Screnu di sicurezza

U screnu di sicurezza hè un ùnicu schedariu php, chì prutege i vostri siti blucchendu certi attacchi chì ponu accade per via di sgheze, o tufoni di sicurezza. Stu sistema permette di reagisce prestu prestu, tempu ch’ellu si scopre un prublemu, tuppendu a sgheza senza duvè innalzà à livellu u situ sanu nè appiccicà ci qualchì « patch » di quelli cumplicati.

Versione in corsu : 1.6.3

Filusufia

Quand’ella scopre, o ch’omu l’avvisa di qualchì «sgheza» di sicurezza, a squatra di sviluppu di SPIP s’attalenteghja à currege u prublemu à u più prestu in a so versione di sviluppu è in e so versioni stàbbile, da ch’ellu ùn sia più spartutu còdice sbagliatu.

Ma a maiò parte di l’utilizatori ùn anu sempre u tempu nè a pussibulità di fà un aghjurnamentu di versione, sopratuttu dopu pisatu u rìsicu di prublemi d’incumpatibulità o scuncurdenza trà u còdice pruvatu è quellu cunvalidatu è messu in ligna, quandu si face un aghjurnamentu, ancu di quelli legeri.

Per un òspite, a scuperta d’un prublemu di sicurezza hè dinò un bellu penseru : d’una manu ùn vole lascià quella «sgheza» nant’à unu di i so siti uspitati, è d’un’antra manu ùn hè micca sempre auturizatu à mudificà i siti. È spenghje li propriu ùn sò usi tanti curtesi, almenu ch’ellu s’agisca d’òspiti di quelli à straccia mercatu o cacagliuloni ...

U screnu di sicurezza esiste da risponde à ste matriculate. Si tratta d’un schedariu, nescu è staccatu da SPIP, chì omu pò mette à ghjornu senza puru tuccà altru restu di u còdice, è cumpatìbule cù qualsìasi versione di SPIP, ancu quelle dipoi Luigi Piombu.

Ùn rimpiazza stu schedariu un veru allivellamentu di a vostra versione di SPIP, ma pò ancu permette di piantà certi attacchi in aspettendu una migrazione vera.

Stu screnu pò esse attivatu à livellu di u servore sopr’à tutti i scripts php quant’elli sò (SPIP o micca), è assicureghja, fintantu ch’ellu ferma aghjurnatu, chì dentr’à tutte e sgheze cunnisciute di qualsìasi versione di SPIP ùn ci si pò infrugnà. Cusì vene chjamatu « screnu » : si pone trà u visitore è SPIP, è verificheghja chì u visitore ùn hè micca in traccia di cumbricculà qualchì attaccu cunnisciutu.

Quand’ella hè scuperta una nova sgheza, basta solu à mette à ghjornu u screnu per parà qualsìasi attaccu venendu da quella sgheza ; lascia cusì u tempu d’aghjurnà i scripts SPIP pianamente è bè, quand’ellu ci vole.

Scaricamentu

A versione a più nuvella di stu screnu stà sempre à listessu indirizzu :
http://zone.spip.org/trac/spip-zone/browser/_core_/securite/

Lee pè u scaricamentu :
http://zone.spip.org/trac/spip-zone...

Omu pò dinò scaricà lu è sincrunizà lu usendu SVN :
svn co svn://zone.spip.org/spip-zone/_core_/securite/

Si chjama u schedariu ecran_securite.php

Stallazione

Ci sò parechji mètudi pè stallà u screnu :

Per u situ SPIP :

Da a versione SPIP 2.0.9 in poi, basta à à mette u schedariu ecran_securite.php in u cartulare config/ di u situ da ch’ellu sia pigliatu in contu in autumàticu.

Per e versioni più anziane di SPIP, cunvene à aghjunghje u seguente còdice in config/mes_options.php o ecrire/mes_options.php3, secondu a versione aduprata di SPIP (sè bisogna i schedari sò da creà) :

<?php
@include_once dirname(__FILE__).'/ecran_securite.php';
?>

Tandu serà caricatu u screnu ghjustu daret’à u schedariu mes_options.php.

 

Per u servore :

Mette stu schedariu in un cartulare leghjitoghju da tutti i siti (per esempiu /usr/share/php/ecran_securite/).

Mudificà php.ini, aghjunghjendu ci e seguenti ligne :

auto_prepend_file '/usr/share/php/ecran_securite/ecran_securite.php'

o puru, mudificà httpd.conf, aghjunghjendu ci :

php_admin_value auto_prepend_file '/usr/share/php/ecran_securite/ecran_securite.php'

In tremindui i casi, vene inclusu u screnu à ogni « hit » php prima ch’ellu si lanci u script nurmale. Cusì pò dunque bluccà ogni gattiva dumanda .

Cunfigurazione

In più di a sicurità, u screnu hà a capacità di regulà l’accessu di r robots d’indizzazione à i scripts php, dicendu li di « ripassà dopu » quandu un servore hè saziu.

Si pò cunfigurà stu cumpurtamentu, scrivendu puru nentr’à u schedariu stessu, in cima :

define('_ECRAN_SECURITE_LOAD', X);

Stu paràmetru attiveghja a prutezzione anti-robots quandu a càrica di u servore (load) supraneghja u valore X. U valore predefinitu hè 4 ; per disattivà lu, mette 0.

Integrazione

A pròssima versione di SPIP (a futura 2.1) cumpurterà u screnu di sicurezza propriu integratu ; in casu ch’ella sia scuperta una sgheza, u mìnimu « patch » serà di scaricà u nuvellu ecran_securite.php, è di mette lu in piazza à u vechju.

Cumpatibulità

U screnu travaglia u menu pussìbule (serà scemu ...), si cuntenta di bluccà certe variàbili chì sò tenute da mal’cuntrullate à un certu mumentu di a storia di SPIP, è chì tandu puderebbenu favurisce qualchì attaccu. Cusì hè cumpatìbule cù ogni versione di SPIP.

L’emu detta, u screnu blocca certe variàbili. Cusì, per esempiu, hè cuntrullata chì e variàbili chjamate id_xxx sianu ubbligatoriamente di valore numèricu interu, da impedisce qualsìasi inserimentu di còdice SQL per via di quelle variàbili assai spartute.

Certi plugins ùn sò cumpatìbuli cù tutte e règule di u screnu, per esempiu aduprendu &id_x=new per creà un uggettu x. Da ch’elli sianu cumpatìbuli cù SPIP 2.1, sti plugins duveranu prestu prestu esse messi in cunfurmità cù e règule di u screnu.

Autore tavamig Publié le : Mis à jour : 02/07/23

Traductions : عربي, català, corsu, English, Español, فارسى, français, Nederlands