uvedobles.com » Seguridad

Evita que te sigan la pista

dedavid — Mon, 26 Mar 2012 08:14:26 +0000

¿El primer tracker fue Pulgarcito? Que pequeño que es Pulgarcito en mis recuerdos casi tan minúsculo como las cookies que va soltando Google, la mayor empresa galletera del mundo, ¿o acaso lo dudas?

Pero Google no es inofensivo y tan fantástico como Pulgarcito los de Mountain View son grandes y omnipresentes. La todopoderoso Google, ese gran hermano que oculta sus intenciones sólo, entre otras muchas cosas, quiere saber todo sobre mi… mas que sólo, lo quiere todo, imagino que ya pronto veremos Google Dreams, porque seguro que la publicidad adSense o mejor adDreams… ya está proyectada sobre el papel, y seguro que cuando lo logren se pagará más y mejor que el adSense actual, que ya huele a añejo y que nuestro subconsciente en tiempo de vigilia ha comendo a aprender a obviar, en lo visual y en lo procesal.

¿Quién alguna vez no ha sentido cierto momento paranoico conociendo la existencia de esos constantes trackeos a los que nos someten ciertas páginas web que visitamos?

Saben mucho, ellos, y nosotros lo sabemos, y como tontos, yo el primero, lo aceptamos aunque a veces entre algún regañadiente y alguna pataleta. Hay determinados momentos en nuestra vida digital, o al menos los tengo yo que deseo que no me trackeen en absoluto, que no me vigilen lo que hago, sentirme libre por diversos motivos y no sólo por el porno… si no más bien por el por no darme la gana que metan sus narices en mis costumbres bytenianas. Muchas veces se da este caso porque sencillamente estoy realizando un informe de posicionamiento SEO a clientes, y como estoy trackeado, los resultados están adulterados en base a mis preferencias así que si no me deslogueo de Google, de Facebook y de Twitter para después borrar las cookies el historial y no se yo si me estaré dejando algo, mi trabajo no sirve, no tiene fiabilidad fuera de mi mundo trackeado y personalizado en base a mis gustos y sólo a mis gustos.

Para evitar eso, es decir que esa, tú búsqueda o esa, tú visita acabe en una base de datos que luego cruzarán con otros servicios suyos o pero aún servicios externos pactados o delegados, hasta lograr sacar con el tiempo un completo perfil de tus hábitos. Ellos, aquellos que realmente o conoces tendrán una radiografía exacta de tu comportamiento binario, y para intentar evitar en la medida de los posible que te trackeen en un momento dado de tu día a día hay una nueva extensión para el navegador Google Chrome y para Firefox que permite evitar el trackeo de los sitios más relevantes, esto es:

Google
Facebook
Twitter
Yahoo
Digg

Para instalarte la extensión para evitar el trackeo visita: https://disconnect.me

Páginas relacionadas con este artículo:

Sincronizar ficheros mediante FTP

dedavid — Tue, 26 Apr 2011 16:27:24 +0000

Para sincronizar ficheros entre dos servidores entre tu máquina local y un servidor remoto vamos a utilizar el programa para Linux “LFTP”, ya sabemos que para estas tareas es mucho mejor rSync pero, pero… si el servidor remoto no lo soporta, es por ejemplo un Windows Server o no lo tiene instalado y no podemos acceder mediante SSH porque se trata de un servidor requetecompartido este sistema de copia de seguridad, backup o sincronización mediante FTP te resultará de gran ayuda. Si no lo tienes instalado en tu sistema procede a instalarlo con un: sudo apt-get install lftp Una vez instalado conéctate al servidor remoto por FTP utilizando un nombre de usuario y una clave con: lftp -u usuario_ftp,clave servidor_ftp_o_ip Si da problemas de conexión podría ser por que el servidor FTP está en modo pasivo forzado si es así edita el fichero de configuración de LFTP con un: nano /etc/lftp.conf y descomenta la linea “passive-mode”: Ahora vamos a realizar una copia espejo de la carpeta del servidor remoto al servidor o equipo local mediante el comando “mirror” de lftp: mirror carpeta_servidor_conectado carpeta_destino_en_local

Si quieres abortar el backup o sincronizado haz un CTRL+C y si quieres salir de “lftp” escribe quit y pulsa enter Ahora tardará un buen rato en preparar la copia para posteriormente sincronizar todos y cada uno de los archivos.

