Forzando conexiones SSL mediante .htaccess
Hola!
Muy buenas a todos/as!
Hay muchísimas webs que a la hora de hacer login en su aplicación web. Lo hacen mediante http, es decir, el tráfico no está cifrado.
Para automatizar este tipo de tareas, se puede, mediante .htaccess obligar que siempre se acceda por SSL.
Para hacer por ejemplo que todo sl site web estuviera cifrado por SSL pondríamos estas lineas en el .htaccess
RewriteEngine On
RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.*)$ https://www.example.com/$1 [R,L]
Todo lo que entrara vía web que es el puerto 80. Entraría con https, es decir, ya cifrado.
Pero, si en cambio queremos que sólo se cifre una carpeta lo hacemos mediantes la siguiente directiva:
RewriteEngine On
RewriteCond %{SERVER_PORT} 80
RewriteCond %{REQUEST_URI} mi-carpeta
RewriteRule ^(.*)$ https://www.mi-sitio.com/mi-carpeta/$1 [R,L]
Ahora todo lo que fuera hacia http://www.mi-sitio.com/mi-carpeta se convertiría de manera automática en:
https://www.mi-sitio.com/mi-carpeta
Ahora ya podremos utilizar SSL en las conexiones donde nos interese.
Recordad que para habilitar esta opción hay que tener mod_rewrite activado.
Un saludo
Charla de Seguridad TLS y SSLv3
El Miércoles día 16 del diciembre del año pasado podíamos ver en la página principal de la asociación de BadiaTech que el día 22 de diciembre había una charla de Seguridad dedicada a TLS y SSLv3.
La noticia la podíamos ver aquí
Aquí podéis ver la noticia completa y descargar los archivos que necesitáis.
Noticia y descarga de archivos.
La charla la daba yo más el apoyo logístico de Sergio el Presidente y Fundador de BadiaTech.
Era mi primera charla así que estaba un poco nervioso…además aquel día todo se salió del horario.
Antes de empezar la charla celebramos de manera original el cumpleaños de Sergio que justamente caía en ese mismo día.
Aquí podéis ver una foto del pastel, además de algunos miembros de BadiaTech
Después de ese pedazo de pastel, bajamos hacia la sala en donde se haría la charla.
Era una sala bastante grande y disponíamos de: Un portátil y un retro-proyector.
La audiencia, en mi opinión, fue mas de que esperaba.
Hicimos los preparativos de la charla:
La preparación era sencilla, ya que pasábamos un Power Point y listo.
Una vez conseguimos que lo del Power Point funcionara ya que también hubo problemas 
Pudimos dar la charla
Sergio estaba sentado y yo levantado dando la charla
Aquí tenéis el Power Point
Según los comentarios la charla fue bien, un poco de nerviosismo por mi parte, pero bien. Yo repetiría experiencia.. jajaja
Seguridad en las Redes Sociales
Introducción:
Ya se han visto varias páginas de Internet que muestran la importancia de ese tema y es que, en mundo donde la web 2.0 se ha convertido en algo a la orden del día tanto para jóvenes como para adultos hemos de concienciarnos de la importancia y los pasos que hemos de seguir para entrar en este mundo de las Redes Sociales
Principalmente se conocen tres redes sociales principales, Facebook, Tuenti y Twitter.
Empezaremos priméramente por definir que es o como se conoce una red Social,
Una Red Social:
Es una estructura social que se puede representar en forma de uno o varios grafos en los cuales los nodos representan individuos (a veces denominados actores) y las aristas relaciones entre ellos.
Definamos, estructura social como las relaciones sistemáticas que vinculan a miembros de una determinada comunidad aunque no se encuentren en ningún momento en contacto directo, ha resultado uno de los conceptos más problemáticos de la disciplina y el comportamiento humano. y Definamos grafos como gráficas
Después de saber que es una Red Social, pasaremos a explicar un poco la historia de cada una de ellas.
Historia
Empezaremos por Tuenti..
