nicolasibanez.net - Informática, ciencia y tecnología » Informática

Cómo implementar un login seguro

admin — Tue, 13 Oct 2009 16:51:55 +0000

A la hora de agregar a nuestra aplicación un sistema de autenticación es conveniente seguir una serie de pautas básicas de seguridad…

“Logitud de la contraseña y nombre de usuario: tiene que tener mínimo 6-8 caracteres.”
“Encriptar la contraseña: aunque casi todo el mundo usa MD5 o SHA-1, no está mal del todo usar SHA-2 (disponible en PHP5), ya que las anteriores ya no son tan seguras como hace tiempo.”
“Añade una semilla a la contraseña: cuando encriptes la contraseña es recomendable añadirle un texto para que el hash sea más seguro.”
“No uses nombres sencillos para el administrador: evita usar nombres como “admin”, “root”, …”
“Registra los intentos de login: así se podrá detectar cuando estamos siendo atacados.”
“Maneja los errores: cuando se produce un login fallido, o evita que se produzca un error, o muestra un error personalizado, no muestres errores de código que puedan dar pistas al atacante.”
“Filtra la entrada: filtra lo que el usuario meta en su usuario para evitar inyecciones de código y no compruebes si la contraseña es correcta mediante SQL.”
“Usa LIMIT o WHERE 1: es importante para evitar comprometer muchas cuentas si sufrimos un ataque.”
“Usa nonce: nonce es un número único para la sesión, así nos aseguramos de que no se realicen ataques de fuerza bruta usando diccionario.”
“Usa sólo $_POST: $_GET es más sencillo de usar que $_POST, aunque no quita que usando $_POST no nos encontremos con problemas.”
“Cuentas MySQL: utiliza un usuario con permiso de select para realizar el login, así, si rompen tu seguridad, no podrán hacer deletes, updates o inserts.”
“Auto logout: Si quieres darle mayor seguridad, desconecta al usuario automáticamente pasado un cierto tiempo de inactividad. Aunque desde el punto de vista de la usabilidad no es muy recomendable.”
“Bloqueo de la cuenta: si se han intentado varios logins consecutivos y han sido fallidos, se debería bloquear la cuenta.”

Fuente

La velocidad de subida del ADSL en España

admin — Wed, 07 Oct 2009 18:05:53 +0000

Pues sí, resulta que consigues más velocidad de subida utilizando un móvil 3G que la que tienes en el PC de casa usando ADSL. ¿Deberíamos plantearnos cambiar de tecnología para el uso de Internet?

Fuente

Libro gratuito sobre metodologías ágiles

admin — Thu, 01 Oct 2009 17:16:39 +0000

Para aquellos de vosotros que estéis interesados en metodologías ágiles, recibo a través de Java Hispano la noticia de que Damon Poole, el fundador y CTO de AccuRev ha publicado la segunda versión del libro “Hazlo tú mismo ágil” (”Do It Yourself Agile”). Se trata de un libro de distribución gratuita y que puede descargarse en formato pdf desde aquí.

Gimp en una sóla ventana

admin — Sun, 20 Sep 2009 14:09:11 +0000

Leo en viva linux! que la próxima versión de GIMP, la 2.8, ofrecerá un interfaz basado en una sóla ventana. Es algo que personalmente siempre he echado en falta al utilizar GIMP, por no terminar de acostumbrarme a encontrar cada ventana cuando se trabaja con unas cuantas aplicaciones simultáneamente (y no sólo con GIMP). Aquellos que sigan prefiriendo la interfaz habitual podrán volver a la misma con una simple opción de configuración en el menú de la aplicación.

JeOS: sistemas operativos a medida

admin — Wed, 12 Aug 2009 15:19:49 +0000

JeOS, del inglés Just Enough Operating System, no se trata de un nuevo sistema operativo, sino que es una tecnología que permite personalizar un sistema operativo existente (generalmente Linux) para que incluya exclusivamente aquellas partes del mismo que son necesarias para la ejecución de una aplicación concreta. Es decir, permite crear versiones de un sistema operativo que incluyan únicamente determinadas piezas del mismo necesarias para ejecutar la aplicación en cuestión evitando la instalación y uso del resto de partes del sistema operativo. De este modo, podemos crear sistemas operativos más ligeros y seguros para ejecutar una aplicación deseada y conseguir un notable incremento del rendimiento.

