Mes: mayo 2010

Siempre he sido muy cuidadoso con la seguridad de este blog, sin embargo, hace unos días sufrí un ataque a la base de datos del blog por un descuido que tuve y no me di cuenta de ese problema durante los 4 años que tengo usando WordPress como software para manejar el blog de este sitio. Pero todo ya fue solucionado, elevé mucho mas los niveles de seguridad y solo se perdieron los comentarios de 1 semana, por esta razón, me animé a comentarle sobre tips que deberían seguir todos para evitar posibles ataques a sus blogs:

• Siempre tener presente que puedes ser víctima de un ataque, la mayoría de la gente piensa que no puede ser víctima de los ataques porque su blog no contiene temas interesantes, temas que ofendan a otra gente, temas con posiblidad de venta comercial entre otros. Sin embargo, es el peor error ya que los crackers simplemente se enfocan en la parte tecnológica del blog y no les importa el tema del mismo, si el blog tiene un fallo, buscarán explotarlo y atacarlo, punto.
• La mejor manera para empezar a tener un blog seguro consiste en usar buenas contraseñas para la administración (también para la base datos y cuentas FTP), mis recomendaciones son usar: letras, numeros, mayúsculas y signos especiales. En vez de usar una palabra, usemos una frase favorita cambiando las vocales por números, la primera letra de cada palabra en mayúscula eliminando los espacios como se observa en el siguiente ejemplo: M3Gust431bl0gd3Sk4t0x (me gusta el blog de skatox). Si son mas paranoicos, simplemente escriban la frase dos veces y aumentarán exponencialmente la posibilidad de robo, además es recomendable: cambiarla cada 6 meses, evitar anotarla en algún lado, darla a conocer a otra persona, usarla en sitios o computadoras públicas y aceptar que el navegador la guarde para evitar escribirla cada vez que deseemos escribir un artículo.
• Estar atentos a los cambios de seguridad con las nuevas versiones del software del blog, este punto lo descubrí recientemente y es muy importante en sitios que llevan mucho tiempo en línea, generalmente mucho software para gestionar blogs (ejem, WordPress) agrega con el tiempo nuevas opciones de seguridad,las cuales muchas veces no se activan por defecto, es por ello, estar siempre atento a estos cambios para activarlos. Ademas, en los sitios con mucho tiempo en línea, se suele conservar los mismos archivos de configuración desde su instalación inicial, siendo obsoletos después de unos años al faltarles parámetros introducidos en nuevas versiones.
• Evitar exceso de código de terceros: plugins, código HTML/Javascript copiado de otros sitios, entre otros. Pues pueden introducir nuevas vulnerabilidades y no tener soporte de actualizaciones, es decir, no hay garantía de corrección de fallas en los mismos. Si tenemos instalados plugins o código de terceros, también se debe visitar periódicamente estas páginas en busca de actualizaciones o corrección a problemas existentes.
• Tratar de evitar acceder a la página administrativa desde sitios públicos (como un punto inalámbrico de un restaurante), desde cibercafes o computadoras de uso publico, tratar de cifrar las conexiones accediento mediante Https o SFTP/FTPS para el caso de transmición  de datos. Con esto evitarás que intercepeten tus datos, sean manipulados o extraidos.
• Si tienen el blog alojado en un servidor propio, chequear la correcta permisología de los archivos, revisar los archivos .htaccess, evitar que las carpetas de configuración y de administración sean indexadas por los motores de búsqueda (usando el robot.txt), chequear que se esté usando las últimas versiones de los servicios y si es posible, escribir un buen firewall para controlar aún mas el acceso al servidor.

Con estos tips es suficiente para conseguir una excelente seguridad en tu blog, en unas próximas semanas escribiré detalles para hacerlo con WordPress. Recuerden siempre estar atentos a todo detalle para evitar ser atacados.