão erradas. Quando se reusa uma solução já pronta, é claro, tem sempre a chance dela ser uma solução ruim, não estou negando isso. Mas a chance é muito maior dela ser mais eficaz do que o que você pretendia fazer à mão.

Concluindo então, minha recomendação é sempre considerar usar o que já está pronto antes de tentar fazer algo você mesmo. Se você sabe bem o que quer, e sua framework faz exatamente aquilo que você quer, use-a! Só implemente algo à mão quando aquilo for substancialmente diferente daquilo que você procura, ou talvez quando você busca algo que vai além do que o que lhe é oferecido (e muitas vezes isso acaba sendo mesmo necessário, falando por experiência própria...).

2
  • Ok @mgibonbr. De acordo com esta questão: pt.stackoverflow.com/questions/32533/… agora eu pergunto: É flexivel a forma como os frameworks tratam desta questão ou teremos de ser sempre nós a fazermos?
    – Cold
    Commented 15/09/2014 às 16:26
  • Aí vai depender do que o framework tem a oferecer... Como falei no último parágrafo, tem situações em que o que você quer vai além do que é oferecido, nesse caso só resta buscar uma solução externa (ex.: uma biblioteca) ou implementar você mesmo. Não conheço muitas frameworks, mas sei que o Django não oferece nada disso (é preciso usar algo como o django-axes ou django-ratelimit, de terceiros). Outras podem ter recursos nativos pra isso.
    – mgibsonbr
    Commented 15/09/2014 às 18:21
1

@ColdHack,

acredito que utilizar um framework para segurança é a melhor escolha. Pois os frameworks são desenvolvidos por uma equipe maior, com uma comunidade maior, onde os bugs são em sua grande maioria descobertos e reportados. Reduzindo as suas falhas de um modo bem significante. Enquanto a segurança desenvolvida na unha, será testada apenas por sua equipe, uma falha de segurança pode ser descoberta por alguém mal intencionado que não reporte ela a você.

Essa é a minha opnião, não sou nenhum especialista em segurança, mas pelo que já vivi até hoje é isso ai.

Espero ter ajudado.

1
  • Obrigado pela resposta @Rubico. Em contrapartida, vej que frameworks normalmente são conhecido por muita gente, e estudar a lista de bugs existentes neles, só facilita o processo de ataque. Contudo tens toda a razão, pois uma equipa maior e especializada conhece melhor e tem melhores técnicas.
    – Cold
    Commented 15/09/2014 às 15:11

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .