安全評估公司SecurityScorecard最近對特朗普、克魯茲、克林頓、桑德斯和卡西奇的競選網站做了分析對比。研究結果表明：共和黨領跑者唐納德·特朗普的網站在安全性方面傲視群雄，民主黨領跑人希拉里·克林頓還需要做很多工作才能趕得上。
SecurityScorecard專業(yè)提供對各類組織的安全評估服務，采用多種對外屬性進行衡量。今年2月，該公司拋出了一項第三方供應商安全狀況評估的新業(yè)務。很多組織面臨的風險，其實通常不局限在他們自己的基礎設施中，而是存在于第三方供應商引入的共享組件中。
該公司首席研究官埃德表示，SecurityScorecard對總統(tǒng)參選人網站的分析并未使用任何入侵滲透測試，只是建立在被動分析上的，僅僅觀測了網站的IP地址和審查了網站源代碼。
很多現(xiàn)代網頁瀏覽器依然保有讓任何用戶僅僅通過點擊“查看源代碼”就能順利獲得站點源碼的功能。通過審查這些代碼，發(fā)現(xiàn)站點所用的內容管理系統(tǒng)(CMS)和插件不是什么難事。
總統(tǒng)參選人們的網站展現(xiàn)出了一些有趣的共同點。特朗普、克魯茲和桑德斯都選擇了安全廠商CloudFlare提供的分布式拒絕服務(DDoS)防護和Web應用防火墻(WAF)?？ㄎ髌婧涂肆诸D的網站都托管在亞馬遜Web服務上，且二者都沒有部署DDoS/WAF防護。
?
No.1 唐納德·特朗普
特朗普的網站采用了一款內容管理系統(tǒng)，且配置良好，沒有暴露出管理界面。另外，貝寶(PayPal)的BrainTree支付處理系統(tǒng)，以及共和黨VictoryParty.com支付處理器也應用到了特朗普的網站上。
這并不是說特朗普的網站就無懈可擊，但從外部觀察，他的網站確實運作良好。
最近幾周，激進黑客組織“匿名者(Anonymous)”公開宣稱要對特朗普的競選開戰(zhàn)——雖然到現(xiàn)在也沒能成功拿下特朗普的網站。酒店網站倒是遭到了DDoS攻擊，但特朗普的主要競選網站尚未經歷過任何宕機時間。抵擋“匿名者”組織潛在攻擊之功，恐怕要記在CloudFlare對網站防護的增強上。雖然上周左右訪問donaldjtrump.com站點的人可能會感受到一點點的延遲，但網站依然堅挺，沒有被拿下。
?
No.2 泰德·克魯茲
排名第二安全的競選網站是tedcruz.org，歸屬克魯茲。DDoS和WAF防護與特朗普的網站相同，都采用了CloudFlare。但內容管理系統(tǒng)并沒有采用特朗普所用的Drupal，而是選擇了開源的WordPress。Drupal的管理界面是隱藏了的，WordPress則在某種程度上跟暴露在外也沒什么區(qū)別。而且，克魯茲所用的特定WordPress模板主題也很好認出——Kleo。這些都會帶來潛在的安全風險。對攻擊者而言，拿下克魯茲的網站，不過是坐等漏洞出現(xiàn)而已。
?
No.3 & 4 伯尼·桑德斯 希拉里·克林頓
民主黨一邊，桑德斯的berniesanders.com要優(yōu)于克林頓的hillaryclinton.com——雖然二者在整體安全性上都落后于特朗普和克魯茲的網站。桑德斯的防護組合是CloudFlare和WordPress CMS。不過，與克魯茲一樣，桑德斯也沒有隱藏起管理頁面。
克林頓的網站與克魯茲和桑德斯的都不一樣，沒有采用開源CMS，而是用了自定義的內容管理。不用開源平臺未必會讓她的網站更不安全，但確實會引起一些安全方面的顧慮。
如果開源CMS合理配置，那唯一會遭到的攻擊就只剩真正的零日漏洞利用了。但對自定義的站點來說，有更多的組件需要仔細檢查。
商業(yè)CMS，比如開源的Drupal和WordPress應用，有龐大的社區(qū)做后盾，常年都有一大幫人在檢查安全問題，改進應用功能。
