Czy poddomena hostowana zewnętrznie stanowi zagrożenie dla bezpieczeństwa?

12

Firma, dla której opracowuję witrynę, chce zachować swoją bieżącą domenę, co przypomina firma.parentcompany.com. Ponieważ chcieliśmy zastosować inny CMS, firma macierzysta odmówiła wsparcia, a nawet hostowania go i poprosiła nas o zapłatę za hosting stron trzecich.

Teraz, gdy to zrobiliśmy, nie będą tworzyć rekordu A dla subdomeny wskazującego na nowy serwer, stwierdzającego, że jest to zagrożenie bezpieczeństwa. W żadnym wypadku nie jestem ekspertem od DNS, ale dla mnie to brzmi jak całkowita BS. Widziałem to kilkakrotnie, ale nigdy nie widziałem, aby ktoś podnosił kwestie bezpieczeństwa.

Czy mogę z tym walczyć, czy naprawdę mają rację?

security dns subdomain Będzie
źródło

Odpowiedzi:

6

Różne subdomeny mogą udostępniać pliki cookie (w zależności od użytej ścieżki pliku cookie), a zatem strona trzecia może kraść pliki cookie używane do uwierzytelniania w głównej domenie. Dzieje się tak również w przypadku zhakowania twojego CMS-a.

Możesz uzyskać nową domenę dla nowej witryny i skonfigurować przekierowanie na starej domenie. To powinno rozwiązać większość problemów związanych z bezpieczeństwem.

Mogą również występować pewne problemy dotyczące skryptów między witrynami. Wydaje mi się, że twoja witryna hostowana zewnętrznie może mieć możliwość wysyłania żądań do witryny nadrzędnej za pomocą plików cookie tej witryny. Ale nigdy tego nie próbowałem, więc nie wiem, czy przeglądarki również wysyłają .parentsitepliki cookie.

CodesInChaos
źródło
O ile mi wiadomo, wszelkie pliki cookie z witryny nadrzędnej mają domenę .parentcompany.com (i ścieżka /), a wszelkie usługi wymagające uwierzytelnienia wydają się i tak znajdować się w osobnych poddomenach (jak rozumiem, ten rodzaj ataku tylko dotyczy domeny nadrzędnej, a nie innych subdomen?). Ponieważ zależy to od sposobu, w jaki domena nadrzędna generuje pliki cookie, czy to nie obciąża ich bezpiecznymi plikami cookie?
Nie jestem tego pewien. Mogą istnieć inne sposoby uznania różnych poddomen za część tej samej strefy zaufania.
Dobrze. Dzięki za wgląd. Chyba też będziemy musieli zapłacić za naszą własną domenę. Zwykle nie nalegałbym na używanie subdomeny, ale „firma macierzysta ” pobiera 30 USD miesięcznie (jako „opłatę konsultacyjną”!) Tylko za subdomenę !!! A teraz wszystko, co robią, to przekierowanie!