Fue creada en 2006 por Zaryn Dentzel, un estudiante estadounidense actualmente afincado en Madrid (España). Dentzel conoció España a través de un intercambio que lo llevó a Cabeza del Buey (Badajoz) y, a raíz de ésta experiencia, fue como años más tarde nacería Tuenti.Al principio iba dirigido para universitarios y sólo algunos conocidos pudieron probarlo. Más tarde, en vista de su éxito, permitieron la entrada a más usuarios, pero sólo si tenían invitación. Actualmente se calcula 6 millones de usuarios en España, la inmensa mayoría de ellos universitarios y colegiales
Tuenti es la única en la que se puede entrar sólo con Invitación ya que, mantienen la idea de que si te metes en Tuenti es porque tienes a alguien de confianza ahí dentro.
Sigamos por Twitter
Comenzó como un proyecto de investigación y desarrollo dentro de Obvious, LLC, un pequeño start-up de San Francisco, durante marzo de 2006. El nombre original del producto era twttr, inspirado por Flickr. Al principio fue usado internamente por la compañía hasta que fue oficialmente lanzado al público en octubre del mismo año. El servicio rápidamente comenzó a ganar adeptos y en marzo de 2007 ganó el premio South by Southwest Web Award en la categoría de blog.
Bastante utilizado ya que ofrece un servicio muy bueno como es el de dejar cómo un mensaje rápido de lo que estás haciendo en ese momento.
Y por último Facebook,
El creador de Facebook es Mark Zuckerberg, estudiante de la Universidad de Harvard. La compañía tiene sus oficinas centrales en Palo Alto, California.
La idea de crear una comunidad basada en la Web en que la gente compartiera sus gustos y sentimientos no es nueva. Ya David Bohnett, creador de Geocities, la había incubado a fines de los años 1980. Geocities tuvo éxito en los 1990, en 1998 fue el tercer sitio más visto en la Web,pero no logró consolidarse después de que fuera adquirido por Yahoo!.
Facebook compite por abrirse espacio entre empresas de éxito como Google y MySpace, por lo que se enfrenta a grandes desafíos para lograr crecer y desarrollarse. Una de las estrategias de Zuckerberg ha sido abrir la plataforma Facebook a otros desarrolladores.
La fortaleza de la red social Facebook radica en los 300 millones de usuarios que ha creado,basada en conexiones de gente real. Actualmente, se ha puesto en marcha Facebook en español, extendiéndose a los países de Latinoamérica. Casi cualquier persona con conocimientos informáticos básicos puede tener acceso a todo este mundo de comunidades virtuales.
Sin duda la red social más concocida por los usuarios, ya que todo el mundo puede utilizarla.
Una vez ya sabemos un poco más de historia, pensemos, porqué tienen tanto éxito las redes sociales a que se debe todo el auge que ha tenido, que similitudes y diferencias hay entre ellas.
Similitudes y dieferncias entres las principales redes sociales.
Similitudes.
- Sin duda, todas empezaron siendo un proyecto cerrado y ninguna se imaginaba que fuera a tener ek akacance que ha tenido
- Todas fueron creadas por gente de habla anglosajona.
- Todas te permiten interactuar con la gente de manera muy sencilla.
- En todas puedes colgar tus fotos, videos y demás.
Diferencias
- Facebook y Twitter són de libre acceso, pero en Tuenti sólo puedes entrar por invitación
- Tuenti y Facebook son las que más se parecen, Twitter es mas bien usado para otras cosas.
- Casi todas se basan en los Followers ( Seguidores) de alguna manera.
Privacidad
Sin duda un tema muy discutido en Internet, que pasa con nuestros datos? Si eliminamos nuestra cuenta quien se encarga de gestionarlos?
Empecemos por Tuenti.
