Cosa fanno sui nostri siti?

Spesso questi attacchi permettono ai malfattori di avere il pieno accesso al nostro server (o piano hosting).

Solitamente le operazioni che svolgono sono:

• Inserimento pagina html “Guarda che bravo” -  è la cosa meno pericolosa, in pratica questi inseriscono una pagina (spesso la index.html) con scritto cose del tipo “Sito hackerato da nome-deficiente” questo serve loro per dichiarare di aver hackerato il sito. Ci sono delle specie di classifiche online (indonesiandefacer.org oppure rankmyhack.com) dov’è possibile gareggiare bucando più siti possibile. Se il vostro finisce qui… meglio darsi una mossa a riparare il problema! In questo caso a volte basta cancellare la pagina html e cambiare tutte le password, ma una controllatina è d’obbligo.
• Inserimento editor php per il controllo server – qui la cosa si fa seria perché ci sono degli script che se inseriti permettono danno il pieno accesso al nostro hosting. Lascio  a voi immaginare cosa possono fare e lascio a voi immaginare il tempo per verificare tutti i file.
• Invio email  - molto grave infatti possono utilizzare le email per fare spam e bloccarvi il servizio hosting.
• Codice malware – anche questo è molto grave: il vostro sito diventa esso stesso un diffusore di virus (mai visto google che blocca i “siti dannosi per il vostro pc”? )
• Pagine pishing – beh qui si va sul pesante. Unito all’invio dell’email vi può anche creare problemi legali. Se trovate delle pagine che ricalcano quelle di banche o che comunque richiedono dati sensibili è meglio che fate una denuncia contro ignoti (sempre che non le abbiate messe voi !;-) )

Meglio evitare WordPress

Essendo WordPress un progetto open source è ancora più “teoricamente” vulnerabile. Infatti tutto il codice di wp è di dominio pubblico. Tutti possiamo leggerlo, capirlo e, trovare le falle!
Se poi aggiungiamo temi e plugin programmati male, le probabilità di intrusione aumentano.
Ma allora WordPress è da evitare? WordPress non è sicuro??

Certo che no! Solamente da sviluppatori di siti dobbiamo prestare attenzione ad alcuni particolari e lavorare con criterio. E’ meglio spendere qualche soldo in più in sicurezza (in termini di tempo lavorativo). Perché, come molti sanno, dopo che il sito è stato attaccato e bucato, le rogne sono molte e fanno perdere molto tempo (=denaro).
Quindi la regola del “prevenire è meglio che curare” in questo caso è valida più che mai.

Generalmente bisogna avere wordpress, temi e tutti i plugin sempre aggiornati, usare password abbastanza lunghe (e conservarle in posti sicuri), un po’ di buon senso e… i giusti plugin!

Le regole base per la sicurezza WP

Vediamo quali sono le regole per mantenere sicuro un sito realizzato con WordPress (ma che andrebbero bene anche per il resto di cms).

• cancellare l’utente admin – esatto cancellatelo, o non dategli pieni poteri. Per amministrare il sito utilizzate un altro user. Questo perché se il backend di wp è attaccato con un brute force (e se l’utente amministratore è admin) hanno già più possibilità di entrare, infatti partono già sapendo uno dei due dati necessari al login.
• usare password lunghe – questa è un assioma per tutti gli informatici ma che il 99% non segue. Usate password lunghe almeno dieci caratteri e composte da tutti i tipi di caratteri (potete aiutarvi con questo tool). Io uso cose del genere trA=rad@Za?529+2 maniaco?
• il prefisso _wp non va bene – stessa cosa come per l’utente admin, è meglio modificare il prefisso delle tabelle che utilizza WordPress. In un attacco sql injection infatti la maggior parte delle istruzioni è indirizzata alle tabelle standard di wp. Basta che durante l’installazione scrivete 3 o 4 lettere inventate. Se wp è già installato dopo vedremo come modificare il prefisso.
• occhio ai temi – usare temi conosciuti e aggiornati è d’obbligo. Meglio  anche spendere qualcosa  per comprare un buon tema. Occhio ai temi che scaricate illegalmente, per prima cosa non si fa, secondo potrebbero aver modificato il codice aggiungendo script malevoli.
• update – dovete sempre aggiornare wordpress, plugin e temi. Questo perchè in alcuni di essi vengon scoperti dei bug che potenzialmente possono essere usati dai nostri amici. Esempio: quest’estate c’è stato un putiferio per via di una falla trovata in uno script che ridimensiona le immagini (vi dice niente timthumb.php? ). Quindi restate aggiornati anche voi, sempre in allerta!

