Na kratko: Statična spletna stran je sestavljena iz gotovih datotek HTML, CSS in slik, ki jih spletni strežnik le streže. Ker na strežniku ne tečeta PHP in podatkovna baza, vrzeli, kot so PHP2Shell, vbrizgavanje SQL ali vneseni webshelli, kot tveganje večinoma odpadejo. Za varnost statične spletne strani štejejo druge stvari: zaščiteni dostopi do gostovanja, domene in orodij za gradnjo, vzdrževane odvisnosti in skrbno izbrane tuje storitve. Primerna je predvsem za spletne strani, ki se redko spreminjajo in ne potrebujejo računov strank.
Zakaj se vprašanje postavlja ravno zdaj
PHP2Shell je mnogim podjetjem pokazal, koliko je odvisno od ene same komponente. Spletna stran podjetja z desetimi stranmi, ki se posodobi enkrat na četrtletje, je tekla na istem PHP kot velika spletna trgovina in bila zato izpostavljena isti kritični vrzeli. Po poročanju medijev so celo organi in občine spletne strani preventivno izklopili.
Tu je vprašanje na dlani: Ali za svojo spletno stran sploh potrebujemo PHP na strežniku? Pri mnogih malih in srednje velikih podjetjih je pošten odgovor: za strežbo pogosto ne. PHP stran ob vsakem klicu ustvari znova, čeprav se vsebina že tedne ni spremenila. Kako to tehnično poteka, opisuje Kako PHP ustvari spletno stran. Kaj vrzel sama pomeni, pojasnjuje Kaj je PHP2Shell?.
Kako deluje statična spletna stran
Pri statični spletni strani se stran ne ustvari ob obisku, ampak prej. Generator statičnih strani, na primer Hugo, Jekyll ali Eleventy, vzame besedila, slike in predloge ter iz njih zgradi gotove datoteke. Te datoteke se naložijo na preprost spletni strežnik ali v omrežje za dostavo vsebin (content delivery network), torej porazdeljeno omrežje strežbe.
Za urednike je lahko pred tem orodje za urejanje, ki sprejme spremembe in sproži novo gradnjo. Deloma se za to uporablja tako imenovani headless CMS, ki samo upravlja vsebine in sam ne mora biti javno dosegljiv. Obiskovalec od tega ne vidi ničesar; prejme le gotove datoteke.
Statična spletna stran in varnost v primerjavi
| Merilo | Dinamičen CMS PHP | Statična spletna stran |
|---|---|---|
| Programska logika na javnem strežniku | Da, ob vsakem klicu | Ne |
| Tveganje zaradi vrzeli v interpreterju PHP | Da, kot pri PHP2Shell | Na strežniku za dostavo odpade |
| Podatkovna baza javno povezana | Da | Ne |
| Značilna vhodna vrata | Vtičniki, skrbniška prijava, nalaganja, strežnik | Dostopi do gostovanja, domene, sistema za gradnjo, tuje storitve |
| Obrazci, iskanje, račun stranke | Vgrajeno | Samo prek zunanjih storitev ali ločenih funkcij |
| Napor vzdrževanja za urednike | Majhen, običajen vmesnik | Odvisen od uredniškega orodja |
| Vzdrževanje | Redne posodobitve CMS, vtičnikov in PHP | Posodobitve orodij za gradnjo in odvisnosti |
| Primernost | Trgovine, portali, mnogo urednikov, pogoste spremembe | Spletne strani podjetij, pristajalne strani, dokumentacija |
Tabela kaže: napadalna površina se premakne, ne izgine. Namesto javno dosegljivega strežnika PHP morate zaščititi račun pri ponudniku gostovanja, domeno, cevovod za gradnjo in po potrebi uredniško orodje.
Katera tveganja pri statičnih spletnih straneh ostanejo
Prvič, dostopi. Kdor prevzame račun gostovanja, dostop do domene ali repozitorij kode, lahko spletno stran spremeni, povsem brez PHP. Dvofaktorska prijava in osebni računi so zato obveznost.
Drugič, odvisnosti. Generatorji in predloge pogosto prinesejo mnogo paketov, na primer iz npm. Ti morajo ostati ažurni, ker lahko ogrožena odvisnost ob gradnji zapiše škodljivo kodo v gotove datoteke. Kako to organizirate, opisuje Ohranjanje odvisnosti ažurnih.