Ahora nos quedaría hacer una especie de script y añadirlo a las tareas “cron” de forma que la sincronización o backup se hicies de forma automatizada sin que tengamos que mediar en ello. Para cargar un script de comando vamos a utilizar el siguiente comando lftp lftp -f donde será un archivo de texto con los comandos a ejecutar, esos comandos tienen la siguiente sintaxis:

open ftp.servidor.com

user nombre_usuario clave_usuario

mirror dirRemoto2 /var/www/backup/

mirror dirRemoto1 /var/www/backup/

exit

Ya tenemos el script, ahora vamos a añadirlo a las tareas para

editamos el archivo crontab

sudo crontab -e

Y añadimos una línea como la que sigue:

00 19 * * * lftp -f /home/scripts/serverone2servertwo.lftp > /dev/null

Salimos y reiniciamos el servidor cron con un

sudo /etc/init.d/cron restart

Ahora toca esperar haber si nos funciona!

Páginas relacionadas con este artículo:

Bloquear muchos intentos fallidos de acceso a servidor

dedavid — Mon, 25 Apr 2011 15:57:12 +0000

Vamos a proteger nuestros servidores basados en Debian y Ubuntu con dos aplicaciones Fail2Ban y DenyHost ambas son unas aplicaciones ideales para proteger servidores puest te permite bloquear determinados ataques cuando estos fallan con la clave al intentar acceder a tu servidor, vaya el típico ataque de denegación de servicio.

Protegiendo Apache, FTP y los servidores de correo con Fail2Ban

Funciona de una forma muy sencilla, Fail2Ban lee los archivos de log de accesos por password o los errores del fichero de errores de apache error_log vetando a través del Firewall aquellas IPs que fallan muchas veces

Para instalarlo, desde Ubuntu o Debian:

sudo apt-get install fail2ban

Para configurarlo lanza un editor como nano o cualquier otro que tengas instalado

sudo nano /etc/fail2ban.conf

Tienes instrucciones sobre la configuración del mismo en:

http://www.fail2ban.org/wiki/index.php/HOWTO_fail2ban_spanish

Enlace: http://www.fail2ban.org/wiki/index.php/FAQ_spanish

Protegiendo el servicio de SSH

Ahora le toca el turno a DenyHosts cuya página web es: http://denyhosts.sourceforge.net/ para instalarlo nuevamente desde un terminal tipeamos:

sudo apt-get install denyhosts

DenyHost únicamente nos protegerá el servidor SSH, que ya es mucho. Nosotros lo hemos probado y rotundamente funciona sin tener que tocar nada de configuración, la gran ventaja es que además de analizar los logs con los intentos de conexión además accede de forma automática a listas de IPs atacantes desconocidas que se hallan en el servidor principal de DenyHost.

Si quieres modificar su configuración puedes hacerlo con un:

nano /etc/denyhosts.conf

Una de las opciones que te aconsejamos es la de sincronizar de forma automática y cada hora con el servidor de DenyHosts, para ello deberás descomentar una línea en ese archivo de configuración:

# To enable synchronization, you must uncomment the following line:

SYNC_SERVER = http://xmlrpc.denyhosts.net:9911

Recuerda que toda esta instalación y configuración se debe hacer como superusuario

Si la lías parda y te autobaneas

Si te sucede como a mi que durante las pruebas me autobaneé “sin querer queriendo” y al intentar acceder el servidorcito chulo como ninguno te escupe un:

ssh_exchange_identification: Connection closed by remote host

Tienes que cambiar de IP, acceder, para el servicio denyhosts y borrar la IP baneada del archivo /etc/hosts.deny yo lo hice desde el móvil, pues tengo un router con IP fija puxx, que va bien para casi nada, en cambio en el mobilette donde al tener una conexión 3G con una IP diferente me pude conectar, usé el programa ConnectBot de Android, que no me lo había mirado mucho y la verdad lo he visto un poco flu, pues para empezar no se como se maneja el cursor, si alguno de vosotros conoce algún otro software para conectarse a SSH desde Android please, que nos deje un comentario a todos.

Páginas relacionadas con este artículo:

Medir la velocidad de una web

dedavid — Mon, 21 Mar 2011 08:08:52 +0000

Atentos a: http://loads.in/ una aplicación web desarrollada por WatchMouse que permite medir la velocidad de descarga de una página web prácticamente desde cualquier país, muy útil en procesos de internalización donde la web de tu cliente debe tener suficiente velocidad desde diferentes países.