Superfluo dire di salvarsi le password su un posto sicuro.
Qui il campo è vario e lascio a voi la scelta della soluzione migliore (software o vecchio e caro documento di testo).
Anche il nostro computer deve essere un posto sicuro, soprattutto se all’interno abbiamo dati delicati anche di clienti.
Faccio solo un esempio: filezilla salva in chiaro le password dell’ftp. Quindi un malware installato può leggerle  e inviarle ai nostri amici.

I plugin che mettono in sicurezza WordPress

Passiamo ora a vedere quali sono i plugin migliori per rendere sicuro WordPress.
Ce ne sono vari dalle varie funzionalità. Uno dei più completi e versatili è senza subbio Better WP Security.
Esso fa un check generale al sito e individua tutti i possibili problemi, permettendoci di correggerli.

Dopo averlo installato, e dopo avervi chiesto se volete fare il backup, siamo di fronte a questa schermata.

Qui abbiamo varie voci che segnalano i possibili problemi. Possiamo fare molte cose, tra le più importanti:

• modificare l’user admin
• cambiare il prefisso della tabella del database
• aggiungere a .htaccess moltissimi controlli che bloccano gli accessi indesiderati.
• attivare un controllo sul login (per evitare brute force)
• blocco preventivo di ip che richiedono troppe volte pagine inesistenti
• blocco delle url lunghe (che spesso sono usate per gli attacchi)
• rendere i file .htaccess e wp-confing.php non scrivibili
• togliere informazioni importanti del nostro sito che possono essere usate per l’attacco (esempio  la versione di wp in uso)

Poi ci sono altre features che a mio avviso sono meno importanti ma che comunque possono servire:

• possibilità di attivare il backend solo in certi orari e in certi giorni
• obbligare gli nuovi utenti ad usare password sicure
• togliere gli avvisi di aggiornamento dal backend (a chi non è amministratore)
• disattivare il file editor del backend

Attenzione: questo plugin ha anche la possibilità di nascondere l’admin. A me ha dato dei problemi e personalmente preferisco utilizzare un altro plugin che vedremo dopo.

Un altro plugin potente, ma meno completo, è BulletProof Security . Principalmente modifica  il file .htaccess aggiungendo molte regole che blindano wp rendendolo immune a molti attacchi.

Poi permette anche di creare un .htaccess per la cartella dell’admin wp-admin.
Infine è possibile anche eseguire backup del sito.

Attenzione perché alcuni controlli sul .htaccess bloccano l’utilizzo di script ad esempio che creano thumbnail. Quindi ogni volta ch modifichiamo il file .htaccess tramite questi plugin, verifichiamo sempre se il sito funziona in tutte le sue funzionalità.

Ora voglio parlarvi di Lockdown WordPress Admin e di come questo semplice plugin permetta di nascondere l’admin. Di base infatti per raggiungere il backend basta andare su /wp-admin.
Con questo plugin questa pagina porterà a un bel 404.

Ovviamente noi prima dobbiamo aver impostato un’altra pagina dove effettuare l’accesso. Un alians che possiamo scegliere in libertà tipo /amministrazione o /backend. Io preferisco sempre delle lettere a caso. Questo plugin funziona sempre tramite .htaccess quindi se per caso (come me) perdete l’alias di accesso, basta cancellare la regola oppure anche tutto il file .htaccess per rimettere in funzione la solita pagina di login.

Per ultimo presento File Monitor Plus, un plugin che verifica ogni giorno tutti i file che vengono modificati, cancellati o aggiunti. Quindi è un check aggiuntivo per il nostro sito wp. Un’email vi avvisa di tutti i file modificati per cui se qualcuno manomette wp ce ne accorgiamo subito.
Possiamo ovviamente impostare di non verificare file come le immagini.

E’ un controllo aggiuntivo ma in alcuni casi è molto utile.

Bene abbiamo visto le pratiche più comuni e semplici che è bene tenere a mente quando si creano siti con wp, insieme ai plugin che mettono in cassaforte il nostro sito.

E tu, hai già pensato alla sicurezza di WordPress? Hai mai subito attacchi?

Image Credit: Arvind Balaraman (FreeDigitalPhotos.net)

Vuoi partecipare anche tu il prossimo mese? Scopri come candidarti!

Ricordiamo che il premiato di oggi vince:

• il titolo di sito del mese, con visibilità sul nostro sito in homepage e nell’apposita sezione
• un banner 125×125 nella sidebar del sito
• una copia digitale del mio ebook “Consigli di webdesign base“
• 20 credits di www.istockphoto.com

e tu? Hai il coraggio di metterti in gioco?

iStockphoto non poteva mancare l’appuntamento con Webfest, ed organizzerà 2 workshop con tema il Brand aziendale e la vendita di immagini.

