Proteger subdominios en Plesk más SSL

Un pequeño detalle que hasta la fecha (y que me corrijan si me equivoco) que no ha solucionado la gente de Plesk, es el de poder proteger directorios fuera de la raíz principal del dominio creado, mediante la opción “Protected Directories”. Por ejemplo, queremos crear un subdominio en nuestro dominio principal.

Nombre de dominio: www.probando.com

Nombre de subdominio: subdominio.probando.com

Las raíces de uno y otro son:

www.probando.com /httpdocs o /httpsdocs

subdominio.probando.com /subdomains/subdominio/httpdocs o /subdomains/subdominio/httpdocs

El problema aquí es que Plesk (probado en la versión 8.3.0) no reconoce las raices de directorio que no sean /httpdocs o /httpsdocs. Por lo tanto, si creamos un subdominio, no podemos protegerlo “comodamente” al menos. Hay dos opciones. Si tenemos licencias para varios dominios, podemos crear un dominio nuevo, quitarle las www y asignarle el nombre de subdominio pero eso es un desperdicio de la licencia. La otra opción es crear el htaccess y htpasswd a pelo y es muy fácil. Pero como se que no me voy a acordar dentro de 1 año, lo pongo aquí y aquí se queda :D De paso, aprovecho para comentar como se puede utilizar los certificados que genera el propio panel de Plesk, que, a falta de uno comprado a otro proveedor ya nos pueden servir de algo.

No hace falta entrar por ssh, con un ftp lo podemos hacer todo. Listo los pasos desde cero.

  1. Domains->Nombredenuestrodominio->Certificates->Add New Certificate (configuramos los datos y clickamos en Self-Signed. Ya tenemos el certificado creado para ese dominio)
  2. Si queremos habilitar el certificado para el dominio principal: Domains->Nombredenuestrodominio->Setup (habilitamos el soporte SSL)
  3. Creamos el subdominio: Domains->Nombredenuestrodominio->Subdomains->Add Subdomain (habilitamos el soporte SSL)
  4. Automáticamente se crea una carpeta en /subdomains/<nombre>
  5. Ahora mismo tenemos creado un certificado para el dominio y hemos creado un subdominio. Vamos a proteger ese directorio. En este caso, que vamos a utilizar el protocolo https, necesitamos trabajar con la carpeta raíz del subdominio /subdomains/<nombre>/httpsdocs
  6. Utilizamos cualquier forma de generar un htaccess y su correspondiente htpasswd. Al final del post hay un link al respecto. Lo fundamental es saber la ruta completa hasta la carpeta que hace de DocumentRoot. Podemos mirarlo haciendo un archivo php y llamando a phpinfo()
  7. Cuando tengamos los archivos los subimos a /subdomains/<nombre>/httpsdocs. El nombre correcto de cada uno ha de ser .htaccess y .htpasswd. Si se desaparecen al subirlos por ftp, fuerza el ver archivos ocultos ;)
  8. Accede a https://subdominio.nombredetudomonio.com y prueba a entrar. Si no te coge la contraseña asegurate de que la raíz hasta el .htpasswd es correcta. Si no has querido soporte ssl será http://etc.etc.etc.

Ejemplo de htaccess:

AuthUserFile /var/www/vhosts/nombrededominio/subdomains/panel/httpsdocs/.htpasswd
AuthGroupFile /dev/null
AuthName "Password Protected Area"
AuthType Basic
<limit GET POST>
require valid-user
</limit>

Ejemplo de htpasswd:

usuariovalido:jkldfZdlfjds890

Links:

Hacker`s Black Book

//img90.imageshack.us/img90/2322/ellibronegrodelhackerblrs3.png
Hacker`s black book

Fascinante obra digital equivalente a más de 1.000 páginas escritas.

Recorrido completo y profundo por el Mundo Hacker: su esencia, sus procedimientos y métodos, herramientas, programas y utilidades, con amplias explicaciones.

Los mejores escritos hacker en idioma Español.

Cómo defender su PC de “Ataques” externos, virus, troyanos, escaneo de puertos, aplicaciones perniciosas.

Cuatro discos llenos de información, utilidades, vínculos a páginas Web.

Contenido:
Disco 1:

  • PRÓLOGO por “El Hacker Negro”
  • Medidas de Seguridad para su sistema de cómputo
  • INTRODUCCIÓN: El Hacker –Manual
  • Todo sobre la IP
  • Crackeando Webs
  • Qué es el “Sniffin”
  • Hackeando vía TELNET
  • Qué es el “Spoofing”
  • Cómo se hacen los VIRUS

Disco 2:

  • Amenazas en la Red
  • INGENIERÍA INVERSA
  • Agujeros de seguridad informática
  • Entrar en Pc’s con recursos compartidos
  • Guía del CRACKER: manejo de ensamblador
  • Apodérate de ICQ
  • Cifrado de información
  • Cómo sacar la IP en IRC
  • Cómo liberarse de un virus TROYANO
  • Manual del IRC
  • Manual del Back Oriffice
  • Navegando anónimamente bajo Proxys
  • Crackeando sistemas
  • Identificación como Root

