תכנים אחרונים: פוסט בבלוג

תכנים אחרונים: פוסט בבלוגתכנים אחרונים: פוסט בבלוג

zohar, ה', 05/01/2012 - 02:49

מספר מילים על אבטחה, בעקבות פרשת גניבת כרטיסי האשראי

הפוסט הזה לא מתיימר להיות מדריך לאבטחת מידע, אבל הוא נועד להסב את תשומת לב כל המפתחים (והלקוחות!) לנושא חשוב זה.

נתחיל בזה שאין מערכת בלתי חדירה, אבל יש רמת אבטחה שתשמור על האתר שלכם מפני רוב הפגעים הרעים, ותגן עליכם מפני מראות לא נעימים של דגלים זרים במקום שפעם התנוסס דף הבית של האתר.

לאבטחה יש מספר רמות ומעגלים - החל מסינון וסניטציה של תוכן שמגיע מהגולשים, עבור באבטחת עמודים מסוימים באתר, כמו עמוד הלוגין, עד לקונפיגורציות ברמת השרת. עבור הנושא האחרון כדאי להצטייד במקצוען שמבין כיצד להכין שרת לאירוח אתרים מאובטחים.

השאר נמצא בידיים שלנו, המפתחים. עלינו לוודא שהמערכת שבה אנו משתמשים יודעת לתת לנו רמה התחלתית טובה של אבטחה. מי שמקפיד לעדכן את גרסאות המערכת בעת שמשתחררים עדכוני אבטחה, עושה טוב. אני ממליץ בחום לכל מפתח באשר הוא, להתעדכן בהתראות האחרונות: http://drupal.org/security כדאי להירשם לעדכונים במייל או בטוויטר.

מעבר לכך יש את הקוד שלנו עצמנו - קוד זה חייב לעמוד בתקני הכתיבה לדרופל ובהנחיות לכתיבת קוד בטוח. אי הקפדה על כללים אלו עלולה להסתיים בכך שמישהו, בין אם זה בן אנוש זבלון ובין אם זה רובוט מניוק, יפרוץ לכם לאתר או סתם ישחית אותו להנאתו. אין להקל ראש בכך. גם אתרים קטנים מחזיקים מידע רב ערך - שמות של אנשים, כתובות המייל שלהם ובמקרים שבהם השרת לא מאובטח משהו מי יודע כמה, גם סיסמאות מוצפנות ב-MD5 הן פריצות. מכאן הדרך לחשבונות הפרטיים שלהם ומשם הלאה, קצרה מאוד. כך שגם אתרים שלכאורה אינם מאויימים צריכים לדאוג לאבטחת מידע רגיש על השרת (וזו הסיבה ששרתים שיתופיים הם בד"כ רעיון רע לאירוח אתרים).
בדרופל 7 חוזק מנגנון הצפנת הסיסמאות. ניתן, לפי הצורך, גם להצפין שדות מסוימים בלבד. זה קצת יותר כאב ראש, אבל אם המידע קריטי - זה צעד שיש לעשות.

כתיבת קוד בטוח גם מאמנת את המפתח בכתיבה נכונה. לא כולם כותבים קוד לדרופל כמו שצריך - הקפדה על הכללים לאבטחה מביאה עימה גם תופעות לוואי של קוד מסודר יותר.

bluetegu, ב', 02/01/2012 - 08:44

מודול ממולץ: disable_messages

ניתן לשלוט בהודעות המערכת לפי role , לפי path ,לפי סוג status,warning, error ועוד. מאד שימושי.

תגים:

yakoub, ש', 31/12/2011 - 11:02

המודול שלי ב דרופל עולמי

מודול ראשון שלי .
המודול מנהל פרופיל משתמש כמו ש profile2 עושה על ידי יצירת ישות "קטגוריה"
אבל המימוש הרבה יותר פשוט ולא מסתמך על המודול entity כמו ש profile2 עושה .

דף המודול http://drupal.org/project/user_categories

שי, ב', 19/12/2011 - 17:03

למה לא להקל על משתמש הקצה?

לאחרונה פרסמתי פוסט בבלוג אחר שלי בנושא בניית אתרים בחינם וחילקתי את האפשרויות ל2 חלקים , אתר הכסף ואתרי מעטפת.

המלצתי שם על דרופל בחום אבל אח"כ שאלתי את עצמי האם זה היה מתאים לדבר על דרופל לקהל לא מקצועי? מכיוון שרוב הקהל שקוראים את הבלוג הם בעלי עסקים\אתרים ולא אנשים טכניים.

בד"כ אני מדבר איתם על וורדפרס ואחרי שדיברתי על דרופל הבנתי פתאום שלנו כאנשים טכנים דרופל נראית סבבה אבל למשתמשי הקצה היא לא כ"כ ידידותית.

אנו תופרים מערכת ללקוח ומה שאנו נותנים לו הוא משתמש אך הוא לא יכול להרחיב אותה בעצמו

רק לשם הדוגמא אם אתה מתקין וורדפרס ללקוח ועשית לו את העבודה השחורה משם הוא די יכול להתקדם לבד אם זה בעניין התקנת פלגינים,שינוי ערכות עיצוב וכו' אני לא מנסה להשוות אבל יש עניין קטן בדרופל שקצת התקדם בדרופל 7 אבל לא עד הקצה וזה עניין ההתקנות מתוך המערכת.

עדיין צריך לתת URL של ערכת העיצוב או המודולץ אמנם זו התקדמות אך לעומת זאת בוורדפרס אתה יכול לחפש פלגינים וערכות עיצוב ולהתקין אותם מתוך ממשק הניהול .

אז אני מקבל מיילים בסגנון "התקנתי ערכת עיצוב חדשה ומאז האתר לא עובד" אבל גם לנו המפתחים שיודעים מה הם עושים העניין הזה של חיפוש והתקנה מתוך המערכת יכול להיות הרבה יותר נוח.

אולי יש סיבה מיוחדת שדרופל לא שמה אפשרות זו בליבה והיאא נעלמת ממני??

תודה
שי
http://ifree.org.il/blog/%D7%91%D7%A0%D7%99%D7%99%D7%AA-%D7%90%D7%AA%D7%...

תגים:

druvision, ש', 17/12/2011 - 20:58

סיכום כנס קוד פתוח בגליל - "להתפרנס מקוד פתוח, תוכנה חופשית וכוח הרשת"

הנה הדברים שרשמתי בכנס הראשון - "להתפרנס מקוד פתוח, תוכנה חופשית וכוח הרשת" - שנערך ביום חמישי האחרון במכללת תל חי. דברים שחשוב לכל יזם לשמוע ולהפנים. אז אל תגידו שלא קראתם...

סיכם: אמנון לבב, "לבבי ייעוץ משולב", יועץ תוכנה ויזם, ממייסדי קהילת "דרופל ישראל".

הכנס נערך ביוזמת צחי רבאל יחד עם החוג למדעי המחשב במכללת תל-חי, והמדור לקידום יזמות עסקית – מועצה אזורית הגליל העליון, בחסות איגוד האינטרנט הישראלי. תודות לכל מי שסייע בארגון הכנס ובמיוחד לעינת ולליאת מלומבי.

div dir="RTL">