blogrecenzjeulubione programykomentarze

Kilka porad dotyczących zabezpieczania aplikacji ...i swojego portfela

Z zainteresowania jestem diagnostykiem wdrażanych zabezpieczeń, z zawodu na razie programistą. Oto mój krótki poradnik dla kupujących, dla wdrażających, dla używających, dla tworzących serwisy internetowe.

1.Sygnatura serwera oraz używanego na nim oprogramowania:

Bardzo często kupujemy od dostawcy konto na serwerze www, no cóż,
wszystko cacy, jednak nie do końca.

Przyjmijmy, że jest to tradycyjne środowisko LAMP (Linux, Apache, MySQL, Php), chociaż problem dotyczy komercyjnych serwerów typu WAMP lub WASP.NET

Najczęstsze błędy:

1. sygnatura serwera rozgłaszana w nagłówkach HTTP
-> czyli np.: „Apache 2/2.2.3 nazwa_systemu mod_ssl_fips, itd.”

a. Należy poprosić dostawcę, aby w konfiguracji serwera WWW ustawił
i. ServerSignature = off
ii. ServerTokens = Prod

b. Dotyczy to serwera Apache, ale również coraz bardziej popularnego nginx
-> ma być server_tokens=off

Dlaczego nie korzystam z serwisów typu Facebook...

...czyli "Face the book" lub "Book the face"

Postaram się pokrótce przedstawić, co mnie skłoniło
do omijania takich serwisów

Oto analiza postanowień regulaminu i polityki prywatności Facebook

0) Podczas rejestracji na polskiej wersji nie jest wyświetlany
regulamin w języku polskim, polityka prywatności również w języku angielskim
- czujecie klimat?

Polityka prywatności -> http://www.facebook.com/policy.php

a) Content:
If you do not want us to store metadata associated with content you
share on Facebook (such as photos), please remove the metadata
before uploading the content.


Jeżeli nie chcesz przechowywać metadanych powiązanych z zawartością,
którą się dzielisz poprzez portal (taką jak zdjęcia), prosimy o usunięcie
metadanych zanim wgrasz zawartość.

super, większość osób pewnie korzysta z aplikacji łączących się z portalem, która automatycznie usuwa metadane, nie jest dokładnie określone, co to są metadane.