Esta aplicación web te ofrece los siguientes resultados:

Capturas con los diferentes momentos en el proceso de descarga de la web
La posibilidad de medir la velocidad de la misma desde diferentes países
La posibilidad de medir la velocidad bajo diferentes navegadores web
La gráfica con todos los archivos que conforman la página, su peso y su velocidad de descarga

Una de las limitaciones que presenta esta útil utilidad para medir la velocidad de descarga de una web es que tan sólo te permite realizar un máximo de 50 checks diarios bajo la misma IP, en la práctica creemos que son menos pues hemos intentado monitorizar la aplicación de facturación online invOOice.com desde todos los países que permite y tan sólo hemos podido llegar a medir 15 países.

La principal conclusión que he podido extraer, y que ya era obvia pero no tan mesurable, es que un servidor alojado en USA es mucho más rápido si es visitado desde la propia USA que desde Europa. Toma obviedad! Las diferencias que me he encontrado son muy muy destacables, del orden de los 9 segundos para una página home con tan sólo un formulario de login de usuario y unos cuantos enlaces, todo con el grafismo, el javascript y el html pesa un total de 103,6 Kb. que por lo que veo, se puede y debe optimizar.

En la gráfica Waterfall, que es la que te indica cuanto tarda cada archivo en descargarse veo claramente que puedo minimizar bastante, pues existen un total de 12 peticiones request y hay algunos archivos que no son estrictamente necesarios o son minimizables en esta pantalla pues el usuario aún no está logueado, si los elimino podré optimizar y mucho la velocidad de descarga de esa primera página o página home, también simultáneamente podré mejorar la seguridad del sistema. Un ejemplo claro es la hoja de estilo que se carga, que es la hoja de estilos de la aplicación, cargarla toda para tan sólo un login quizá no tiene mucho sentido. por lo que se puede reducir mucho si se carga una con tan sólo los elementos que se utilicen, o mejor alguno, al ser pocos si los mismos se incrustan en el tag HEAD se gana una petición request menos.

Otro punto a destacar es que obviamente las imágenes son siempre lentas y pesadas, por lo que también toca optimizarlas, siempre sin sacrificar la calidad ni la imagen que se quiere dar al aplicativo.

A continuación los resultados del test del sistema de facturación web http://invOOice.com para cargar la página de inicio o home, hay que indicar que el servidor de invOOice.com está ubicado en USA y los resultados son, por orden de mayor lentitud a mayor velocidad de descarga:

Visitante de Guadalajara (México) que visita invOOice.com: 10.27s
Visitante de Ciudad del Cabo (South Africa) que visita invOOice.com: 5.04s
Visitante de Nagano (Japón) que visita invOOice.com: 4.16s
Visitante de Río de Janeiro (Brasil) que visita invOOice.com: 3.57s
Visitante de Cairo (Egypt) que visita invOOice.com: 3.19s
Visitante de Sydney (Australia) que visita invOOice.com: 4.16s
Visitante de Madrid que visita invOOice.com : 2.84s
Visitante de Inglaterra que visita invOOice.com : 2.66s
Visitante de Zurich (Suiza) que visita invOOice.com : 2.64s
Visitante de Vancouver (Canada) que visita invOOice.com: 2.27s
Visitante de Florida (USA) que visita invOOice.com 2.25s
Visitante de Austin (USA) Chicago (USA) que visita invOOice.com 1.88s
Visitante de New York (USA) que visita invOOice.com 1.80s
Visitante de Dallas (USA) que visita invOOice.com: 1.78s
Visitante de San Francisco (USA) que visita invOOice.com 1.66s

Las diferencias son de bulto más de 1 segundo entre San Francisco y Madrid, eso en este caso es el doble, además parece que además de la cercanía física de la conexión en relación al servidor alojado en USA también influye la calidad de las conexiones de internet de cada país, de lo contrario no se explicaría que el más lento fuese México cuando en kilómetros la distancia es quizá la menor, es decir, la conexión más cercana con el servidor, a parte, obviamente de la de San Francisco.

Destaco también las diferencias dentro de la propia USA, del orden de 3 décimas de segundo de una costa a otra.