En su página oficial podemos encontrar estas especificaciones sobre Tuenti
Al publicar contenidos en tu perfil -fotos, archivos, textos, vídeos, sonidos, dibujos, logos o cualquier otro material- conservas todos tus derechos sobre los mismos y otorgas a TUENTI una licencia limitada para reproducir y comunicar públicamente los mismos, para agregarles información y para transformarlos con el objeto de adaptarlos a las necesidades técnicas del Servicio. Esta autorización es mundial, no exclusiva (lo que significa que puedes otorgar otra licencia sobre tu contenido a cualquier persona o entidad, además de a TUENTI), por todo el tiempo que tengas vigente tu perfil y con la única y exclusiva finalidad de que TUENTI pueda prestarte el servicio en los términos explicados en estas Condiciones de uso.
La anterior licencia quedará rescindida una vez que elimines tu contenido del Servicio o des de baja tu perfil. A partir de ese momento, TUENTI interrumpirá la comunicación de tu contenido a la mayor brevedad posible.
En relación con el contenido que publiques en el Servicio, garantizas:
- Que eres el propietario o el titular de cualquier otro derecho que te permite conceder a TUENTI la licencia para su publicación.
- Que no vulnera leyes aplicables tales como las relativas al derecho a la intimidad, a la imagen y/o al honor, derechos de propiedad intelectual o industrial o similares ni ningún derecho de un tercero, ya sea una persona o una entidad.
Por ello, mantendrás indemne a TUENTI ante cualquier demanda o reclamación presentada por un tercero en relación a cualquier derecho legítimo sobre el contenido que hayas publicado en el Servicio.
Por lo que dice aqui podemos extraer un par de ideas.
- Primero de todo que lo que publiques Tuenti podrá hacerlo público, aunque tu conservarás los derechos sobre los mismos.
- También comenta que, una vez elimines tu cuenta los datos quedarán eliminados.
Sigamos pot Twitter
Service Providers We engage certain trusted third parties to perform functions and provide services to us, including, without limitation, hosting and maintenance, customer relationship, database storage and management, and direct marketing campaigns. We will share your personally identifiable information with these third parties, but only to the extent necessary to perform these functions and provide such services, and only pursuant to binding contractual obligations requiring such third parties to maintain the privacy and security of your data.
Compliance with Laws and Law Enforcement Twitter cooperates with government and law enforcement officials or private parties to enforce and comply with the law. We may disclose any information about you to government or law enforcement officials or private parties as we, in our sole discretion, believe necessary or appropriate to respond to claims, legal process (including subpoenas), to protect the property and rights of Twitter or a third party, the safety of the public or any person, to prevent or stop any illegal, unethical, or legally actionable activity, or to comply with the law.
Business Transfers Twitter may sell, transfer or otherwise share some or all of its assets, including your personally identifiable information, in connection with a merger, acquisition, reorganization or sale of assets or in the event of bankruptcy. You will have the opportunity to opt out of any such transfer if the new entity’s planned processing of your information differs materially from that set forth in this Privacy Policy.
Changing or Deleting Information
If you are a registered user of the Site, you may access and update or correct the information you provided to us by e-mailing us at // privacy at twitter dot com.
De aqui podemos sacar varias ideas:
- La primera es que terceras partes, como empresas podrán tener acceso a tus datos.
- Si que podrás tener acceso a tus datos.
- Si quieres eliminar o cambiar tu información has de enviarles un correo.
Y finalmente nos pasamos a Facebook
Facebook ha sido denunciado en varias ocasiones por no respetar las leyes de privacidad.
Al ser la red social más frequentada por los usuarios de la red, es la que mas está en el punto de mira de todo el mundo.
Si nos paseamos por el apartado de privacidad que tiene Facebook podemos encontrar distintas cosas.
Es posible que Facebook utilice información de tu perfil sin identificarte individualmente ante terceros. Esto se hace con propósitos como establecer a cuánta gente en una red le gusta un grupo o una película, y para personalizar anuncios y promociones. Creemos que esto es beneficioso para ti puesto que te permite estar mejor informado sobre lo que ocurre a tu alrededor. Y cuando aparecen anuncios, es más probable que sean de interés para ti. Por ejemplo, si pones una película que te gusta en tu perfil, podemos mandarte un anuncio sobre el estreno de otra del mismo estilo en tu ciudad. Sin embargo, no informamos a la productora cinematográfica de tu identidad.
