ngrok可以安全使用还是可以被泄露？

Question

ngrok是一个安全的工具吗？我正在阅读一个教程,建议使用ngrok测试API响应,我对外部服务也需要连接到我的端点.

Answer 1

它为您的开发机器打开了一条隧道，该隧道部分由隐匿性（难以猜测的子域）保护，并且可以通过需要密码来进一步保护。但是你仍然对 ngrok 本身敞开心扉，而且公司是完全不透明的（没有地址、没有员工、没有公司名称、没有 LinkedIn 的存在；我能找到的是它有 1-10 名员工并且是私人的；没有甚至确定它位于哪个国家）。最重要的是，代码不是开源的。没有理由认为它们不合法，但可用于建立信任的信息并不多。

您可以通过对流量进行加密来更安全地使用 ngrok 和其他本地隧道服务。有关更多信息，请参阅https://security.stackexchange.com/questions/177280/end-to-end-encryption-for-localtunnel-ngrok-setup/177357#177357。

Answer 2

我发现了很好的评价,但这里有空洞的信息:

http://www.scamadviser.com/is-ngrok.com-a-fake-site.html

对我来说是踢球者

https://developer.atlassian.com/blog/2015/05/secure-localhost-tunnels-with-ngrok/

Atlassian人员高度推荐它.

我想我会用它.

Answer 3

考虑到它在2014年作为一个开源项目开始,版本2.0没有可用的源代码.我怀疑任何代码都会从云打开到我的localhost的隧道.非常可怕的东西,特别是没有源代码!

Answer 4

如果有人担心损害他们的开发环境，您可以使用 Docker。有很多 ngrok/docker 项目，但这里是我选择的一个：https : //github.com/gtriggiano/ngrok-tunnel

对于 macOS，请使用“TARGET_HOST=docker.for.mac.localhost”

Answer 5

他们现在提供一项服务，您只需在本地运行 ssh，无需在您的计算机上运行他们的任何代码。

你运行类似的东西ssh -R 80:localhost:8501 tunnel.us.ngrok.com http。这将连接到他们的主机之一，并将他们收到的连接转发回您的计算机和您在 localhost:8501 上运行的服务。

这对我来说似乎很安全，唯一的事情是您不知道他们收集哪些信息以及谁正在连接到您公开的服务。他们打印所有连接，但这是他们的二进制文件执行此操作，并且有人很可能在您不注意的情况下监听。您可以检查您一端的连接，但您无法确定是谁连接的。