Esperamos poder sacarle una constatable mejora de velocidad a nuestros sistemas, así como la correspondiente mejora en posicionamiento, pues Google valora, y mucho, la velocidad, y todo ello gracias a esta aplicación web, ya no sólo desde el punto de vista de la optimización de los contenidos web si no más bien a través del uso de CDN o Content Deliverable Networks y a través de sistemas Clouds descentralizados, que te permiten crear nodos o clústers de tu aplicación web en diferentes localizaciones, países o continentes.

Si alguien de vosotros, lectores, conoce otros sistemas alternativos para medir la velocidad de descarga de una página web, que no lo dude, que nos deje un comentario, entre todos mejoramos.

Páginas relacionadas con este artículo:

Con la censura hemos topado

dedavid — Tue, 01 Feb 2011 07:35:38 +0000

Google censura, Google es un censurador, ¿Quién se cree que es Google? Todopoderoso señor de la red, políglota y con oratorios por doquier al que le confesamos nuestras inquietudes en forma de palabras y frases de búsquedas, le proferimos nuestras voces en forma de correos electrónicos, además de aquello que nuestros ojos ven desde Picassa, incluso el éxito de nuestra empresa con los adWords, son tantos y tantos los tentáculos del todopoderoso señor de internet que me alegro que aparezcan otras tendencias como Facebook que aún siendo hijas de la insolencia o del robo de ideas hoy se posicionan como única alternativa.

Este rollo que he dejado ir viene por algo, es una nueva protesta contra Google pues hace escasos días sin pedirnos permiso y sin ponernos en preaviso alguno, ha tomado la decisión de eliminar todos los resultados que contengan la palabra Torrent y sucedáneos en la búsqueda predictiva o instantánea de su buscador, El buscador. Además hay no se han quedado, también han eliminado las búsquedas con los conceptos de “Rapidshare”, “Megaupload” y posiblemente todas aquellas que les apetezca, parece que hoy les toca minimizar la necesidad de compartir de la sociedad.

Esto es irritante, pues tal y como leo en microsiervos Google te muestra otros resultados, tales cómo los de “construir una bomba”, cómo cometer un montón de variados delitos sin más, pero considera que esto de los Torrents es un delito mayor…¿acaso es más peligroso para la sociedad que una bomba?

Esperamos que se retracten, al menos hoy y ahora desde el google.com si que muestra esos resultados, y frenar esta actitud, que no se expanda a un absolutismos del tipo “no quiero esto lo quito y sansacabao“, pues el denominado mejor buscador del mundo cada vez colorea más a su gusto los resultados.

Como diría aquel gran hombre… A la mierda!!!

Páginas relacionadas con este artículo:

Alternartivas al hosting

dedavid — Fri, 14 Jan 2011 16:54:22 +0000

Iniciativas como estas son para sacarse el sombrero; bravo UnHosted, más aún hoy, donde para nosotros, en nuestro país, con la ley Sinde acechando al otro lado de tu pantalla de webmaster, una ley que destaca por su injusticia. Es jocoso hasta para vomitar sobre ella del asco que produce que cuatro amigos rebosantes de poder puedan ahora señalar a alguien a escondidas y de un plumazo eliminar su servicio en la red.

En fin, me cabreo con esta mentira tan gorda que levanta toda sospecha pues es claramente un ataque frontal a las libertades ganadas en democracia un nuevo giro a la represión, incomprensible a la paz que retrogado.

Intentando no coger más mala sangre, que es viernes y toca descansar os dejo un enlace a un proyecto que puede ser algo nuevo si todos nos volcamos con él un sistema de hosting inhospedado, en otras palabras un hosting sin hosting : http://www.unhosted.org/

Esto puede ser el P2P de los webservers un paraíso de libertad! Pues con él el servidor está distribuido y por tanto nadie va poder tener narices técnicas de chaparlo.

Sonríe! La libertad vuelve

Páginas relacionadas con este artículo:

Introducir la contraseña para desbloquear el depósito

dedavid — Tue, 19 Oct 2010 05:51:12 +0000

Cada día, cada mañana a primero hora y tras arrancar mi máquina Ubuntu, este mensaje me da los buenos días:

Introducir la contraseña para desbloquear el depósito

Esto me sucede desde que cambié la contraseña de mi usuario, y viene a decirte que esta no coincide con la contraseña del Keyring o anillo de llaves. Es decir, la contraseña del llavero, la contraseña de las contraseñas.

