183
edits
Información de seguridad: Difference between revisions
Jump to navigation
Jump to search
m
no edit summary
Philazerty (talk | contribs) mNo edit summary Tag: 2017 source edit |
Philazerty (talk | contribs) mNo edit summary |
||
| Line 8: | Line 8: | ||
[[Category:Admin]] | [[Category:Admin]] | ||
= [[File:securite.png]] Alertas = | =[[File:securite.png]] Alertas= | ||
Última actualización: {{REVISIONDAY}}-{{REVISIONMONTH}}-{{REVISIONYEAR}} | Última actualización: {{REVISIONDAY}}-{{REVISIONMONTH}}-{{REVISIONYEAR}} | ||
Se aumentaron las posibilidades de inyección de XSS menores y se corrigieron en la versión 9.0.5 | Se aumentaron las posibilidades de inyección de XSS menores y se corrigieron en la versión 9.0.5 | ||
Descargable en GitHub la última [https://github.com/Dolibarr/dolibarr/archive/9.0.zip versión 9] y la última [https://github.com/Dolibarr/dolibarr/archive/10.0.zip versión 10] | |||
= [[File:art.png]] Funcionalidades = | |||
=[[File:art.png]] Funcionalidades= | |||
Dolibarr incorpora los siguientes mecanismos de seguridad: | Dolibarr incorpora los siguientes mecanismos de seguridad: | ||
'''Encriptación''' | '''Encriptación''' | ||
* Contraseñas de usuario encriptadas en la base de datos <sup>[*7]</sup> <sup>[*8]</sup>. | |||
* Posibilidad de encriptar la contraseña de la base de datos en el [[Fichero de configuración]] (conf.php)<sup>[*8]</sup>. | *Contraseñas de usuario encriptadas en la base de datos <sup>[*7]</sup> <sup>[*8]</sup>. | ||
* Posibilidad de forzar el modo de HTTPS <sup>[*9]</sup>. | *Posibilidad de encriptar la contraseña de la base de datos en el [[Fichero de configuración]] (conf.php)<sup>[*8]</sup>. | ||
*Posibilidad de forzar el modo de HTTPS <sup>[*9]</sup>. | |||
'''Hacks y cracks''' | '''Hacks y cracks''' | ||
* Soporte del modo register_globals on ó off (muy recomendable modo off) <sup>[*2]</sup>. | |||
* Soporte del modo safe_mode on ó off de PHP (on recomendado) <sup>[*3]</sup>. | *Soporte del modo register_globals on ó off (muy recomendable modo off) <sup>[*2]</sup>. | ||
* Opción de producción para inhibir toda recogida de información técnica como debugeo, info de errores, info de versión (Vea [[Fichero de configuración]]) <sup>[*6]</sup> | *Soporte del modo safe_mode on ó off de PHP (on recomendado) <sup>[*3]</sup>. | ||
* Sistema de protección anti-injection SQL <sup>[2*]</sup>. | *Opción de producción para inhibir toda recogida de información técnica como debugeo, info de errores, info de versión (Vea [[Fichero de configuración]]) <sup>[*6]</sup> | ||
* Sistema de protección anti injection XSS (Cross Site Scripting)<sup>[*1]</sup>. | *Sistema de protección anti-injection SQL <sup>[2*]</sup>. | ||
*Sistema de protección anti injection XSS (Cross Site Scripting)<sup>[*1]</sup>. | |||
Tenga en cuenta que es mejor añadir la protección en la parte del servidor web desactivando la opción Apache | Tenga en cuenta que es mejor añadir la protección en la parte del servidor web desactivando la opción Apache | ||
<source lang="ini"> | <source lang="ini"> | ||
AcceptPathInfo Off | AcceptPathInfo Off | ||
</source> | </source> | ||
* Sistema de protección anti-CSRF (Cross Site Request Forgery) <sup>[*5]</sup>. | |||
*Sistema de protección anti-CSRF (Cross Site Request Forgery) <sup>[*5]</sup>. | |||
'''Acceso a páginas y ficheros''' | '''Acceso a páginas y ficheros''' | ||
* Páginas y contenidos protegidos por un sistema de autorizaciones por grupos o usuarios para cada módulo funcional<sup>[*4]</sup> <sup>[*10]</sup>. | |||
* Aislamiento de los archivos almacenados en un árbol diferente al de la aplicación web (es decir, no puede descargar sin pasar por el envoltorio Dolibarr) <sup>[*3]</sup> <sup>[*10]</sup>. | *Páginas y contenidos protegidos por un sistema de autorizaciones por grupos o usuarios para cada módulo funcional<sup>[*4]</sup> <sup>[*10]</sup>. | ||
* Sistema de protección anti scan dir (toda carpeta contiene un fichero index para limitar la visibilidad si el servidor web tiene la opción "Indexes" activada) <sup>[*3]</sup>. | *Aislamiento de los archivos almacenados en un árbol diferente al de la aplicación web (es decir, no puede descargar sin pasar por el envoltorio Dolibarr) <sup>[*3]</sup> <sup>[*10]</sup>. | ||
*Sistema de protección anti scan dir (toda carpeta contiene un fichero index para limitar la visibilidad si el servidor web tiene la opción "Indexes" activada) <sup>[*3]</sup>. | |||
'''Protección login''' | '''Protección login''' | ||
* Retardante contra la fuerza bruta en la página de acceso <sup>[*7]</sup>. | |||
* Código gráfico opcional anti-robot (CAPTCHA) en la página del login <sup>[*7]</sup>. | *Retardante contra la fuerza bruta en la página de acceso <sup>[*7]</sup>. | ||
* Ningún rastreo de contraseña en los logs (técnicos o funcionales) <sup>[*7]</sup>. | *Código gráfico opcional anti-robot (CAPTCHA) en la página del login <sup>[*7]</sup>. | ||
* Sistema de auditoría de inicio de sesión permanante Dolibarr, tanto para los inicios de sesión éxitosos o como para los inválidos. | *Ningún rastreo de contraseña en los logs (técnicos o funcionales) <sup>[*7]</sup>. | ||
*Sistema de auditoría de inicio de sesión permanante Dolibarr, tanto para los inicios de sesión éxitosos o como para los inválidos. | |||
'''Virus''' | '''Virus''' | ||
* Posibilidad de insertar un control antivirus para los archivos subidos (sólamente linux) <sup>[*3]</sup>. | |||
*Posibilidad de insertar un control antivirus para los archivos subidos (sólamente linux) <sup>[*3]</sup>. | |||
---- | ---- | ||
<sup>(*X)</sup> Este mecanismo corresponde al número crítico X del ranking Top Ten de [http://www.owasp.org/index.php/Top_10_2007 OWASP]. | <sup>(*X)</sup> Este mecanismo corresponde al número crítico X del ranking Top Ten de [http://www.owasp.org/index.php/Top_10_2007 OWASP]. | ||