La manifestazione è nata con l’intento di radunare coloro che considerano il Web molto più di una tecnologia da usare, ponendo al centro del dibattito proprio il lavoro e la vita di chi si occupa del ‘Mestiere del Web’.
Il perché ce lo spiega Nicola Ghezzi, Director, International Marketing, Italia e Spagna, Getty Images: “iStockphoto si colloca in prima linea in questo contesto perché condivide la filosofia del festival che le molteplici forme del Web sono accomunate dalla creatività, dai sogni e dalla passione delle persone che lo popolano e lo sviluppano”.

Proprio questi sono i valori che iStockphoto porterà con sé a Pescara, proponendo due workshop tematici. Il primo rivolto alle aziende, mentre il secondo agli appassionati di fotografia, musica e video:

“Bene, bravo, brand” il 10 maggio 2012, ore 15:00 in cui Nicola Ghezzi illustrerà le tendenze recenti nel visual branding e l’importanza dell’uso delle immagini su Internet nella promozione del proprio brand, supportato da una case history relativa ad un’importante agenzia pubblicitaria;
“Da grande farò il contributor“ l’11 maggio 2012, ore 12:00 in cui due top contributor italiani racconteranno la loro esperienza di iStocker e come sono riusciti a trasformare la loro passione in una fonte di guadagno.

Ma le occasioni di immergersi nel mondo iStockphoto non finiscono qui; nella tre giorni pescarese, infatti, troverà spazio anche una mostra tutta dedicata alle immagini dall’esclusiva collezione Vetta, la raccolta dedicata ai migliori contenuti iStockphoto. Dal termine italiano indicante la cima, i file di questa collezione sono il frutto del lavoro di contributor altamente selezionati da editor esperti: ogni lavoro viene attentamente controllato in termini di direzione artistica, esecuzione del concetto e individualità del risultato.

Vi ricordiamo i premi:

• il titolo di sito del mese, con visibilità sul nostro sito in homepage e nell’apposita sezione
• un banner 125×125 nella sidebar del sito
• una copia digitale del mio ebook “Consigli di webdesign base“
• 20 credits di www.istockphoto.com

L’azienda si chiama Metrorail Studio, ospita professionisti giovani e intraprendenti. Si occupa della realizzazione e gestione di progetti personali, in particolare portali con grande traffico di utenti.

Preferiamo un contratto come dipendente, ma accettiamo anche collaborazioni freelance.

Per chi fosse interessato inviare un e-mail con oggetto “Web Designer Senior” all’indirizzo amiratidesign@gmail.com . Mi raccomando, specificare il portfolio dei propri lavori.

A prova dell’estrazione ecco lo screen di random.org, complimenti ancora!

Il libro entra nel dettaglio sul nostro modo di mangiare, di dormire, di lavorare, e personalmente mi ha chiarito la testa da alcuni falsi miti e dato suggerimenti pratici che stanno funzionando.

1. dormire sempre a sufficienza. se non lo si è potuto fare, lavoro permettendo e capo permettendo, prevedere un riposino pomeridiano (e noi freelance si sa, possiamo farlo)
2. non mangiare pesante a pranzo, ma integrare con molti carboidrati che hanno un lungo rilascio durante la giornata. fare possibilmente una merenda a metà mattina e metà pomeriggio per non arrivare stremati e senza energie a pranzo o cena
3. il multitasking non esiste. è un falso mito creato dalla tecnologia. ma appunto, un computer può esserlo, non noi, che per passare da un lavoro ad un altro perdiamo preziosi minuti di tempo perché la concentrazione cala inevitabilmente. pertanto: una cosa alla volta! magari distribuite la giornata in più tasking ma evitare di fare più cose contemporaneamente: inevitabilmente riuscirete a malapena a finirne una, con conseguente frustrazione ed errori negli altri tasking attivati
4. fate pause anche frequenti, modulando il lavoro in periodi che vanno dalla mezz’ora ai 90 minuti (periodo entro il quale è testato che riusciamo a mantenere la concentrazione). oltre, fate una pausa. noterete di essere più produttivi in quella mezz’ora che in 8 ore di lavoro continuativo. provare per credere.
5. eliminate tutte le notifiche di ricezione di email possibili, ma dedicate alla posta solo alcuni momenti della giornata. non muore nessuno se rispondete dopo qualche ora, è solo un falso impulso creato nel nostro cervello.

Sto lavorando così da poco tempo a questa parte. L’impressione è di essere più produttiva, quando sto davanti al computer produco e non cazzeggio, pratica che non mi viene neanche più tanto spontanea se non negli orari di calo fisiologico (prima e dopo pranzo, la sera….)

Il libro spiega nello specifico tutti i curiosi studi ed esperimenti che hanno portato alle teorie di cui io ho fatto un breve sunto, ma è un libro che bisogna leggere, assolutamente.

Da oggi apre il canale ufficiale di Italianwebdesign. E’ una delle prime operazioni di rimessa a nuovo del portale. Pertanto invito tutti quelli che mi seguono sul profilo personale di reindirizzarsi su @italianwd, ci saranno presto novità!!