Puede que utilicemos información sobre ti que recogemos de otras fuentes, incluyendo, aunque no únicamente, periódicos y fuentes de internet como blogs, servicios de mensajería instantánea, la plataforma de desarrolladores de Facebook y otros usuarios de Facebook, para complementar tu perfil. En general, allí donde se utiliza este tipo de información, te permitimos especificar en tu configuración de privacidad que no quieres que esto ocurra o realizar otras acciones que limiten la conexión de esta información con tu perfil (p.ej. quitar un enlace a la etiqueta de una foto).
Información compartida con terceros
Facebook consiste en compartir información con otros (amigos y personas que pertenecen a tus redes) a la vez que se ponen a tu disposición opciones de privacidad que restringen el acceso de otros usuarios a tu información. Puedes elegir la información que compartes con tus amigos y redes en Facebook. Nuestra arquitectura de red y tu configuración de privacidad permiten que tomes decisiones sobre quién tiene acceso a tu información. No proporcionamos tus datos de contacto a empresas externas sin tu permiso. Compartimos tu información con terceros sólo en circunstancias limitadas cuando consideramos que hacerlo es 1) razonablemente necesario para ofrecer el servicio, 2) obligado por ley o 3) permitido por ti. Por ejemplo:
- El muro y la sección “Noticias” pueden agregar y mostrar información a tus amigos y a los miembros de las redes a las que perteneces de conformidad con tu configuración de privacidad. Para especificar tus preferencias de configuración para el muro y las noticias, ve a la página “Configuración de privacidad“.
Como podéis ver también comparte información con terceros. Después de las quejas que los usuarios que ha tenido se puede ver en el menú de privacidad esto:
Aqui YA nos da un consejo para editar nuestra privacidad.
Gestionar nuestra privacidad en las redes sociales.
Normalmente, como cuando instalamos un programa “lo que viene por defecto” suele ser lo menos seguro
asi que empezaremos por Twitter
En Twitter sólo podemos configurar una cosa y es protejer nuestros tweets.
De esta manera protejeremos nuestros tweets de la gente que no hayamos aprobado préviamente.
Ahora seguiremos con Tuenti
En Tuenti al tener mas servicios y “parecerse” a Facebook podemos granular más la configuración.
En las preferencias podremos ver algo como:
Aqui podemos establecer cómo queremos que sea configure nuestra privacidad en Tuenti, de esta manera podremos controlar quien tiene acceso a nuestro perfil. Aunque tiene opciones de configuración aún podría ser más granular aún.
Y por último vámonos a Facebook.
En Facebook podemos ser más granulares en cuanto a las configuraciones que podemos llegar acabo.
Primero vamos al menú de privacidad.
Accedemos a ese menú y nos llevará a otro sitio.
Esto es la información de contacto. Para mi esto sería lo más seguro. En la información básica…que tenemos?
Con esto tendríamos el menú de privacidad configurado. Sigamos configurando más Facebook.
Configuración en las aplicaciones.
Cada vez que nos ponemos y jugamos con una aplicación trasmitimos una información. En el menú de privacidad podemos acceder al menú de aplicaciones. Una vez dentro nos vamos a configuración.
Podemos marcar y desmarcar lo que nosotros queramos…
Y por último podemos hacer algo de lo más interesante configurar nuestros álbums.
Configurando álbums en Facebook.
Primero vamos a hacer una lista de amigos.
Una lista de amigos nos servirá para en un álbum poder poner a esa lista de amigos que queramos.
Empezemos.
Primero nos vamos a amigos.
Después de ir aquí, nos vamos a crear lista
Creamos la lista con el nombre que queramos.
Una vez hayamos echo la lista añadimos a los amigos que queramos.
Ahora veremos para que podemos utilizar esta lista que acabamos de crear.
Vamos a crear un nuevo álbum
Cuando creamos el ábum emos de hacer tal y como dice en la imagen darle a personalizar.
