🚀 go-pugleaf

Un lujo de recomendaciones. Se fueron al repositorio de conocimientos.



rro


Vinko Vrsalovic wrote:
> Rick_oj <rick_oj@[sin-esto]tutopia.com> dijo:
>>> Y de ahi pa arriba con una buena administracion de servidor (hay un
>>> ranking de hostings v/s defacements o algo asi para tener un
>>> parametro?), buenas practicas de codigo, no ser vulnerable a xss ni a
>>> sql injection, que los backups sean tanto o mas seguros que los datos
>>> 'live', etc, etc, etc.
>>>
>> bueno como dije lo pienso instalar en la casa, pero si pensara usar el 
>> hosting que tengo este tiene que soportar SSL?
>> osea el modulo en apache deberia estar intalado
>>
> 
> A ver, partamos por el principio. Primero, de quien quieres proteger la
> informacion? Quienes son los potenciales ladrones? Script kiddies?
> Ladrones de bases de datos? la CIA? De eso depende cuanto tendras que
> invertir (en esfuerzo y/o dinero) para asegurar la informacion.
> 
> Una vez determinado eso, debes ver cual es tu eslabon mas debil, esto
> es, por donde es mas probable que la informacion sea obtenida, por
> ejemplo, esta bien usar encriptacion (SSL) entre los clientes y el
> servidor, pero si puede llegar tu hermano y hacer rm -rf /, o si tu
> haces backups y los subes a un sitio publico (si, estupido, pero para
> ilustrar el punto) de que te sirve esa encriptacion. Debes tener en
> cuenta todo el circuito, desde el usuario final hasta el administrador,
> sobre todo donde participan humanos en la interaccion con el computador 
> (tipicamente los puntos mas debiles) y determinar como es mas facil 
> de crackear tu sistema, reforzar eso y luego iterar hasta que el 
> esfuerzo que tenga que hacer el cracker sea mayor al valor de 
> la informacion.
> 
> Esa es la teoria, ahora consideraciones practicas:
> 
> Servidor y redes:
> 
> - Servidor con todos los parches de seguridad al dia (o a la hora)
> 
> - Servidor solo y exclusivamente con los servicios que vas a ofrecer, 
>   por ejemplo si vas a poner un sitio web con apache, php y mysql, solo
>   tener esos servicios corriendo y nada mas INSTALADO (ni compiladores, ni
>   utilidades para bajar archivos, etc.)
> 
> - Instalar un firewall ojala independiente del servidor, e idealmente
>   que el servidor no pueda establecer conexiones hacia afuera
> 
> - Instalar un IDS 
> 
> - Configuraciones seguras de todos los servicios, p.ej., deshabilitar
>   cuentas por defecto (la tipica root sin password de mysql), investigar
>   sobre como vienen las configuraciones por omision y que se puede hacer
>   al respecto para mejorarlas, si corresponde.
> 
> - Encriptar la comunicacion entre el cliente y el servidor (unico punto
>   del que has hablado)
> 
> Aplicacion:
> 
> - Programar con atencion a la seguridad, no confiar nunca en datos que
>   vienen del cliente, por ejemplo, si de un formulario armas un query
>   SQL, verificar que no vengan comandos SQL (select, delete, etc.), y si 
>   los tiene eliminarlos o escaparlos debidamente (sql injection)
> 
> - Atencion con el cross site scripting y con session hijacking, 
>   donde a traves de ciertos errores en la validacion un sitio malicioso 
>   puede hacerse pasar por tu sitio o robarte la sesion o robar datos de 
>   los clientes (cookies, p.ej.)
> 
> Todo esto en el entendido que vas a servir el
> contenido a clientes a traves de internet, porque si solo lo vas a poner
> en tu casa para usuarios en la misma red, gran parte de la tarea estaria
> lista con solo desconectar esa red del mundo :)
> 
> Bueno, eso se me ocurre por ahora, como ves, la tecnologia per se no es
> la solucion a la seguridad, hay muchas otras consideraciones que tomar,
> todo esto es aplicable a PHP+Apache, a ASP+IIS, a JSP+Tomcat, a
> Perl+Roxen o a palomas mensajeras camufladas.
> 
> Ah, y claro que el hosting tiene que soportar SSL si quieres usarlo.