Las partes del sistema que son necesarias pueden ser escogidas manualmente o determinadas mediante el uso de herramientas analíticas. Las aplicaciones de esta tecnología son muy diversas: desde crear un sistema operativo a medida para una aplicación con el fin de mejorar su rendimiento o con el fin de reducir el espacio en disco necesario, lo que puede ser de gran utilidad para ejecutar aplicaciones en dispositivos móviles, gadgets o sistemas empotrados, hasta crear imágenes virtuales de un sistema operativo y una aplicación para su testeo en herramientas de virtualización o discos USB y live-CDs para hacer la aplicación comodamente portable.

Algunos ejemplos de JeOS disponibles:

Ubuntu JeOS
OEL JeOS
SUSE JeOS
OpenSolaris JeOS
Orange JeOS

Vulnerabilidad de día cero

admin — Thu, 11 Jun 2009 19:51:10 +0000

Recientemente se ha publicado una noticia relativa a un ataque informático que ha ocasionado la eliminación de 100.000 webs a consecuencia de una vulnerabilidad de día cero. ¿Pero qué significa “vulnerabilidad de día cero”? Se trata de cualquier vulnerabilidad que es descubierta y explotada con anterioridad a la publicación de un parche de seguridad que la solvente. El tiempo transcurrido desde que se descubre la vulnerabilidad hasta que se publica el parche es conocido con el nombre de “ventana de vulnerabilidad”. Los sistemas con protección de día cero son aquellos sistemas que implementan mecanismos de protección frente a exploits de día cero, por ejemplo, mediante el empleo de técnicas de I.A. o heurísticas.

Wordpress 2.8 disponible

admin — Thu, 11 Jun 2009 17:58:09 +0000

Hoy al acceder al sistema de administración de Wordpress he visto una notificación de que la versión 2.8 ya estaba disponible. Ya he actualizado mi sistema, y he de reconocer que me ha sorprendido la sencillez y efectividad del proceso de actualización, sólo he tenido que apretar un botón para que Wordpress se actualizara automáticamente y sin problemas. Mis felicitaciones al equipo de desarrollo de Wordpress. Como principales mejoras y novedades en esta nueva versión podemos citar:

Nuevo control arrastrar-y-soltar en la administración de widgets y nueva API de widgets.
Resaltado de sintaxis y búsqueda de funciones en los editores de plugins y temas.
Búsqueda en el directorio de temas e instalación de nuevos temas desde la administración.
Ordenación de los widgets en cuatro columnas en el panel de widgets.
Configuración del número de items a mostrar en la administración desde Opciones de Pantalla.
Soporte del módulo URL Rewrite de IIS 7.0.
Carga más rápida de las páginas de administración gracias a la compresión y concatenación de scripts.

Puedes ver información más detallada en la página oficial.

Internet Explorer 8 en Linux

admin — Thu, 04 Jun 2009 13:56:52 +0000

Uno de los principales problemas a los que se enfrenta todo programador web es que su aplicación o página se muestre correctamente en los principales navegadores web. Los que desarrollamos en linux necesitamos probar nuestras páginas en Internet Explorer. Vamos a explicar una forma sencilla de ejecutar Internet Explorer en linux usando VirtualBox, en este caso concreto, instalaremos Internet Explorer 8 en Ubuntu 9.04, pero podemos seguir el mismo proceso para otras versiones de IE y otras distribuciones linux.

En primer lugar, descargamos la imagen deseada de la siguiente página de microsoft. En nuestro caso, descargamos IE8-XPSP3.EXE.
Ahora tenemos que instalar varios paquetes de software y extraer la imagen virtual del archivo descargado. Tecleamos en consola:
```
sudo aptitude install wine virtualbox
wine IE8-XPSP3.EXE
```
A continuación iniciamos VirtualBox y creamos una nueva máquina virtual. Seleccionamos la memoria deseada dependiendo de la memoria disponible en nuestro PC. Cuando nos pida escoger el disco duro virtual pulsamos Existente…; ahora pulsamos el botón Agregar y seleccionamos la imagen que previamente hemos descargado y extraído (XP SP3 with IE8 2009-Apr.vhd); ahora pulsamos el botón Seleccionar y finalmente Siguiente y Terminar.
Ya podemos iniciar la máquina virtual. Nada más arrancar nos empezará a mostrar mensajes de instalación de hardware nuevo, y nos pedirá un disco original de instalación de Windows. Debemos pulsar siempre Cancelar.
A continuación seleccionamos la opción Instalar “Guest Additions” del menú Dispositivos de VirtualBox, es posible que nos diga que no encuentra la imagen iso correspondiente en cuyo caso nos dará la opción de descargarla. La descargamos y procedemos a su instalación. Una vez instaladas las “Guest Additions” quedarán resueltos algunos de los problemas de instalación de drivers.
Ahora tenemos que instalar los drivers de la tarjeta de red (PCnet-FAST III), que podemos descargar aquí. Para poder acceder a este zip desde nuestro windows virtual vamos a crear una imagen de CD, tecleamos en consola:
```
mkisofs -o drivers.iso V4.51.zip
```
y ahora configuramos la máquina virtual (debe estar encendida) para que monte la imagen como un CD dentro del sistema virtual. Seleccionamos la opción Montar CD/DVD-ROM > Imagen CD/DVD-ROM… del menú Dispositivos de VirtualBox y agregamos la imagen drivers.iso que acabamos de crear, pulsamos Seleccionar, y ya podemos acceder al ZIP. Extraemos su contenido en una carpeta del disco duro. Ahora vamos al administrador de dispositivos y hacemos click con el botón derecho del ratón sobre la tarjeta de red, y escogemos la opción Update Driver… En el asistente de instalación debemos escoger la opción de indicar manualmente la ubicación del controlador, buscamos la carpeta en la que hemos descomprimido el ZIP y la seleccionamos. Aceptamos y se instalan los drivers.
¡Ya tenemos listo nuestro Windows XP con Internet Explorer 8 para testear las páginas que queramos!

