我将 Jungle Disk 客户端安装到我们的一台网络服务器上进行试用，但我担心使用该应用程序的安全风险。
它使用 .DEB 或 .RPM 包进行安装，具体取决于您选择的操作系统。安装后，JD 服务器可以查看和修改我的文件。我没有在防火墙中打开任何端口，并且在非标准端口上使用 SSH。我担心这种行为类似于特洛伊木马。什么可以阻止坏人创建自称是“Jungle Disk”的服务器并访问我的文件系统？
JD 文档说文件是通过 SSL 传输的。由于我没有为此设置 SSL，我猜测我机器上的软件充当运行 SSL 的服务器的客户端。SSL 本质上可以防止中间人攻击，并作为一种验证形式，但证书会过期。他们一定有某种方法可以向客户端推送新的证书列表，以防他们更改证书或 CA？在这种情况下，黑客难道不能向软件推送更新，将客户端程序指向恶意服务器吗？
我们需要保持 PCI 合规性，因为我们的生产服务器（不是我测试的服务器）会从消费者那里获取信用卡信息。但我也担心我的服务器会受到攻击。
为了符合本网站的目的，我的具体问题是：
Jungle Disk 的最新版本（包括 3.16）是否存在已知漏洞？
我应该特别注意什么？任何您是否应该选择云备份提供商来表明他们的解决方案是安全的，而不是仅仅相信他们说的？例如，SAS 70 类型 II 认证的数据中心已经通过审核，并被发现符合某些安全要求。
更新：
我已通过支持票将以下内容发送至 Jungle Disk：
我对 JungleDisk 的安全性有些担忧。
一旦安装了 .DEB 包，您的服务器就可以查看和访问我的文件，即使我没有打开任何端口，也没有向 Jungle Disk 用户授予文件级权限。虽然此功能对于备份工作必不可少，但它确实引发了一些担忧。也就是说，它为恶意个人或组织创建了一个攻击面。采取了哪些措施来防止未经授权的服务器以 Jungle Disk 管理员的身份出现在我的服务器上并窃取我的文件？或者使用还原功能安装 root 工具包？或者只是删除/损坏一般数据？Jungle Disk 是否符合备份接受信用卡的电子商务 Web 服务器的 PCI 要求？在 DNS 缓存中毒攻击后，采取了哪些措施来防止数据被发送到攻击者的服务器？
我还看到了这篇文章： http://www.daemonology.net/blog/2011-06-03-insecurity-in-the-jungle.html。该帖子发布于大约 9 个月前，引起了人们对 Jungle Disk 上数据加密和存储方式的担忧。如果有的话，采取了哪些措施来解决这些问题？
你们有安全审计员吗？
我最初没有问 JD，因为我知道我会得到这样的答复：
感谢您联系 Jungle Disk 支持。
Jungle Disk 使用多层深度防御策略来保护客户的数据，我们会不断审查我们的解决方案，并在新改进的功能和技术可用时实施它们。在为客户提供 Jungle Disk 等产品时，安全性始终是我们的首要任务，我们将继续审查反馈，以帮助我们确保拥有最佳解决方案。
问候，
JungleDisk支持
答案1
正如安全领域的许多事情一样，一切都关乎信任。
您是否信任您的证书颁发机构只向您颁发您域名的 SSL 证书？
您相信您的防火墙供应商不会安装后门吗？
您是否相信您的无线接入点供应商能够适当地处理正在使用的任何加密？
这是一个根本性的问题，只要您考虑将无法 100% 控制的材料纳入系统，就会出现这种情况。云备份服务引入了新的攻击和信息泄露层（如果他们被起诉，您的数据不知何故被纳入法律程序怎么办），而纯现场系统则不会出现这种情况。
根据您的描述，Jungle Disk 在您的 Web 服务器上作为守护进程运行。它可能会定期扫描您配置的目录中的已更改文件，然后将这些已更改文件上传到 Jundle Disk 母舰。在这种情况下，使用 SSL 是一件好事，因为它可以有效防御 DNS 缓存中毒攻击，这种攻击可能会导致对 mothership.jungledisk.com（或任何其他内容）的查找出现错误；如果您信任他们的证书颁发机构只将 jungledisk 的证书分发给 jungledisk，那么这种错误定向的连接应该无法通过 SSL 验证。
事实上，这是一个非常好的方法。
至于他们的证书验证方法，你必须问他们。它可能很简单，因为他们只随产品附带一个受信任的根证书，并且所有服务器证书都必须使用该根证书签名，否则将无法连接。但这只是一种理论，你真的应该问一下。
答案2
读：http://www.daemonology.net/blog/2011-06-03-insecurity-in-the-jungle.html您可能不会选择使用 Jungle Disk...