Содержание
Opennet security top
Источник: http://wiki.opennet.ru/SecurityTop
Безнадежные с точки зрения безопасности программы (нельзя использовать)
Авторы этих программ совершенно не думают о безопасности и совершают одни и те же ошибки. С большой степенью вероятности можно утверждать о наличии в этих программах не выявленных в настоящее время проблем.
- qpopper
- sendmail
- bind 8
- proftpd
- wuftpd
- wu-imap
- phpBB (было актуально для phpBB 2; phpBB 3 был переписан с учетом проблем, произведен аудит кода, но тем не менее уязвимости все равно всплывают)
- phpMyAdmin
- Webmin
- PHP-Nuke
- fetchmail
- OCS Inventory NG
- Joomla
Безопасность хромает, но приходится использовать (только в chroot)
Программы написаны без оглядки на безопасность, но в виду отсутствия альтернатив их приходится использовать (обязательно заключив в chroot окружение).
- php
- inn
- MySQL
- net-snmp
- ClamAV (drweb и kaspersky не лучше)
- Samba
- Cyrus-imap
- Courier-imap
- dhcpd
- ntpd
- OpenSSL
- oops
В целом безопасность нормальная, но были прецеденты (желательно в chroot)
- apache
- lighttpd
- OpenSSH
- exim
- bind 9
- PostgreSQL
- squid
- snort
- powerdns
- CommunigatePro (proprietary)
- dovecot IMAP (написан с оглядкой на безопасность, но было несколько мелких уязвимостей)
- nginx (одна критическая уязвимость)
Программы с отличной безопасностью (можно без chroot)
- popa3d
- vsftpd
- qmail
- djbdns
- postfix
- openntpd
Примечание
Следует отметить, что данный список носит рекомендательный характер и отражает субъективное мнение автора и людей, вносящих в него изменения. Если программа указана как небезопасная, это не значит, что в ней в данный момент есть уязвимость и что она не может быть использована. Это значит, что неоднократное нахождение в данном продукте похожих проблем безопасности и предварительная оценка исходных текстов, дает основание предположить, что авторы данной программы халатно относятся к исправлению ошибок безопасности и не пытаются исправить ситуацию в положительную сторону, изменив подход к написанию кода и проведя полный аудит исходных текстов.
Обсуждение