Joomla! e' un CMS sicuro? |
 |
 |
|||
|
Autore :
Odino, Ternaria Informatica » Questo articolo è stato letto: 29909 volte » |
|||||
| Guide - Joomla 1.5 | |||
|
Cerchiamo di fare un pò di chiarezza sulla combinazione Joomla! - sicurezza e tracciamo delle linee-guida da adottare nella politica di costruzione ed amministrazione di un sito web. Negli ultimi tempi abbiamo assistito ad un generale allarmismo generato dagli utilizzatori di Joomla! 1.5, legato soprattutto al rilascio della versione 1.5.6 del CMS, che correggeva una falla critica di quest'ottimo prodotto open source.Recentemente anche parte del DevTeam ha espresso la sua perplessità ( in un misto di ilarità e indignazione ) sul fatto che vengano aperti costantemente nuovi post sul forum ufficiale senza tenere in considerazione:
Nonostante ciò, il trend - oramai ben avviato - è quello di lamentarsi al riguardo della presunta alta vulnerabilità del CMS senza chiedersi come mai aziende, anche di grosse dimensioni, privati, associazioni, si affidino a Joomla! temendo ben poco questa presunta vulnerabilità. Joomla! è di fatto un CMS sicuro: se per esempio prendessimo una installazione vergine, senza estensioni, contenuti, anche solo coi dati di esempio, aggiornata all'ultima versione, troveremmo ben pochi cracker in grado di defacciare il sito o anche solo penetrare all'interno di esso. La tristemente famosa "falla 1.5.6" che ha creato una sorta di panico generale non ha colpito, per esempio, siti di grande importanza: come si sono tutelati questi webmaster i cui siti sarebbero stati un trofeo impagabile da "hackerare"? Semplice: con la testa, anzi, meglio usare l'espressione "costruendo un sito in modo consapevole". E noi andiamo ora ad analizzare cosa significhi costruire un sito web, con Joomla!, essendo consapevoli dei rischi i cui incorriamo. Template Il layout, la grafica: quello che più piace agli utenti medi di un sito. Componenti, moduli e plugin Le altre estensioni sono la bellezza di Joomla! e dell'open source: tante funzionalità di facile implementazione sul sito, ma anche tanto codice scritto non si sa da chi e nemmeno come. defined('_JEXEC') or die('Restricted access'); sia presente in ogni file che verrà poi elaborato dal nostro CMS. Il nostro hosting Un'estensione potrebbe anche essere scritta molto bene, ma se la nostra casa ha bei mobili ma pareti fragili, come potrà non crollare sotto un torrente in piena? Come poi riporta la presentazione di Joomla! su questo sito, un hosting ottimale deve offrire alcune impostazioni del PHP ( o meglio, php.ini ): - Register Globals: OFF per consentirvi di dormire sonni tranquilli. La cartella administrator Agire in modo consapevole? Utilizziamo estensioni quali Jsecure e magari proteggendo ulteriormente l'amministrazione con .htpasswd. Evitiamo i riferimenti standard Piccola divagazione, necessaria: per accedere al backend di Joomla! è necessario digitare il nostro dominio seguito da '/administrator'. Sareste tranquilli se indicaste ad un ladro l'indirizzo di casa vostra, gli daste un mazzo di milioni di chiavi e ve ne andaste di casa? MySQL Occorre sempre ricordare che il server MySQL in cui risiede il database utilizzato da Joomla! è protetto da uno username e una password soggetti a possibili violazioni: se per esempio ci venissero sottratti tali dati sarebbe facile mettere mano al sito, dando solo alcuni sguardi alle tabelle del database utilizzato. FTP Per connettersi al sito, uploadare e scaricare files, modificarli, ci serviamo di una connessione FTP allo stesso ( in molti utilizano filezilla, ma esistono anche pannelli dedicati a seconda dell'hosting utilizzato ). Ri-defacciato Succede poi che molte volte ci si ritrovi, dopo aver sistemato il sito in seguito ad un attacco, di nuovo col lavoro in fumo. Ma quindi è sempre colpa di Joomla! Certo che no! A voi l'ardua scelta. Considerazioni finali Vediamo costantemente siti sotto attacco, come dimostra il defacement di un noto produttore di template free e commerciali proprio per Joomla!, e se deste un'occhiata ai log del vostro sito vi imbattereste in moltissime URL "strane": tentativi di inclusione di codice, file di testo, redirect, sono solo una piccola parte degli attacchi che ci vengono lanciati. Una soluzione finale? Un backup giornaliero: in quel caso la soluzione sarebbe un semplice restore del sito, il cambio di username e password di FTP, MySQL e amministrazione Joomla! e in 5 minuti avrete risolto il panico iniziale.
Articoli più recenti:
|
La domanda letale: tanti utenti che generano allarmismo, un web inconsapevole e la mancanza di conoscenze tendono a far precipitare le credenziali di un "prodotto" ottimo quale Joomla!.