Disco 3: (Utilidades)

  • Descifrador de passwords PWL
  • Descifrador de asteriscos en passwords
  • Descifrando passwords del CMOS
  • Encripta tus archivos (programa Crypto)
  • Gran número de seriales de programas comerciales
  • Guía ligera del Hacker
  • IP AGENT
  • Lista completa de puertos de un sistema
  • OPTOUT2000: Detector de Intrusos (instálalo en tu sistema para comenzar-es Freeware).
  • Usa la “fuerza bruta” para adivinar claves en archivos ZIP

Disco 4: (Utilidades)

  • BIOS CRACKER: encuentra passwords de BIOS (por ejemplo, en portátiles)
  • Elimina los 30 días de los programas shareware
  • Monitorea tu Acceso Telefónico a Redes

Descripcion.

CISCO Curso Completo de Wireless

No es preciso ningún conocimiento tecnológico previo, habida cuenta que se parte de cero.. Residentes en España ( Madrid ) Para qué te prepara: Conviértete en un ADMINISTRADOR DE SISTEMAS y afronta las complejidades de las tecnologías TIC. Dirigido a: Jóvenes estudiantes o profesionales que deseen conocer y dominar en profundidad las técnicas de análisis, diseño administración e implantación de plataformas de tecnologías de información. Titulación oficial: Certificaciones Oficiales de Cisco System (CCNA-CNAP), de Microsoft Systems (MCSA) y de Linux, LPI (Programa LPIC).

//img235.imageshack.us/img235/9735/ciscoxp0.gif

  • Tipo:CursoMétodo
  • Lugarresencial / Madrid
  • Duración:450 horas
  • Certificado/Título:CCNA de CISCO Systems, MCSA de Microsoft y LPI 101-102 de Linux


Descripcion.

  • Hospedaje: rapidshare
  • Peso: 45706 KB
  • Compresion: .rar
  • Pass: Gil_lazo-M

Mas informacion:

http://rapidshare.com/files/155305659/wireless.rar

Monitorizar logs del sistema con Logwatch en Ubuntu

Una práctica recomendable como buen administrador de sistemas es revisar los logs del sistema para comprobar el buen funcionamiento del mismo. Esta tarea es bastante pesada porque en un sistema servidor habrá mucha actividad y estos ficheros pueden llegar a crecer bastante día a día. Como no podía ser menos alguien creó una herramienta que nos facilitara enórmemente esa tediosa labor. LogWatch es una analizador de logs que se ejecuta cada noche y te envía un correo con los resultados.

//www.nrgglobal.com/images/products/logwatch/lw_homepage.png

Instalación:

sudo aptitude install logwatch

Configuracion:

El fichero de configuración esta en,  /usr/share/logwatch/default.conf/logwatch.conf. Abre el fichero y podras ver algunos parametros pra su correcto funcionamientoque deberas rellenar, el correo donde enviar los avisos:

sudo gedit  /usr/share/logwatch/default.conf/logwatch.conf

MailTo = root updates to MailTo = user.name@domain.tld

Vulnerabilidades encontradas en el algoritmo hash MD5 permiten la creación de certificados fraudulentos

Vulnerabilidades encontradas en el algoritmo hash MD5 permiten la creación de certificados fraudulentos, esto podría traer consigo la creación de sitios phishing con certificados aparentemente válidos.

Una vulnerabilidad encontrada en el algoritmo hash MD5 es aprovechada para generar certificados digitales fraudulentos, esto en gran medida puede conllevar al engaño por la creación de sitios phishing que aparentemente son válidos. El problema fue dado a conocer en el evento «chaos Communications Conference» celebrado en Berlin el pasado mes

Las autoridades certificadoras que implementen el uso de este algoritmo deben de cambiar hacia el uso de SHA1 para poder proteger la integridad de sus certificados. Un gran numero de autoridades certificadoras utilizan el algoritmo MD5 para la generación de sus certificados, y un 14% de sitios web estan utilizando certificados que fueron generados con este algoritmo.

Para muchos, los ataques que derive esta vulnerabilidad no es de gran sorpresa debido a que la debilidad descubierta sobre el algoritmo MD5 habia sido conocida desde el 2004.

Uno puede ver el historial de esta vulnerabilidad en la siguiente liga :
http://isc.sans.org/diary.html?storyid=5590, ahora bien si se quiere verificar el certificado de nuestro sitio podemos hacerlo online mediante site http://www.networking4all.com/nl/helpdesk/tools/site+check/

Otros sitios de interes con respecto a esta nota :

http://gcn.com/Articles/2008/12/31/SSL-certs-busted.aspx?p=1
http://www.securityfocus.com/news/11541
http://www.heise-online.co.uk/security/25C3-MD5-collisions-crack-CA-certificate–/news/112327
http://www.securityfocus.com/brief/880

Saludos Cordiales