Node.jsを開発環境で使用するのにあたって、セキュリティ問題について

Question

自社の開発環境にnode.jsを導入しています。

基本、コマンドで動かすので問題はないと思っています。
Node.jsのコミュニティーにも伺ったのですが、問題ないとおっしゃられていました。

ですが、私は懸念している箇所があり、そこの部分の知見に自身がないので、
ご教授いただきたく思います。

FTPの接続やWEBサーバーを立ち上げたりと、ローカルの外で通信する事もあるかと思うのですが、
その時、セキュリテイ的には問題ないのでしょうか？

どうか、宜しくお願い致します。

Comments

[y_waiwai]

あなたの懸念している箇所というのはなんですか？

[masaru_free]

申し訳ありません。わかりずらい文章になっています。FTP接続時とlocal serverを立てた時です。

[y_waiwai]

その立てたときにどういう懸念があるんですか？あなたの考えるセキュリティ的な問題とは何でしょうか？

Answer 1

全体的に言葉が足りません。

基本、コマンドで動かすので問題はないと思っています。

Node.jsのコミュニティーにも伺ったのですが、問題ないとおっしゃられていました。

そもそも問題ってなんですか？
問題というのは「理想と現実のギャップ」ですので、
理想と現実の2点及びそのギャップがなければ問題なんてどこにもありません。

「セキュリティ問題」なんてあるものを堂々と公開するおバカはいませんので、
コミュニティで質問しても基本的には「問題ない」が返ってくるのは当然です。

FTPの接続やWEBサーバーを立ち上げたりと、ローカルの外で通信する事もあるかと思うのですが、

これらのやりたい事はNode.jsとはどう関係するのですか？
Node.jsはWebサーバを簡単に構築出来るプログラミング言語ですので、「Node.jsでWebサーバを立ち上げる」のは理解出来ます。

「FTPの接続」とはなんでしょうか？
恐らくNode.jsで何かしらの情報をまとめたファイルを生成し、
そのファイルを特定のサーバへFTP接続で転送したいと思うのですが、その懸念ということで次行へ続きます。

その時、セキュリテイ的には問題ないのでしょうか？

それは他人に聞くことではありません。

基本的にプログラミング言語は書いたようにしか動きません。
書いてない事が実行されたら、それは「Node.js自体のとんでもないバグ」や「コンピュータ・ウィルス」などと呼ばれます。

Node.jsにそんな機能が含まれていればあっという間に拡散され開発者が叩かれ、
ひどい場合は刑事事件として逮捕される程の案件になりますから、うっかり不具合を盛り込まない限り安全と考えて良いでしょう。

しかし、「プログラミング言語は書いたように動く」ので、
自分で勝手に取引先に機密情報を漏洩するコードを書いて実行したとしても、
Node.jsの開発者を含めて誰も尻拭いはしてくれません。

企業なら「特定の部署が認定したソフトウェアしか使ってはならない」といった社内規定がある可能性がありますので、
そのへんやリスクを承知で使うようにしてください。

Answer 2

FTPの接続やWEBサーバーを立ち上げたりと、ローカルの外で通信する事もあるかと思うのですが、

その時、セキュリテイ的には問題ないのでしょうか？

どんな言語に限らずうまくやらなければセキュリティ的に問題あります。
外と通信するということは、通信して良いものと通信して良くないものが出てくるということです。
見ていい人と見られてはいけない人も出てきます。
これは通信をしたい人の需要によります。

「問題ない」というのは自分で考えなくても、言語やライブラリの方でよしなにしてくれる、ということでしょうか？

それにセキュリティホールのないプログラムはこの世に存在しないので、あとはリスクとリターンの話ですよ。
これはNode.jsに限った話ではありません。

セキュリティはミスると大変なことになるので、自信がないのならお金を払ってコンサルを雇うべきです。

---

ちゃんとセキュリティを扱うのならアプリケーションレイヤーだけでなく、ネットワークインフラレベルまで考える必要があります。
脆弱性にもよりますし、リバースプロキシなどのクッションを挟んだりもします。
どこまで考慮できているのかわかりませんが、世の中にはhttpのポートだけ変えた「セキュリティ」もありますし、愉快犯でなければ価値のない情報を外に出してもそんなに攻撃されませんよ。
逆に…

Answer 3

よく「セキュリティは大丈夫なの？」という声を聞きますけど、
それに答えるには、まず心配しているセキュリティリスクを具体的に挙げる必要がありますね。
（気持ちは分かりますけど。。）

不正アクセスを防ぎたいのか、不正アクセスは仕方ないとして改竄を防ぎたいのか、
その辺を具体的にしないと、恐らく悩みは尽きないと思います。

Answer 4

セキュリティを気にする人がSCPやSFTPじゃなくて、FTP使う意味わからん。