Instalar Ubuntu 9.04 desde USB

admin — Tue, 02 Jun 2009 13:39:02 +0000

A veces puede resultar muy útil instalar linux desde un pendrive o cualquier otro dispositivo USB. Sobre todo, si como en mi caso, tenemos estropeado el lector de CDs del portátil. O bien porque sencillamente la instalación desde USB es más rápida y nos ahorramos grabar un CD (y de paso no pagamos el absurdo canon de la SGAE por instalar un sistema operativo libre).

En ubuntu esta instalación resulta enormemente sencilla. Basta con ejecutar la herramienta “creador de discos de arranque USB” o en consola ejecutar el comando:

usb-creator

Necesitamos un dispositivo USB de al menos 1GB de capacidad. Seleccionamos la imagen ISO que queremos montar en el USB y más abajo, el dispositivo en cuestión. Aceptamos, la herramienta transfiere el sistema operativo al USB y lo hace autoarrancable y ya tenemos listo nuestro USB para instalar Ubuntu en cualquier PC que permita arrancar desde USB (es posible que tengamos que modificar la secuencia de arranque de nuestra BIOS).

Resaltado de sintaxis en Wordpress

admin — Tue, 02 Jun 2009 13:25:50 +0000

Para aquellos que utilizan Wordpress en su blog y escriben entradas de programación, seguramente les será de mucha utilidad un plugin de resaltado de sintaxis del código. En mi caso, utilizo wp-syntax, que podemos descargar aquí. Además, vamos a ver cómo personalizar el estilo de este plugin para poder adaptarlo al tema de nuestro wordpress.

Su instalación resulta sencilla, sólo tenemos que descomprimir el zip dentro de la carpeta wp-content/plugins/ que se encuentra dentro del directorio de instalación de wordpress. Después entramos en la aplicación de administración de wordpress y vamos a la sección de Plugins. Veremos WP-Syntax en Plugins Inactivos, lo activamos y ya tenemos el trabajo hecho.

De ahora en adelante podemos resaltar código fuente con sólo encerrar el mismo dentro de las etiquetas HTML:



  … código fuente …

LANGUAGE indica el lenguaje que queremos resaltar, puede ser cualquiera de los soportados por GeSHi. Y line indica el número de lineal inicial del código resaltado, podemos no usar esta etiqueta si no queremos que se muestren números de línea.

Ahora para poder adaptar el estilo necesitamos un par de pasos, en primer lugar podemos cambiar los estilos genéricos (fondo, números de línea, color por defecto…) realizando una copia del fichero wp-syntax.css que hay dentro del directorio del plugin al directorio del tema de wordpress activo para después editar esta copia.

cp wp-content/plugins/wp-syntax/wp-syntax.css wp-content/themes/default/

En segundo lugar, necesitamos realizar una pequeña modificación en el fichero wp-syntax.php que se encuentra en el directorio del plugin. Localizamos la función wp_syntax_highlight y añadimos después de:

$geshi = new GeSHi($code, $language);

la línea

$geshi->enable_classes();

Ahora ya podemos incluir en nuestras páginas un css con el estilo personalizado. En esta página puedes descargar varios estilos diferentes, que también puedes usar como modelo para construir tu propio estilo.