🚀 go-pugleaf

Congrats...



"Vinko Vrsalovic" <el@vinko.invalid> escribi� en el mensaje
news:4370453f@news.vcd.cl...
> Rick_oj <rick_oj@[sin-esto]tutopia.com> dijo:
> >
> >> Y de ahi pa arriba con una buena administracion de servidor (hay un
> >> ranking de hostings v/s defacements o algo asi para tener un
> >> parametro?), buenas practicas de codigo, no ser vulnerable a xss ni a
> >> sql injection, que los backups sean tanto o mas seguros que los datos
> >> 'live', etc, etc, etc.
> >>
> >
> > bueno como dije lo pienso instalar en la casa, pero si pensara usar el
> > hosting que tengo este tiene que soportar SSL?
> > osea el modulo en apache deberia estar intalado
> >
>
> A ver, partamos por el principio. Primero, de quien quieres proteger la
> informacion? Quienes son los potenciales ladrones? Script kiddies?
> Ladrones de bases de datos? la CIA? De eso depende cuanto tendras que
> invertir (en esfuerzo y/o dinero) para asegurar la informacion.
>
> Una vez determinado eso, debes ver cual es tu eslabon mas debil, esto
> es, por donde es mas probable que la informacion sea obtenida, por
> ejemplo, esta bien usar encriptacion (SSL) entre los clientes y el
> servidor, pero si puede llegar tu hermano y hacer rm -rf /, o si tu
> haces backups y los subes a un sitio publico (si, estupido, pero para
> ilustrar el punto) de que te sirve esa encriptacion. Debes tener en
> cuenta todo el circuito, desde el usuario final hasta el administrador,
> sobre todo donde participan humanos en la interaccion con el computador
> (tipicamente los puntos mas debiles) y determinar como es mas facil
> de crackear tu sistema, reforzar eso y luego iterar hasta que el
> esfuerzo que tenga que hacer el cracker sea mayor al valor de
> la informacion.
>
> Esa es la teoria, ahora consideraciones practicas:
>
> Servidor y redes:
>
> - Servidor con todos los parches de seguridad al dia (o a la hora)
>
> - Servidor solo y exclusivamente con los servicios que vas a ofrecer,
>   por ejemplo si vas a poner un sitio web con apache, php y mysql, solo
>   tener esos servicios corriendo y nada mas INSTALADO (ni compiladores, ni
>   utilidades para bajar archivos, etc.)
>
> - Instalar un firewall ojala independiente del servidor, e idealmente
>   que el servidor no pueda establecer conexiones hacia afuera
>
> - Instalar un IDS
>
> - Configuraciones seguras de todos los servicios, p.ej., deshabilitar
>   cuentas por defecto (la tipica root sin password de mysql), investigar
>   sobre como vienen las configuraciones por omision y que se puede hacer
>   al respecto para mejorarlas, si corresponde.
>
> - Encriptar la comunicacion entre el cliente y el servidor (unico punto
>   del que has hablado)
>
> Aplicacion:
>
> - Programar con atencion a la seguridad, no confiar nunca en datos que
>   vienen del cliente, por ejemplo, si de un formulario armas un query
>   SQL, verificar que no vengan comandos SQL (select, delete, etc.), y si
>   los tiene eliminarlos o escaparlos debidamente (sql injection)
>
> - Atencion con el cross site scripting y con session hijacking,
>   donde a traves de ciertos errores en la validacion un sitio malicioso
>   puede hacerse pasar por tu sitio o robarte la sesion o robar datos de
>   los clientes (cookies, p.ej.)
>
> Todo esto en el entendido que vas a servir el
> contenido a clientes a traves de internet, porque si solo lo vas a poner
> en tu casa para usuarios en la misma red, gran parte de la tarea estaria
> lista con solo desconectar esa red del mundo :)
>
> Bueno, eso se me ocurre por ahora, como ves, la tecnologia per se no es
> la solucion a la seguridad, hay muchas otras consideraciones que tomar,
> todo esto es aplicable a PHP+Apache, a ASP+IIS, a JSP+Tomcat, a
> Perl+Roxen o a palomas mensajeras camufladas.
>
> Ah, y claro que el hosting tiene que soportar SSL si quieres usarlo.
> -- 
> V.