Posts Tagged ‘Seguretat / Security’

Alliberat WordPress 3.5.2

dimecres, juny 26th, 2013

El proppassat 21 de Juny s’alliberà la versió 3.5.2 de WordPress.

Aquesta versió soluciona molts problemes de seguretat.

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Fa mesos que ataquen el bloc

diumenge, juny 2nd, 2013

Fa mesos que ataquen el bloc.

No es tracta d’espanyolistes frustrats antidemòcrates, es tracta d’un mal força comú a Internet i a la vida, el spammers, els aprofitats, la gent brossa. Normalment ataquen des de la xina i rússia i països ex-comunistes.

Si voleu tenir servidors a Internet és important que sabeu que us els atacaran i miraran d’abusar d’ells.

Els intents d’atac més típics són:

– Usar el vostre SMTP per a enviar correu brossa arreu

– Enviar-vos des del formulari de contacte Spam per a que compreu medicaments per a la disfunció erèctil…

– Utilitzar el vostre DNS per a atacar altres servidors i mirar de fer-lis atacs DoS

– Mirar de publicar, com si fossin blocs, enllaços a pàgines de venda de productes per a disfunció erèctil i altres merdes

– Provar usuaris i mots de pas, des d’un diccionari, per a usar el vostre servidor com a repositori FTP de pel·lícules

– Utilitzar el vostre servidor per a allotjar spyware i malware i infectar tercers

– Inundar els vostres fòrums amb missatges brossa venent més productes per a la impotència i altres #werts

– Instal·lar un proxy per a poder fer maleses de manera anònima usant els vostres servidors

Així que si munteu un servidor tingueu present tots aquests casos.

Jo estic parant els atacs però en determinades ocassions em generen sobrecàrrega al servidor de tant que s’hi escarrassen.

Si el servidor us va més lent és perquè estic frenant una repuntada d’atacs.

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Alliberat Drupal 7.20

dilluns, febrer 25th, 2013

logo-drupalEl passat dijous 21 de Febrer fou alliberat Drupal 7.20.

Aquesta versió no presenta cap nova funcionalitat, és una actualització de seguretat i totalment recomanat d’actualitzar-se.

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Aliberat Joomla 3.0.3

Dimarts, febrer 5th, 2013

Jooma ha alliberat a versió 3.0.3, bàsicament per a solucionar un problema de seguretat amb variables no definides que podia dur a mostrar informació.

Aquesta versió soluciona tres errors de seguretat, proporciona 2 funcionalitats noves, i soluciona 136 problemes enregistrats al tracker.

Podeu veure la llista de canvis aquí:

http://www.joomla.org/announcements/release-news/5478-joomla-3-0-3-released.html

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Apple podria deixar de vendre a Europa la línia Mac Pro al Març

diumenge, febrer 3rd, 2013

Mac_Pro_lSegons la reputada web sobre el món Apple macworld.co.uk Apple hauria de deixar de vendre a Europa els Mac Pro al Març d’enguany, 2013.

La mateixa web ens informa que Apple ha confirmat que deixarà de subminitrar-los a Europa a partir de l’1 de Març.

Els Mac Pro són els seus ordinadors de sobretaula de gama professional, els més potents.

Això suposarà un trasvals molt gran per als usuaris professionals i les empreses, que es veuran privats d’una eina que alguns consideren imprescindible.

La decisió d’Apple es deuria a una regulació europea sobre seguretat que ha estat actualitzada, i que Apple no vol adaptar per als seus equips.

La data límit per a encarregar un ordinador Mac Pro a Europa seria el 18 de Febrer d’enguany.

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Alliberat Joomla 3.0.2

divendres, novembre 9th, 2012

Aquesta actualització adreça un bug d’injecció XSS i presenta una nova funcionalitat.

És tant recent que encara no han actualitzat la secció de releases explicant en que consisteix la nova funcionalitat.