Grazie a tutti!

Abbiamo costituito l’associazione Webforall a fine dicembre 2011. Ci siamo posti l’obiettivo di mettere in contatto due mondi spesso troppo lontani, i professionisti del web e il Terzo Settore.

Avevamo una visione: un evento innovativo in cui web designer e developer si ritrovano insieme e realizzano siti web per le associazioni non profit. Ci abbiamo lavorato, lo abbiamo diffuso, abbiamo trovato chi ci ha supportati.

Siamo qui 3 mesi dopo a celebrarne il successo, a vedere i primi siti pubblicati, l’aiuto concreto che abbiamo dato alle associazioni, le strette di mano, i complimenti, una community di ragazzi che ora è parte integrante del nostro progetto.

Il Webforall Weekend, così abbiamo voluto chiamarlo, si è svolto il 24 e 25 Marzo, a Bologna, con il patrocinio della Regione Emilia-Romagna, di Iperbole (il Comune) che ci ha inseriti nell’Agenda Digitale, e in collaborazione con VolaBo, Centro Servizi Volontariato della Provincia di Bologna.

I professionisti che hanno partecipato sono stati 24, divisi tra programmatori e designer. Abbiamo aiutato 9 associazioni, realizzando altrettanti progetti, alcuni già pubblicati e altri in fase di finalizzazione.

Abbiamo ospitato 8 relatori, che hanno dato vita a 6 talk ampiamente partecipati e dibattuti, sulle tematiche della comunicazione web all’interno del Terzo Settore. E poi il pubblico che è venuto a osservarci, a chiacchierare con noi, incuriosito dal format e dalla possibilità di diventare, in futuro, beneficiari delle nostre iniziative. Nel momento di massima affluenza, abbiamo registrato circa 70 presenze.

Abbiamo cercato di dimostrare che non sono solo i “big” a potersi permettere una strategia di comunicazione efficace, che i mezzi in fondo sono alla portata di tutti, sta ad ognuno capire di doverci dedicare il tempo sufficiente a sfruttarli nel modo più redditizio. Abbiamo soprattutto costretto ad aprire gli occhi sulle potenzialità del corretto uso del web, sulle opportunità date dall’essere parte di un network, di una rete di alleanze e sinergie che attraverso il web sono rese più facili, veloci, evidenti.

I professionisti sono stati divisi in 8 team. C’era spesso uno scambio direttissimo con le associazioni, di insegnamento e collaborazione. Si avvertiva un clima quasi universitario, in un vortice di scambi di idee, impressioni, chiacchiere. Alla chiusura dei lavori, ai saluti finali, c’era la sensazione di aver costruito davvero nuove relazioni, professionali e non, la voglia di rivedersi presto, di ricominciare subito.

Il format del Webforall Weekend è stato particolarmente apprezzato. Affiancare lo sviluppo dei progetti alle sessioni di talk è stato vincente, per le associazioni è stato prezioso poter “saltare” da uno speech a una chiacchiera con i ragazzi del proprio team, ognuno è tornato a casa sicuro di aver guadagnato qualcosa, al di là del nuovo sito.

In futuro, vogliamo realizzare nuove edizioni, magari in altre città. Stiamo già iniziando a raccogliere i primi progetti, la sensazione è che la coda si riempirà presto. E poi…non sappiamo ancora, ma non vogliamo rimanere fermi, continueremo a muoverci, a proporre iniziative, vogliamo che Webforall diventi un punto di riferimento solido, perché siamo convinti che il Terzo Settore meriti tutto l’aiuto che possiamo dare, e che ci siano nuove e infinite possibilità espressive in questo mondo, dinamico, fresco, recettivo.

Per rimanere aggiornati sugli sviluppi, il nostro sito è http://webforall-project.it, e scriviamo spesso

su twitter (@w4a_noprofit) e Facebook (w4a.noprofit). Per le informazioni mandate una mail a

info@webforall-project.it, oppure contattatemi direttamente su twitter (@edodusi).

Edoardo Dusi

Presidente Webforall

Ci avviciniamo tutti al momento in cui tutti i siti dovranno essere “responsive”, essere cioè adattabili a tutte le risoluzioni, soprattutto quelle mobile. E questo ebook spiega in senso pratico e con esempi come crearli. A book apart, una garanzia.

Allora, cosa aspetti? Iscriviti alla nostra newsletter entro il 15 aprile, ma il contest è valido anche per chi è già iscritto. E’ sufficiente segnalare di seguito a questo post la vostra volontà di partecipare commentando con la vostra email corrispondente a quella con cui vi siete iscritti.

Il numero di estrazione corrisponde al numero corrispondente all’ordine del vostro commento qui di seguito.

ISCRIVITI ALLA NEWSLETTER!

Grazie!!!