SEGURIDAD EN JOOMLA

La seguridad en Joomla!

En este primer capítulo sobre la Seguridad en Joomla! vamos a dar un repaso a una de las partes básicas pero importantes de este CMS y muchas veces relegada a titular de "Actualización de extensiones y de la aplicación" centrándonos en las formas en que habitualmente es atacada una instalación con Joomla! y dejando de lado los ataques contra los lugares que las albergan ya que son materia más propia de administradores de sistemas (sysadminds) que del usuario final, el cual también tiene su cuota de responsabilidad a la hora de mantener segura su web.

Existe mucha literatura en Internet sobre como se comprometen los sitios web en producción y sus servidores, lo que llevaría muchos capítulos hablar de ello, nosotros trataremos de centrarnos en la detección de extensiones potencialmente vulnerables y el mantenimiento del sitio actualizado para evitar dejar flecos en la seguridad de nuestros sitios web.

Partimos de la base de que cualquier producto de software, por muy bueno que este sea, se convierte en un producto falible si este es vulnerable y en consecuencia afecta no solo a la seguridad de los datos que gestiona sino del lugar donde este se aloja.

En el caso de Joomla! seria ingenuo pensar que es una herramienta 100% segura, ninguna lo es si está conectada y accesible desde Internet o una intranet, ya que diversos factores van a propiciar que los fallos de programación afloren en circunstancias concretas, casi siempre provocadas externamente.

Cuáles son los peligros que nos acechan directos contra la aplicación:

• Ataques de monitorización

• Ataques SQL: Inyección de código

• Ataques LDAP: Inyección de código

• Ataques Xpath: Inyección de código

• Ataques a cadenas de conexión

• Ataques de autenticación

• Ataques por debilidades en el CGI

• Ataques cross-site scripting o XSS

...y un largo etcétera.

Prevenir es la regla

La prevención es sin duda el mayor aliado que todo usuario o desarrollador de sitios webs tiene para defenderse ante este tipo de situaciones adversas, y su destreza a la hora de detectar que elementos de su sitio web son vulnerables es fundamental para obtener resultados en el área de la prevención.

• Conocer y mantener el ratio de actualizaciones del producto utilizado.

• Documentarse acerca del estado de las actualizaciones de las extensiones utilizadas.

• Recibir información externa de boletines o advisors de seguridad relativos a Joomla!

• No realizar cambios en el "core" de Joomla! que nos condicionen en futuras actualizaciones, utilizar técnicas "overrides" si es posible.

• Ser escrupulosos en los ciclos de actualización del "core" a medida que son liberados oficialmente.

• Llevar un seguimiento más concreto sobre las extensiones en uso en sitios en producción y actualizarlas llegado el caso.

• Disponer de una política "real" de copias de seguridad de los sitios en producción.

• Crear planes secundarios automáticos de copias de seguridad.

• En función del tipo de web y sus contenidos, habilitar planes extra de monitorización en "tiempo real" si esto fuese preciso.

Apenas son unas pinceladas que deberíamos recoger dentro de nuestra metodología de trabajo con sitios webs y en particular de políticas dirigidas a la seguridad de nuestros datos o de terceros, pues no podemos olvidar en este escenario la obligación adquirida en virtud de la aplicación de la Ley de Protección de Datos de Carácter Personal que nos obliga a mantener la custodia de los datos de nuestros usuarios.

Sugerencias a tener en cuenta para reforzar la seguridad en Joomla!:

o Mantener el "core" de Joomla! siempre en la última versión estable.

o Actualizar las extensiones a medida que son liberadas por sus autores.

o Proteger el acceso a /administrator.

o Modificar el usuario "Admin" que por defecto se configura en la instalación.

o Proteger el archivo configuration.php.

o Eliminar referencias en tags y metadescripciones a "Joomla!".

o Hacer un uso adecuado de robots.txt y de htaccess.

o Mantener los permisos adecuados en carpetas y archivos.

o Utilizar extensiones Antivirus y Cortafuegos en el backend de Joomla!.

o Instalar extensiones que automaticen las copias de seguridad.

Verificación de la versión estable de Joomla!

Mantener actualizado Joomla! su núcleo (core) es la parte más importante a tener en cuenta por el usuario

...