Previsiblement en unes hores estarà disponible.

http://www.joomla.org/announcements/release-news.html

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Alliberat Apache TomCat 7.0.30

divendres, setembre 7th, 2012

Ahir dia 6 s’alliberà la versió 7.0.30 del Programari Lliure Apache TomCat.

Aquesta versió adreça nombrosos problemes de seguretat i incorpora algunes noves funcionalitats.

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Alliberat WordPress 3.4.1

divendres, juny 29th, 2012

Aquesta és una versió que soluciona problemes de seguretat importants i 27 errors comuns.

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Alliberat Mac OS X Lion 10.7.4

dijous, maig 10th, 2012

Ahir apple va alliberar la versió 10.7.4 del seu sistema operatiu.

Bàsicament és una actualització de seguretat que soluciona alguns forats.

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Alliberat PHP 5.4.3 i 5.3.13

dimecres, maig 9th, 2012

Tal i com ens informa la web oficial de PHP s’han alliberat dues versions noves de PHP per a solucionar un forat de seguretat relacionat amb la configuració del producte en mode CGI.

És recomanable actualitzar tant aviat com us sigui possible.

http://www.php.net/archive/2012.php#id2012-05-08-1

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy

Migració de les aplicacions de FB a OAuth 2.0 l’1 d’Octubre

dissabte, setembre 24th, 2011

El proper 1 d’Octubre Facebook realitzarà uns canvis dràstics en la seva política d’aplicacions.

A partir que es va descobrir un problema de seguretat, Facebook va anunciar que caldria implementar un nou sistema més segur per a les aplicacions.

Al seu bloc per a desenvolupadors, anuncien com a partir d’aquest primer d’Octubre deixaran de funcionar les aplicacions que no utilitzin oAuth 2.0, el que entre d’altres implica:

– Actualitzar codi si utilitzes versions anteriors

– Comprar i implantar un certificat SSL per als servidors Web o els Balanjedors de càrrega (load balancers)

– Reescriure el codi que correspongui per a que es comuniqui amb FB emprant SSL

– Implementar sessions de PHP (si la teva aplicació és en PHP). El que té més complexitat del que sembla quan treballem en un entorn webfarm (granja de servidors)

Cito de la seva web:

Reminder: Breaking Changes coming on Oct 1st

The following breaking changes are slated to go into effect on the 1st of October:

  1. OAuth 2.0 MigrationAll apps must migrate to OAuth 2.0 for authentication. The old SDKs, including the old JavaScript SDK (FeatureLoader.js) and old iOS SDK (facebook-iphone-sdk) will no longer work.
  2. Apps on Facebook authentication and security migrationAll Canvas and Page tab apps must convert to process signed_request (fb_sig will be removed) and obtain an SSL certificate for use in Secure Canvas URL and Secure Page Tab URL (unless you are in Sandbox mode).
  3. Auth 1.0 deprecationAuth.promotesession, auth.createtoken, auth.expiresession, auth.getsession will be removed on Oct 1st. Details on support for OAuth 2.0.
  4. manage_pages permission required to access user accounts (/me/accounts)We are modifying access to the FQL page_admin table and the graph.facebook.com/me/accounts endpoint. Previously, with basic permissions granted, an app could go to this endpoint or the FQL table to access the list of a users’ apps and Pages. We are going to require that apps have the manage_pages permission in order to obtain access to this information.

Jo m’he encarregat d’assegurar-me que la migració de les aplicacions de l’empresa on treballo fos un èxit.

Aquestes són les dificultats que m’he trobar:

Certificats SSL:

A l’empresa volien contractar un certificat del tipus wildcard multi-domain.

Aquests certificats no existeixen, si compres un certificat SSL senzill et permet protegir un sol nom de domini, per exemple www.codic.cat.

Si compres un certificat SSL del tipus wildcard et permet protegir el teu domini:

Un wildcard per a codic.cat et permet protegir tots els subdominis de primer nivell per a codic.cat.

Per exemple: dns.codic.cat o www.codic.cat

Però és important saber que només per al primer nivell.

