Filusufia
Quand’ella scopre, o ch’omu l’avvisa di qualchì «sgheza» di sicurezza, a squatra di sviluppu di SPIP s’attalenteghja à currege u prublemu à u più prestu in a so versione di sviluppu è in e so versioni stàbbile, da ch’ellu ùn sia più spartutu còdice sbagliatu.
Ma a maiò parte di l’utilizatori ùn anu sempre u tempu nè a pussibulità di fà un aghjurnamentu di versione, sopratuttu dopu pisatu u rìsicu di prublemi d’incumpatibulità o scuncurdenza trà u còdice pruvatu è quellu cunvalidatu è messu in ligna, quandu si face un aghjurnamentu, ancu di quelli legeri.
Per un òspite, a scuperta d’un prublemu di sicurezza hè dinò un bellu penseru : d’una manu ùn vole lascià quella «sgheza» nant’à unu di i so siti uspitati, è d’un’antra manu ùn hè micca sempre auturizatu à mudificà i siti. È spenghje li propriu ùn sò usi tanti curtesi, almenu ch’ellu s’agisca d’òspiti di quelli à straccia mercatu o cacagliuloni ...
U screnu di sicurezza esiste da risponde à ste matriculate. Si tratta d’un schedariu, nescu è staccatu da SPIP, chì omu pò mette à ghjornu senza puru tuccà altru restu di u còdice, è cumpatìbule cù qualsìasi versione di SPIP, ancu quelle dipoi Luigi Piombu.
Ùn rimpiazza stu schedariu un veru allivellamentu di a vostra versione di SPIP, ma pò ancu permette di piantà certi attacchi in aspettendu una migrazione vera.
Stu screnu pò esse attivatu à livellu di u servore sopr’à tutti i scripts php quant’elli sò (SPIP o micca), è assicureghja, fintantu ch’ellu ferma aghjurnatu, chì dentr’à tutte e sgheze cunnisciute di qualsìasi versione di SPIP ùn ci si pò infrugnà. Cusì vene chjamatu « screnu » : si pone trà u visitore è SPIP, è verificheghja chì u visitore ùn hè micca in traccia di cumbricculà qualchì attaccu cunnisciutu.
Quand’ella hè scuperta una nova sgheza, basta solu à mette à ghjornu u screnu per parà qualsìasi attaccu venendu da quella sgheza ; lascia cusì u tempu d’aghjurnà i scripts SPIP pianamente è bè, quand’ellu ci vole.
Scaricamentu
A versione a più nuvella di stu screnu stà sempre à listessu indirizzu :
http://zone.spip.org/trac/spip-zone/browser/_core_/securite/
Lee pè u scaricamentu :
http://zone.spip.org/trac/spip-zone...
Omu pò dinò scaricà lu è sincrunizà lu usendu SVN :svn co svn://zone.spip.org/spip-zone/_core_/securite/
Si chjama u schedariu ecran_securite.php
Stallazione
Ci sò parechji mètudi pè stallà u screnu :
Per u situ SPIP :
Da a versione SPIP 2.0.9 in poi, basta à à mette u schedariu ecran_securite.php in u cartulare config/ di u situ da ch’ellu sia pigliatu in contu in autumàticu.
Per e versioni più anziane di SPIP, cunvene à aghjunghje u seguente còdice in config/mes_options.php o ecrire/mes_options.php3, secondu a versione aduprata di SPIP (sè bisogna i schedari sò da creà) :
<?php
@include_once dirname(__FILE__).'/ecran_securite.php';
?>
Tandu serà caricatu u screnu ghjustu daret’à u schedariu mes_options.php.
Per u servore :
Mette stu schedariu in un cartulare leghjitoghju da tutti i siti (per esempiu /usr/share/php/ecran_securite/).
Mudificà php.ini, aghjunghjendu ci e seguenti ligne :
auto_prepend_file '/usr/share/php/ecran_securite/ecran_securite.php'
o puru, mudificà httpd.conf, aghjunghjendu ci :
php_admin_value auto_prepend_file '/usr/share/php/ecran_securite/ecran_securite.php'
In tremindui i casi, vene inclusu u screnu à ogni « hit » php prima ch’ellu si lanci u script nurmale. Cusì pò dunque bluccà ogni gattiva dumanda .
Cunfigurazione
In più di a sicurità, u screnu hà a capacità di regulà l’accessu di r robots d’indizzazione à i scripts php, dicendu li di « ripassà dopu » quandu un servore hè saziu.
Si pò cunfigurà stu cumpurtamentu, scrivendu puru nentr’à u schedariu stessu, in cima :
define('_ECRAN_SECURITE_LOAD', X);Stu paràmetru attiveghja a prutezzione anti-robots quandu a càrica di u servore (load) supraneghja u valore X. U valore predefinitu hè 4 ; per disattivà lu, mette 0.
Integrazione
A pròssima versione di SPIP (a futura 2.1) cumpurterà u screnu di sicurezza propriu integratu ; in casu ch’ella sia scuperta una sgheza, u mìnimu « patch » serà di scaricà u nuvellu ecran_securite.php, è di mette lu in piazza à u vechju.
Cumpatibulità
U screnu travaglia u menu pussìbule (serà scemu ...), si cuntenta di bluccà certe variàbili chì sò tenute da mal’cuntrullate à un certu mumentu di a storia di SPIP, è chì tandu puderebbenu favurisce qualchì attaccu. Cusì hè cumpatìbule cù ogni versione di SPIP.
L’emu detta, u screnu blocca certe variàbili. Cusì, per esempiu, hè cuntrullata chì e variàbili chjamate id_xxx sianu ubbligatoriamente di valore numèricu interu, da impedisce qualsìasi inserimentu di còdice SQL per via di quelle variàbili assai spartute.
Certi plugins ùn sò cumpatìbuli cù tutte e règule di u screnu, per esempiu aduprendu &id_x=new per creà un uggettu x. Da ch’elli sianu cumpatìbuli cù SPIP 2.1, sti plugins duveranu prestu prestu esse messi in cunfurmità cù e règule di u screnu.