O objetivo pode ser diverso, mas o ataque de crackers a uma loja virtual terá sempre as mesmas consequências, queda nas vendas e redução da confiança do consumidor em relação à segurança da página em que ele navega. E qualquer uma delas é nociva para a saúde financeira da empresa, que sem vendas pode falir. As plataformas open source aumentam os riscos de invasões e ameaçam a posição de mercado dos sites de comércio eletrônico.
O código aberto expõe as falhas de segurança da plataforma, de forma que um ataque prejudique várias empresas, em um curto espaço de tempo. Por exemplo, em um período de dez dias, de 24 de julho a 3 de agosto, cerca de seis milhões de páginas que utilizavam plataforma em código aberto OS Commerce foram infectadas por malwares, segundo reportagem do site IDG Now!. Os responsáveis pelo ataque se apoiaram em vulnerabilidades da plataforma, corrigidas nas novas versões do programa, porém que permaneceram sem atualização de seus usuários.
Rodrigo Garcia, diretor de tecnologia da informação da JET Tecnologia, explica que os sistemas open source estão disponíveis para qualquer internauta. “É como se tivéssemos um raio-x de uma porta e soubéssemos tudo o que está por trás dela. Essas informações facilitam, em muito, o trabalho de hackers mal-intencionados”, diz ele, que ainda acredita que o maior atrativo para a escolha das plataformas em código aberto seja o preço, que no final pode superar o previsto.
Infraestrutura
As customizações, aspectos que diferenciam as empresas no acirrado mercado competitivo, também acabam prejudicadas e contratar um profissional especializado em tecnologia para e-commerce para estabilizar a operação da loja, entre várias outras demandas, pode sair muito caro, elevando o valor inicial de contratação para além das possibilidades financeiras do empreendedor. Para Garcia, esses aspectos de risco fazem da plataforma no modelo Software as a Service – SaaS, mais adequada.
Com o SaaS, a loja passa a contar com uma infraestrutura indispensável para operar com disponibilidade de 24 horas por cada um dos sete dias da semana, durante o ano todo. “Ao escolher uma plataforma de Software as a Service, a sua loja será hospedada em uma ambiente protegido por Firewall, IDS, Servidores Redundantes e Storages. É muito dificíl e, caro, contratar uma solução open source e ter ainda que bancar com o custo de toda essa infraestrutura”, completa o diretor de tecnologia da informação.
A decisão mais importante
Um dos momentos mais importantes para uma empreitada segura no mundo dos negócios virtuais é o da escolha da plataforma. É uma fase delicada, onde é preciso contemplar todas as estimativas da empresa para se chegar ao modelo ideal, caso contrário, a plataforma poderá barrar o futuro de crescimento.
Encontrar um sistema que permita a integração com outras ferramentas importantes ao bom desempenho da loja virtual é outro aspecto fundamental, e às vezes subestimado. Garcia lembra como ter Enterprise Resource Planning (ERP) pode agilizar os processos e evitar o retrabalho. “A integração inconsistente ou não eficiente coloca em risco todos os negócios da empresa. Imagine que a empresa venda um produto para o Natal e que ele não chegue até o cliente porque a integração falhou. Esse cenário traz grandes consequências negativas irreversíveis”, observa.
Depois de conhecer os riscos e limitações de uma plataforma open source, você ainda optaria por ela para começar a vender pela internet?
Não concordo!
O fato da plataforma ser open-source ou de código proprietário não é um fator de maior relevância a ser analisado quanto à segurança, mas, ao contrário, a maneira como as regras e a abordagem da segurança são feitas e implementadas, à partir de uma gestão e governança de TI voltadas para melhores práticas é que irão determinar a maior garantia.
É justamente a respeito dessa implicações que falamos neste último post. Dá para ter todas as necessidades atendidas com a plataforma open source, mas não de forma barata. Também não há infraestrutura em TI que suporte os bugs do código-fonte. As versões para corrigir essas vulnerabilidades ficam disponíveis, mas nem sempre os empresários entendem suficientemente do assunto (ou são informados), o que mantém as brechas abertas para ataques, do tipo SQL Injection, prática comum de hackers. O que leva à pergunta: quando se tem acesso a uma plataforma com o suporte de uma equipe preparada, somada a uma infraestrutura de TI eficiente, sem que a empresa adicione outro custo ao já acordado em contrato, ainda é viável partir para a escolha de contratar um sistema em código aberto, onde as vulnerabilidade podem ser exploradas mais facilmente? Obrigada por participar. O debate enriquece o conteúdo.
Concordo com a intenção da matéria em alertar sobre os perigos de soluções open source mal administradas e mal configuradas. Profissionais com conhecimento suficiente para garantir a segurança desse tipo de aplicação são difíceis de se encontrar, ainda mais com conhecimento em boas práticas quando se fala em e-commerce. E digo ainda que quando se encontra algum, o valor cobrado por hora é exorbitante e o valor do projeto vai lá para as nuvens, muitas vezes inviabilizando a escolha pelo open source.
Outro ponto que destaco, e digo por expericência própria, é o fato de que essas soluções “download e instale” soltam inúmeros releases e correções. Imagine-se administrando isso tudo, sem o apoio de um profissional full time para checar cada atualização e o impacto delas em um projeto customizado?
Infra estrutura é importante sim, mas mesmo o projeto de TI mais robusto e seguro não impede desastres quando o buraco está no software.
Parabéns pela matéria, pois serve mesmo de alerta para quem enxerga no open source a salvação do mundo.