No pots protegir www1.servidors.codic.cat.

Aquests dominis addicionals els pots protegir mitjançant d’adició de SANs – Secure Alternative Names al certificat. Això s’ha de fer al moment d’encarregar-lo. Es pot fer després mitjançant la creació de duplicats, però no us ho recomano i us pot donar problemes si feu servir CDN (Content Delivery Network).

Els SAN també són importants perquè alguns dispositius mòbils no suporten els certificats wildcard (per exemple l’infame windows mobile 5) i haureu de crear entrades SAN fins i tot per als dominis de primer nivell si voleu que funcioni en aquests dispositius.

Arribats a aquest punt us explico que els wildcard multidomini no existeien, per tant si teniu dos dominis per als que voleu wildcard, haureu de comprar dos certificats diferents.

A més del certificat wildcard, heu de demanar que estigui llicenciat per a usar-lo en múltiples servidors si empreu un CDN.

Hi ha diversos CDN d’abast mundial como akamai, el més conegut i probablement el més car, amazon, o més modestos i econòmics com cotendo.

Després instal·leu el certificat als servidors web o als balancejadors de càrrega i al CDN, segons les vostres configuracions i a funcionar.

Per a triar certificat vaig contactar amb diverses entitats certificadores.

Verisign – Reconeguda mundialment com la número 1, va ser de les pioneres. Però són poc flexibles i cars. Els vaig contactar per email en anglès i em va trucar una comercial que parlava castellà. Se li escapaven els detalls tècnics i em va remetre a suport tècnic, també en castellà. Conclusió: no emeten certificats wildcard per a usar en múltiples servidors (CDN), i el preu que em feien per a tenir unes 25 SAN era de vora els $6,000.00 sis mil dòlars americans. Tenen fama de trigar fins a dues setmanes a enviar el certificat. Una utilitat interessant és que et permeten generar un certificat de proves auto-signat gratuïtament des de la seva web però el cap de sistemes no va aconseguir fer-lo funcionar en un lamp de proves per a les provatures prèvies a la implantació.

Digicert – El que utilitza Facebook a part d’akamai i el que vaig comprar. Vaig poder plantejar tots els dubtes a través d’un xat web disponible a la seva plana. El certificat wildcard amb 10 SANs màxim va costar $475 quatre cents setanta cinc dòlars americans. En una hora teníem el certificat i l’instal·làrem als balancejadors de càrrega.

Thawte – Els vaig contactar a través d’un formulari web i vaig rebre un mail tipus al cap d’unes hores, i un altre al dia següent.

godaddy – Els més barats, generosos i flexibles. Per $219 teníem un wildcard al que podíem afegir 100 SANs. Malauradament internet explorer 9 no el llistava a la llista d’entitats certificadores que reconeixia. Això és important perquè si no li apareixen als visitants missatges de que aquell certificat no pot ser validat i molts es fan enrera, o els crea molèsties en navegar. Molts usuaris utilitzen internet explorer de microsoft així que descartat.

No vaig poder aclarir, cap persona de suport m’ho va poder contestar, si el fet d’afegir moltes adreces SAN (per tant generant un arxiu de ertificat més gran) pot fer que les comunicacions amb els visitants siguin més lentes.

Cal considerar que les comunicacions SSL sempre són més lentes i tenen un cert impacte en consum de CPU dels servidor web o balancejadors, pel que els proveïdors ens cobraran més per usar SSL.

Calculo que el 90% de les aplicacions l’1 d’Octubre quedaran desactivades, si més no parcialment per als usuaris de FB que usen SSL.

Adreça curta per a Twitter d’aquest article: http://wp.me/pzeab-1Sq

Català-Catalunya English-USA Traduir a l'Anglès. Translate to English Compartir: La TafaneraIndependènciaCatosfera|FacebookTwitterFriend Feed|googleDeliciousDiggTechnoratiredditmixxyahoolivestumbleuponsimpy