在没有 VPN 的情况下公开公开开发/团队工具是否安全？

Question

我们希望拥有自托管的 slack 替代方案（最重要的是，rocket.chat），但将其隐藏在 VPN 后面对我们的某些用户来说是不舒服的。

如果它不公开，我会感到更安全，但它到底有多大风险？

我相信这个问题可以应用于所有开发应用程序，例如：gitlab、redmine 等。

Answer 1

您可以通过查看您感兴趣的每个包的更新节奏和特定于安全的发布信息来进行评估。

对于那些在没有防火墙或 VPN 保护的情况下公开运行第三方/开源应用程序的人来说，常见的情况是他们未能保持应用程序及其依赖项的更新，然后在它们过时后的一段时间内，他们的系统会受到损害。

使用 Wordpress 之类的东西，从公布安全问题到妥协尝试之间的时间最短，攻击可以在几分钟内开始。

但是所有开源应用程序都存在安全问题，需要稳定的更新速度，并且会让攻击者寻找表示漏洞的签名。

这种姿势是否对您构成重大风险高度依赖于环境，包括妥协和暴露的影响、攻击者可能对您的吸引力，以及替代方法的成本（财务、人力和运营）。

通常人们在聊天中会有对公司敏感的信息，当然开发工具也有重要资产的保管权。但是从攻击者的角度来看，海里有很多鱼，许多高度脆弱的系统不会受到损害。

然而，这就是人们最终使用 SAAS 服务的原因，除非他们有自我托管的战略需求，并且能够在比业余爱好者更专业的水平上做到这一点。对于最终的某些定义，爱好者托管最终将不可避免地以妥协告终。