bezpečnost

Rostoucí důležitost SSL certifikátů pro SEO

autor:

securityO vzestup SSL certifikátů, kterých bylo dříve jako šafránu, se postaral Facebook. Ten pro své aplikace protokol HTTPS vyžaduje, ale pravý boom SSL je teprve před námi. Neiniciuje ho nikdo jiný, než Google. Není to tak dávno, co sám dokončil nasazení certifikátů na všechny své služby a teď naznačuje, že bude očekávat něco podobného i od vás. Volání internetového giganta po větší bezpečnosti budou muset začít všichni webmasteři chtě nechtě naslouchat.

Google totiž nedávno oznámil, že nově ve svém algoritmu pro řazení výsledků vyhledávání začíná SSL certifikáty zohledňovat. Zatím jen nepatrně a dle jeho slov to má v současné době vliv na méně než procento globálních výsledků vyhledávání. Primárním kritériem pro řazení výsledků je pro Google pořád kvalitní obsah, ale naznačil, že v budoucnu může klást na SSL certifikáty mnohem větší důraz.

Jestliže provozujete eshop, nebo máte na webu registrační či jiný formulář, který nějakým způsobem nakládá s osobními údaji vašich návštěvníků, měli byste SSL certifikát mít bez ohledu na Google. A jestli chcete zabezpečit vaše návštěvníky napříč celým vaším webem, podobně jako to děláme my, můžete si certifkát zakoupit přímo z naší Klientské sekce.

Certifikáty se, podobně jako domény či hosting, předplácí alespoň na jeden rok dopředu a základní SSL certifikát pro jednu adresu vás vyjde na 590 Kč vč. DPH. Web navíc většinou nemusíte kvůli zabezpečení nijak upravovat, stačí nám říct na jakou adresu ho chcete a my se už o zbytek postaráme.

Pozor na spam z vaší vlastní domény

autor:

Možná se také řadíte mezi uživatele, kterým v posledních dnech přišla zpráva z povědomé adresy. Mohla vypadat jako debt@vasevlastnidomena.cz a nabádat vás ke splacení dluhu. Nelekejte se, přílohu ve formátu .zip neotevírejte a email s klidným svědomím smažte.

Vedle podivné přílohy, obvykle špatné češtiny a vůbec podezřelého obsahu je dobrým indikátorem rozpoznání spamu odesílatel. Známé firmy á la nigerijský “obchodník”, londýnský „bankéř“ nebo činský spambot to tentokrát nejsou. Píše vám vaše vlastní doména a navíc umí docela slušně česky.

Ke zneužití vaší domény nedošlo

Není potřeba si měnit heslo, s vaší doménou se nic nestalo. Nemusíte být totiž počítačový odborník, abyste mohli odeslat email vydávající se za někoho jiného.

Naopak. Jde o standardní funkci emailových klientů a například v Thunderbirdu ji najdete ve Správci identit. Je až nebezpečně jednoduché odeslat email, který bude vypadat jako by ho odeslal například váš šéf. Stačí v nastavení vašeho účtu nastavit jeho Identitu.

Pokud by vám někdo na takový email odepsal, neskončila by zpráva ve vaší schránce, ale přímo u šéfa. Vy jste tak od případné další komunikace odstřihnutí a šéf se o dozví o všem…

Autorizovaně

Možnost měnit identity je také jedním z důvodů, proč u nás na hostingu pro většinu úkonů požadujeme odeslání Autorizovaného požadavku. Email nám může vaším jménem poslat kdokoliv a teprve díky Autorizovanému požadavku (který je přístupný pouze z Klientské sekce) si můžeme být stoprocentně jistí, že jste to vy.

Nenaleťte na spam od paní Dvořákové

autor:

Miliardáři z Nigérie, převody peněz po zesnulém, zázračné pilulky a podobné spamy se prozradí jednoduše. Mají společné dvě věci: nejsou uvěřitelné a když už jsou česky, tak přinejlepším tak zoufale, že jsou skoro nečitelné. Překladače ještě tak dokonalé nejsou.

Bohužel se teď objevil nový spam, který tyto dvě poznávací znamení nemá. Je hezky česky a je uvěřitelný. Žádná angličtina ani zkomolená čeština, která vypadla z překladače. Gramaticky naprosto správně napsaný email, který vám nic nevnucuje. Naopak. Paní Dvořáková se chce jen podívat na váš web:

“Dobrý den,

chtěla jsem se podívat na Vaše stránky [XYZ], které mi našel Google, ale vyskočila na mě hláška, že mohou poškodit můj počítač. Používám Firefox a dříve se mi to nikdy nestalo.

Můžete mi prosím poradit? Do přílohy jsem zkopírovala obrazovku, když na mě ta hláška vyskočila, abyste si mohli udělat představu.

S pozdravem

Eva Dvořáková”

Přiložený soubor .doc rozhodně neotevírejte!

Není v něm sice žádný vir ani malware, ale ověří se tím “živost” vaší emailové schránky. Výsledkem bude vyšší množství spamů.