Tretjič, tuje storitve. Storitve za obrazce, iskanje, orodja za analizo in vključeni skripti tečejo v brskalniku obiskovalcev ali na tujih strežnikih. Vsaka od teh storitev je odnos zaupanja, tudi z vidika varstva podatkov.
Četrtič, stran brskalnika. Tudi statična stran naj nastavi varnostne glave, na primer Content-Security-Policy, ki določa, kateri skripti se smejo nalagati. Osnove so na strani Varnostne glave za spletne strani.
Pred prehodom preverite, katere funkcije vaša spletna stran res uporablja. Pogosto jih je manj, kot se misli: strani, slike, kontaktni obrazec. Potem je pot do statične spletne strani krajša, kot se sprva zdi.
Za koga se prehod splača in za koga ne
Dobro primerna je statična spletna stran za strani podjetij s pregledno velikostjo, pristajalne strani za kampanje, dokumentacijo izdelkov in karierne strani. Prehod se še posebej splača, če dosedanja spletna stran teče na stari različici PHP in bi nadgradnja tako ali tako prišla na vrsto.
Manj je primerna za spletne trgovine, portale za stranke, sisteme za rezervacije in spletne strani z mnogimi uredniki, ki objavljajo vsak dan. Tu ostaja dinamičen sistem smiseln. Pomaga lahko mešana oblika: trgovina ostane dinamična in dobro utrjena, priročniki in strani podjetja se strežejo statično.
Pogosto podcenjena prednost se pokaže v skrajnem primeru. Ker je gotove datoteke vedno mogoče znova zgraditi iz predlog in vsebin, je mogoče manipulirano spletno stran hitro vrniti na znano, čisto stanje. Predpogoj je, da so vsebine in predloge v zaščitenem repozitoriju, da se spremembe sledljivo beležijo in da nihče ne ureja datotek neposredno na strežniku.
Ponudnika varnosti za prehod ne potrebujete nujno; to lahko prevzame agencija ali razvijalec. Če je bila dosedanja spletna stran ogrožena, pa je treba vsebine pred prevzemom preveriti. Nanj se nanaša Po vdoru zamenjati CMS?.
Kako PHP SOS pomaga konkretno?
- Preverimo, katere funkcije vaša spletna stran dejansko potrebuje, in odkrito povemo, ali je statična rešitev primerna.
- Ob prehodu zavarujemo dostope do gostovanja, domene in sistema za gradnjo z dvofaktorsko prijavo in osebnimi računi.
- Preverimo tuje storitve in nastavimo varnostne glave, da je nova spletna stran dobro zaščitena tudi v brskalniku.
- Za sisteme PHP, ki ostanejo, prevzamemo posodobitve in nadzor v pogodbi o varnostnem vzdrževanju.
Sklep
Statična spletna stran ni vsezdravilo, je pa za mnoge strani podjetij najpreprostejši način, da se znebite celotnega razreda tveganj. Kjer PHP ne teče, PHP2Shell ne more narediti ničesar. Pridobljena varnost pa zdrži le, če dostope, odvisnosti in tuje storitve jemljete enako resno kot nekoč strežnik.
Pogosta vprašanja
Ali je statično spletno stran kljub temu mogoče vdreti?
Da. Odpade strežniška programska logika in s tem velik razred napadov. Napadljivi ostanejo dostopi do gostovanja, domene in sistema za gradnjo, vključene tuje storitve in orodja, s katerimi se stran ustvari.
Ali ima lahko statična spletna stran kontaktne obrazce?
Da, prek zunanje storitve za obrazce ali male, ločeno upravljane funkcije. Obdelava podatkov je potem pri tej storitvi. Pred vključitvijo razjasnite varstvo podatkov in obdelavo po naročilu.
Ali lahko uredniki statično spletno stran vzdržujejo sami?
Z ustreznim uredniškim orodjem da. Mnoge rešitve nudijo vmesnik za urejanje, iz katerega se stran nato znova ustvari. Za ekipe, ki vsak dan spreminjajo veliko vsebin, je klasičen CMS pogosto udobnejši.
Ali se prehod splača za spletno trgovino?
Običajno ne v celoti. Košarica, račun stranke in plačilo potrebujejo strežniško logiko. Mogoče je dele, kot so priročniki ali strani podjetja, streči statično, trgovino pa upravljati ločeno.