Ahora veremos como si que podemos configurar muchas cosas.
Aquí podemos poner varias opciones: Para todos, amigos de mis amigos
Ahora si nos fijamos hay un botncito que nos permitirá añadir listas de amigos.
Ahora añadimos el grupo que queramos.
Después de haber añadido nuestro grupo tambiñen podemos excluír personas.
Y con esto ya estaríamos. Para los extermistas. Ya pueden seguir este manual también.
Forzando conexiones SSL
Hace ya tiempo leí en Security By default que era posible utilizar Facebook por SSL. Podéis leer ese POST aquí,
Que, que es el SSL? Veamos que dice la Wikipedia.
SSL proporciona autenticación y privacidad de la información entre extremos sobre Internet mediante el uso de criptografía. Habitualmente, sólo el servidor es autenticado (es decir, se garantiza su identidad) mientras que el cliente se mantiene sin autenticar; la autenticación mutua requiere un despliegue de infraestructura de claves públicas (o PKI) para los clientes. Los protocolos permiten a las aplicaciones cliente-servidor comunicarse de una forma diseñada para prevenir escuchas (eavesdropping), la falsificación de la identidad del remitente (phishing) y alterar la integridad del mensaje.
Lo que pasa es que ese Script no es del todo efectivo.
Primero probaremos la solución que nos daban en Security By default.
Solución que no es del todo fiable
Abrimos Firefox y nos vamos al página donde están publicados todos los complementos.
Complementos de Firefox y buscamos
Greasemonkey
Para los vagos Greasemonkey.
Pinchamos en añadir a Firefox
Y empezamos a descargar el complemento.
Siempre después de instalar un complemento en Firefox hay que reiniciar
Después de haber reiniciado nos saldrá que el complemento se ha instalado correctamente.
Ahora que ya tenemos instalado Greasemonkey, nos vamos a la página para instalar el Script.
En esta página le damos a Install, luego veremos aparece algo así:
Si nos fijamos, ya viene directamente preparado para facebook, con esas URL. Vamos a editar este Script
Como véis hemos ido al icono del monito que hay abajo a la derecha y hemos echo botón derecho. Le damos a Administrar Scripts.
Bueno le hemos dado a añadir y hemos puesto http://*.wordpress.com/*. Esto que haría?
Pues que si en el navegador ponemos seifreed.wordpress.com, directamente nos hace la conexión por https y tambien lo hará en subpáginas o directorios del site.
Ahora añadimos las páginas que sepamos que pueden tener cifrado por SSL pero que por defecto no lo implementan para que se haga la conexión directamente.
Bueno yo he elegido estas, ahora veremos que pasa cuando introducimos por ejenplo facebook.com
Ahora debería directamente hacernos la conexión por HTTPS, pero lo que sucede es esto:
Es decir el Script no acaba de funcionar del todo bien, tuve que probarlo pues unas 7 veces para que ocurriera esto:
Como véis la conexión se realiza por SSL.
Ahora haremos que siempre se cumpla esa condición.
Ahora nos vamos a los addons de Mozilla como antes y buscamos e Instalamos NoScript
Ahora vamos a acceder a el menu de configuración de NoScript
Le hemos de dar a Opciones
Aquí tendremos el apartado de configuració, nos vamos a avanzado tal y como muestra la imágen. Y luego nos vamos a HTTPS.
Aquí pondremos las webs que queramos que se conecten por SSL tal y como comentamos antes con greasemonkey.
Ahora vamos ha hacer la prueba volvemos a poner facebook.com
Y lo que sucede ahora y a la primera es..
Y si, se nos conecta por SSL a la primera.
Pero que pasa si navegamos por una subpágina de facebook.com.
Si, sigue manteniendo la conexión SSL.
Mediante NoScript podemos ver como seguimos manteniendo la conexión por SSL siempre. Y no falla.
NOTA: Este tutorial funciona en páginas que disponen de páginas por HTTPS pero que no lo tienen implementado por defecto.
Saludos
