Javascript Los comentarios son un riesgo de seguridad?

Question

Durante una auditoría PCI recient el auditor dijo que teníamos grandes riesgos de seguridad debido

1. Fue posible descargar recursos estáticos de nuestro sitio web, como imágenes CSS y JavaScript sin autenticación previa.
2. Nuestro javascript tiene comentarios en él.

Personalmente, creo que esto no supone ningún riesgo para la seguridad. Las imágenes css y javascript no se crearon dinámicamente y no contenían datos en nuestro back-end, los detalles de nuestros clientes y los mecanismos.

Los comentarios en el javascript fueron simplemente explicando lo que hicieron los métodos en el archivo javascript. Cualquiera que lea JS podría haberse enterado de todos modos.

¿Cómo se ve esto "information leakage"?

¿Los comentarios dentro de javascript son realmente un riesgo de seguridad?

Answer 1

Dependiendo de cuán estricta sea la auditoría, descargando imágenes, etc., sin autenticación PODRÍA verse como un riesgo de seguridad (piense en diagramas, cuadros, gráficos ...).

Eliminar comentarios en el javascript es como ofuscar el código: lo hace un poco más difícil, pero no imposible de entender lo que está pasando. JavaScript debe verse como una mejora; solo de todos modos, toda su seguridad debe estar (duplicada) en el lado del servidor. Hacer que alguien entienda lo que hace el JS no debe considerarse un riesgo.

Answer 2

Sin entrar en ellos si son un riesgo de seguridad o no, minimice su JS en entorno de producción, esto evitará la "fuga de información" y ayudará (de alguna manera al menos) a proteger la información de su sitio web.

con respecto al riesgo de seguridad, no creo que los comentarios de JS sean un riesgo en absoluto, cada contenido del sitio web (estático) se puede descargar sin autenticación. (a menos que se defina lo contrario)

Answer 3

No si solo revelan cómo funciona el código. Cualquier persona suficientemente determinada podría descubrir eso de todos modos.

Dicho esto, probablemente sea una buena idea minificar el JavaScript; no por seguridad, sino porque reducirá los tiempos de descarga y, por lo tanto, hará que su sitio sea un poco más receptivo.

Answer 4

Los comentarios de JavaScript pueden ser. depende de su lógica, pero sin duda, ya que está disponible públicamente, le está dando más visibilidad al funcionamiento de su código.

También hay otras razones para eliminar esto, como el tamaño del archivo y, como resultado, el tamaño de descarga.

Herramientas como asd JSMin pueden ayudarlo a eliminar los comentarios y realizar una ofuscación cruda del código.

Answer 5

Depende del contenido del comentario. Debido a que no hay forma, sin intervención humana, de examinar el contenido de los comentarios para determinar si son riesgosos, la manera más eficiente de auditar esto es declarar todos los comentarios en el código fuente del cliente como riesgosos.

Los siguientes son ejemplos de comentarios potencialmente peligrosos.

// doesn't really authenticate, placeholder for when we implement it. 
myServer.authenticate(user,pass); 

o

// don't forget to include the length, 
//the server complains if it gets NaN or undefined. 
function send_stuff(stuff, length) { 
... 
} 

o

function doSomething() { 
    querystring = "" 
    //querystring = "?TRACING_MODE=true&" 
    ... 
    //print_server_trace(); 
} 

Otro ejemplo podría ser si se incluye una cabecera de la historia código fuente, alguien podría ser capaz de encontrar alguna debilidad en la seguridad mediante el examen de los tipos de errores que han sido corregidos. Al menos, un cracker podría ser capaz de dirigir mejor sus ataques, si sabe qué vectores de ataque ya se han cerrado.

Ahora, todos estos ejemplos son malas prácticas de todos modos (tanto los comentarios como el código), y la mejor manera de evitarlo es teniendo revisiones de código y buenos programadores. El primer ejemplo es especialmente malo, pero las advertencias inocentes a los compañeros de equipo, como el segundo ejemplo o el código de depuración comentado, como el tercero, son los tipos de agujeros de seguridad que podrían pasar por la red.