Spam potvrdil v komentářích na Lupě i pan Ladislav Jukl, Customer Service Specialist ze společnosti ESET:

“Dobrý den, podle zatím dostupných informací se nejedná o vir. Účelem přiloženého souboru je po jeho otevření kontaktovat server a tím dát informaci, že emailová adresa na kterou byl email s touto přílohou zaslán je validní. Následně pak dojde k zařazení této emailové adresy na seznam pro rozesílání spamu. Proto přílohu nedoporučuji otevírat.”

Jak poznat, že se jedná o spam? Obzvláště když je napsaný správně česky a vypadá uvěřitelně?

V případě paní Dvořákové byste se měli nejprve podívat jestli váš web funguje, nebo se místo něj zobrazuje chybová hláška, o které paní Dvořáková mluví. Pokud pojede (i z výsledků vyhledávání Googlu), tak je to první varování.

Druhou podezřelou indicií je také samotná emailová adresa: eva.dvorakova@mailbox4free.eu. mailbox4free.eu nezní zrovna standardně a důvěryhodně. Tyto dvě indicie by vám už měly stačit k tomu, abyste přílohu v emailu neotvírali.

Obecně pro spam ale pořád platí dvě zlatá pravidla – neotevírejte přílohy od neznámých lidí z podezřelých adres, hlavně když nic takového neočekáváte. A používejte selský rozum.

Chyba v Joomla! jde zneužít pro DDoS útok

autor:

Po rozšířeném problému s vykrádáním hesel na FTP, o kterém jsme psali před několika měsíci, tu bohužel máme další nepříjemné bezpečnostní riziko. Problém se opět netýká našich serverů, zabezpečení či nastavení, ale redakčního systému Joomla! a je potenciálně ještě nebezpečnější.

V rozšířené administrátorské šabloně Bluestork v Joomla! se objevila bezpečnostní díra, kterou mohou hackeři zneužít pro nahrání DDoS skriptů. S těmito skripty pak útočí na jiné servery a páchají tak škodu nejen vám, ale i jiným webům, které ani Joomla! nepoužívají.

Problém se týká širokého spektra instalací Joomla!, především verzí 1.6.3, 1.7.0., 2.5.2. a novějších.

Vzhledem k závažnosti celého problému jsme při nalezení takto napadeného webu nuceni jednat rychle a musíme napadený hosting odstavit, než skrze škodlivé skripty napáchá ještě více škod.

Řešení problému

Zatím není úplně jasná příčina, nicméně podle ohlasů uživatelů na fórech se jeví jako nejlepší řešení odstranit celou šablonu Bluestork. Teprve pak se škodlivých skriptů zbavíte s jistotou.

Šablonu naleznete ve složce

/administrator/templates/bluestork/

Řešením je šablonu změnit na jinou než Bluestork, a poté smazat celý její adresář z FTP.

 

Nepodceňujte aktualizaci svého webu, ušetříte si starosti

autor:

V poslední době jsme zaznamenali zvýšený počet útoků na webové stránky, které byly bohužel mnohdy úspěšné. Útoky spočívají v napadení webových stránek škodlivým kódem, který skrze ně potom útočí mimo náš server. To poškozuje nás i naše klienty a jsme nuceni jednat.

Jelikož tyto útoky se zabezpečním našich serverů, nebo s naším nastavením, nijak nesouvisí, nemůžeme páchání škod nijak zabránit. Ve většině případů vás na problém upozorníme, ale v extrémních případech musíme napadený web i odstavit.

Příčina napadení

Jednou z nejčastějších příčin úspěšnosti útoku je zastaralost redakčních systémů. Vždy si vaše CMS udržujte aktuální. Staré verze mohou obsahovat různé bezpečnostní chyby, které nové verze opravují. Některé CMS (např. WordPress) umožňují aktualizaci na novější verzi přímo z uživatelského rozhraní jedním kliknutím. Využijte toho a aktualizujte.

Škodlivý kód se k vám může dostat i přes FTP klienta, například velmi rozšířený Total Commander. Návod, jak se proti takovému viru bránit, najdete zde.

Řešení

  1. Ujistěte se, že počítač, ze kterého přistupujete na FTP, není sám infikovaný (použijte antiviru a antispyware)
  2. Projděte FTP a kód webu a eliminujte škodlivé kódy a soubory, které tam dříve nebyly a nemají tam co dělat. Vodítkem mohou být data poslední změny souborů, podezřelé názvy souborů, dlouhé řetězce zdánlivě nesmyslných posloupností znaků v kódu apod. Škodlivý kód často začíná takto: (base64_decode('aWYoZnVuY3Rpb25fZXhpc3R...
  3. Aktualizujte CMS – Joomla, WordPress…
  4. Aktualizujte všechny pluginy redakčního systému

Pro jistotu změňte heslo k FTP a nikam ho neukládejte. Pamatujte si ho. Umožňuje-li to váš FTP klient, použijte hlavní (master) heslo.

Prevence

  • používejte dlouhá a nepředvídatelná hesla, nikam je neukládejte, nikomu je neříkejte, používejte ideálně pro každou službu jiné heslo
  • neustále udržujte všechny CMS aktuální
  • jednou za čas dělejte zálohu webu
  • poznejte svůj web – měli byste vědět, co do kódu patří a co tam naopak nemá co dělat