Así que finalmente y tras casi un mes decidí buscar una solución al respecto, una solución tan fácil como:

sudo aptitude install libpam-keyrin

Páginas relacionadas con este artículo:

Programar la descargar de un archivo

dedavid — Tue, 28 Sep 2010 09:54:39 +0000

Con este pequeño script o snipplet podrás aprender fácilmente como crear un archivo sh para Linux con el que podrás hacer que se descargue un archivo de forma recurrente de forma programada cada N segundos, en nuestro ejemplo cada 60 segundos.

La argumentación del comando WGET, a tu gusto, si bien puedes incluso programar subidas. Esto puede ir fenomenal para copias de seguridad o sincronización entre máquinas remotas. Dale a la bola para ver tu en que te lo puedes aplicar, el script a continuación;

while true; do

   wget 
   sleep 60
done

Páginas relacionadas con este artículo:

Test de carga web

dedavid — Mon, 20 Sep 2010 07:50:14 +0000

Hace ya algunos días os pasé un enlace con 18 aplicaciones web para probar la velocidad y el rendimiento de una web.

Muchas de estas aplicaciones ya las conocía, pero de todas, me quedo con http://loadimpact.com/

Sencillamente porque su versión gratuita te permite simular hasta 40 usuarios navegando simultáneamente en tu página web, cifra más que suficiente para poder medir cualquier hosting y predecir si se va a caer.

Para los programadores web tiene otra utilidad, la de la optimización, sí ya sabes que arañar unos bytes a tu código siempre le sienta bien, pero bueno, ¿tan poco se nota? Dedicar 4 horas depurando para unos pocos bytes es rentable. Si te lo pagan sí. Por ejemplo en aplicaciones críticas con muchos usuarios concurrentes quizá el primer paso es optimizar y no proceder a cambiar de hosting o de servidor con elcoste que implica.

Esta prueba de rendimiento en masa tiene otras aplicaciones, no sólo podrás saber si el hosting que tienes o el de tus clientes es bueno sino que también si eres de sistemas te permitirá comprobar la eficacia en cuanto a rendimiento de los cambios de configuración que realices en la configuración de un servidor. Incluso ir un paso más allá, podrás medir diferentes servidores web, Apache bajo Windows, Apache bajo Linux, Nginx, Cherooke…

Bueno pues nada, a optimizar nenes y nenas de la web!: http://loadimpact.com/

Páginas relacionadas con este artículo:

Nginx y phpMyAdmin

dedavid — Sun, 08 Aug 2010 09:04:11 +0000

Me ha costado un poco más configurar phpMyAdmin para que corra con Nginx, que aprender a pronunciar el nombre de este buen servidor web sin guiñar ninguno de ambos ojos… digo bueno porque literalmente se repasa al venerable Apache, que por viejo está gordo como ninguno, eso sí, sabe de todo, pero pero es un glotón de recursos.

En el panorama actual existen diversas soluciones libres para establecer un buen servidor web, desde el aclamado Cheroke, un web server creado por el español Álvaro López Ortega y que prometo probar en un futuro, al famoso Lighttpd, otro cuyo nombre se las tra, y el nginx, donde me gustaría ver a Paco León, genio y artista, pronunciar semejante nombre como cuando lo intentó con Shreek y cuyo testigo queda en YouTube.

Hemos escogido Nginx pues las comparativas que hemos leído sobre él destroza a cualquier otros servidor web en cuanto al escaso consumo de recursos que precisa, estableciendo un ratio de 1:10 contra por ejemplo Apache, es un servidor ligero, muy ligero y cuya configuración no es en exceso difícil para alguien que se maneje un poco con la línea de comando de Linux, ahora bien, el problema ha llegado al intentar configurar phpMyAdmin bajo él, de todos, todos, los tutoriales que hemos visitado, ninguno ha funcionando, hasta que al final hemos copiado el directorio de la carpeta /usr/share/phpmyadmin a dentro del propio directorio del webserver /var/www una solución temporal, pero que nos va a servir para comprobar el rendimiento del conjunto nginx+php+mysql+phpmyadmin como futuro para nuestros servidores de producción donde correr nuestras aplicaciones web.

Como apunte os diremos que algunas de las mayores webs del mundo, aquellas que tienen un tráfico brutal, funcionan bajo nginx, por ejemplo YouTube, y hace poco también migró de Apache a nginx la española “meneame”.

Ahora, repite conmigo: enllins, einnllinss, enellinks, enjinks y quédate con la que quieras pero quédate.

Páginas relacionadas con este artículo: