Requisito 4: Sem erros para o usuário

Falaremos aqui de outro ponto importantíssimo na questão de segurança que é freqüentemente ignorado pelos desenvolvedores: as mensagens de erro.

As mensagens de erro foram feitas para que o desenvolvedor possa trabalhar de forma mais prática e descobrir o que ele está fazendo de errado. Observem, entretando, que, quando uma aplicação atinge maturidade suficiente para “entrar em produção”, torna-se imperativo que o usuário não visualize mensagens de erro.

A razão disso é muito simples: as mensagens de erro freqüentemente trazem informações sensíveis. Observe como exemplo uma típica mensagem de falha de conexão com a base de dados:

Warning: mysql_connect() [function.mysql-connect]:
Access denied for user 'foo'@'localhost' (using password: YES)
in /usr/local/apache/htdocs/script.php on line 2

Note, através das partes destacadas, que esta mensagem me informa:

1. O tipo de RDBMS: mysql
2. O usuário de conexão com a base: foo
3. Que este usuário está tentando uma conexão de dentro do servidor: localhost
4. O caminho absoluto da raiz web: /usr/local/apache/htdocs
5. O nome do script: script.php

É por isso que, quando colocamos uma aplicação em produção, ocultamos as mensagens de erro e as gravamos diretamente em um arquivo de log. Isto é muito simples de implementar:

Exemplo:

display_errors = Off
log_errors = On
error_log = /log/php_errors.log

Requisito #5: Esconda do servidor web o que ele não precisa acessar

Quantos de nós não usamos em nossas aplicações um arquivo, tipicamente chamado de config.php ou setup.php, onde guardamos, por exemplo, usuário e senha da base de dados?

Não há nada de errado nisso, mas cuidado: se este arquivo não gera saída de informação em HTML, por que deixá-lo acessível via web?

Para esclarecermos o problema, vamos definir 3 coisas:

1. minha raiz web é: /usr/local/apache/htdocs
2. meu arquivo de configuração fica localizado em /usr/local/htdocs/config/config.php
3. este é um código típico que usa este arquivo:

require_once("/urs/local/htdocs/config/config.php");
/* bla bla bla */

Observe que o erro neste caso é confundir interpretador PHP e servidor web. O Apache (ou IIS, Xitami etc) não precisa saber onde está este arquivo. Isto é responsabilidade do interpretador.

Outro problema é que se arquivo fica desnecessariamente exposto, afinal de contas basta eu abrir um navegador e digitar:

http://www.meusite.com.br/config/config.php

Não faz sentido. Por mais que você possa argumentar que não há forma de ler o código-fonte deste arquivo, ainda assim, isto não muda o fato de que ele está desnecessariamente exposto.

A solução é simples: movemos o arquivo para fora da raiz web:

/usr/local/config/config.php

E depois apenas acertamos as permissões e corrigimos nosso código:

require_once("/urs/local/config/config.php");
/* bla bla bla */

A partir de agora nosso arquivo de configuração só pode ser lido por quem precisa dele: o interpretador PHP.

Requisito #6: Use criptografia

Dados sigilosos são chamados assim por um motivo. Quando tratamos especificamente de senhas é impressionante a quantidade de aplicações web que gravam senhas em texto puro na base de dados.

Ora, se a senha possui a importância que tem e quem a escolhe é o usuário, por que alguém mais precisa ler essa senha?

Se a senha possui este peso em nossa aplicação, não podemos nos dar o luxo de fazer com que ela trafegue pela aplicação totalmente exposta.

PHP implementa criptografia de várias formas, mas eu sugiro – para quem puder usar, pois exige instalação e configuração extra – a utilização da função mcrypt.

Os hashes MD5 e SHA-1 são opções válidas, mas o problema é a sua fragilidade: para o MD5 existe até dicionário de dados, enquanto o SHA-1 foi recentemente “quebrado” por um pesquisador chinês.

Conclusão

A implementação de regras básicas de segurança depende apena da boa vontade do desenvolvedor. Você deve ter percebido como a maior parte das soluções aqui apresentadas significam simples mudanças de hábito.

É mais do que tempo de nós, desenvolvedores PHP, deixarmos de lado nossos antigos vícios e começarmos a implementar boas práticas de programação.

Ganha o profissional, ganha a sua aplicação, ganha o seu cliente, ganha o mercado. Só quem perde nessa situação é quem tenta se aproveitar de nossa aplicação.

Referências e links sugeridos

[PHP Security Consortium] – http://phpsec.org/
[PHP RS] – http://www.phprs.com.br/

Er Galvão Abbott trabalha há mais de dez anos com programação de websites e sistemas corporativos com interface web. Autodidata, teve seu primeiro contato com a linguagem HTML em 1995, quando a internet estreava no Brasil. Atualmente, além de lecionar em diversos cursos, tem se dedicado ao desenvolvimento de sistemas baseados na web, tendo nas linguagens PHP, Perl e JavaScript suas principais paixões.

Parte I

O PHPMailer é um componente de envio de e-mail para servidores que exigem autenticação ou para um desenvolvedor que deseje configurações mais avançadas para a rotina de e-mail pelo php que o a função mail() não possua. É importante percebermos que um servidor que exige autenticação o faz por razões de segurança, para que o mesmo não caia nas listas negras caracterizado como um servidor de Spams.

A seguir, um exemplo de código para envio de e-mail pelo PHPMailer (para páginas de Contato ou Fale Conosco, por exemplo).

Obs: O ideal é que você baixe o PHPMailer e coloque no seu próprio servidor, deixando com que o seu domínio sempre tenha independência e rapidez no envio de mensagens através das suas páginas.

Relacionados:

• Página de contato usando o AspEmail
• Página de contato usando o ASP.Net

Blog do Márcio d’Ávila » IBM e Oracle colaboram no OpenJDK

The Linux Mint Blog » Blog Archive » Linux Mint 10 “Julia” released!

Responsabilidade de um dev client-side | Boas práticas de Desenvolvimento com Padrões Web

Adobe ® SendNow — Send large files

Ajuda em envio de arquivos grandes pela internet

Mougg – Your Music in the Cloud

Descadastramento de listas de e-mail: you’re doing it wrong » CrisDias weblog

É a Abril fazendo tudo errado. E enchendo a caixa de correio, nos deixando extremamente irritados.

Tá difícil… se descadastrar da Abril « Tá difícil…

[Dicas-L] Clonando particoes NTFS

The Social Network: E se… « Meio Bit

A história do Facebook contada pelo cinema e por vários diretores (Wes Anderson, Quentin Tarantino, Guillermo Del Toro etc)

Navegabilidade em Dispositivos Móveis | Boas práticas de Desenvolvimento com Padrões Web

Livre Acesso por Falcon_Dark: Em servidores e celulares apenas

O Linux e os usuários de desktops

Portable Brasil

Portable UP

welcome home : vim online

Vim – Portal brasileiro do editor de textos Vim (VI) :: aurelio.net

Por que reuniões são tóxicas? (ou por que programadores odeiam reuniões) | Nome do Jogo

Techguru 2.0 – Os tempos são outros: O Apagão, as midias sociais e os smartphones.

Internet Legal » Arquivo » NIC.br, Inmetro e Anatel realizam avaliação do serviço de banda larga no Brasil

10 Best Free Tools To Learn A Foreign Language More Effective

pdftk – the pdf toolkit

Bem vindo | HDFree Brasil

Hospedagem de páginas gratuitas

Dividindo dados em colunas – Mauro Pichiliani – SQL Server

yfrog – Share your images/videos on Twitter!

Media Converter – the fastest free online audio and video converter

Top 100 Open Source Security Tools

O que é spam?

Spam é o termo usado para referir-se aos e-mails não solicitados, que geralmente são enviados para um grande número de pessoas. Quando o conteúdo é exclusivamente comercial, esse tipo de mensagem é chamada de UCE (do inglês Unsolicited Commercial E-mail).

O conceito é simple mesmo. Ainda que seja uma só mensagem, caso ela seja indesejada do destinatário já a caracteriza como spam e quem a recebeu pode reclamar aos órgão de controle de abuso da internet.

Diante da reclamação, o IP do remetente vai para análise e inicia-se uma busca por novas reclamações provenientes de envio de mensagens por aquele IP ou de mensagens iguais enviadas por aquele IP (nesse caso, a caracterização de de spam para envio em massa – bulk mail). Após a caracterização o IP entra no banco de dados desses órgão, que propagam a informação para os servidores de e-mail espalhados na internet, que começam a recusar e-mails que vierem daquele IP, ou seja, qualquer domínio que utilize aquele IP para o envio de mensagens é recusado, ainda que não tenha sido o domínio responsável pelo spam.

Como desenvolvedor, quero prevenir que meus clientes tenham estes problemas. Vou utilizar este espaço, que será sempre atualizado, para divulgar a política de utilização e as práticas corretas do envio delistas de e-mail (as newsletters).

1. O envio deve ser para um destinatário por vez e não para mais de um endereço ao mesmo tempo;
2. O envio precisa ser feito com um período entre uma mensagem e outra (de 5 a 10 minutos, por exemplo);
3. É imprescindível monitorar o retorno dos e-mails inexistentes (ou outros erros) e removê-los da lista de envio;
4. Dar a opção em todas as mensagens enviadas para que o destinatário possa se descadastrar da lista.
5. Não iniciar o primeiro contato com o cliente por e-mail, ou seja, o envio do primeiro e-mail, sem prévia autorização do cliente, caracteriza a prática de spam.

Leia também:

• Boas práticas – antispam.br
• Spam e a defesa – vídeos
• Vídeos da campanha antispam.br
• A diferença entre o e-mail marketing e o spam
• Estrutura da mensagem
• Técnidas de envio de spam
• Listas de bloqueio

O mundo de lunga: Conexão 3G – Solução para problema com DNS

Para resolver o problema de DNSs para conexões com modems Huawei, que sobrescreve o /etc/resolv.conf

50+ Gorgeous Navigation Menus | Vandelay Design Blog

50 exemplos de menu de navegação

Edições Cristãs Editora Ltda.

Chartle.net – interactive charts online!

Ferramenta para montagem de gráfico para colocar em sites

Piwigo.org | Photo Gallery Software for the Web

Mais um exemplo de uma boa galeria de fotos

Resize your image online – It’s easy, it’s free!

Redimensionamento de imagens pela web

Filmow

“O Filmow foi criado para pessoas viciadas e apaixonadas por filmes. A principal ideia do Filmow é que você mostre aos seus amigos os filmes que já assistiu, comente sobre eles e dê sua opinião, na página do filme. Mas, para os que apenas gostam de filmes, o Filmow também é uma rede social onde é possível encontrar pessoas e amigos.

No Filmow você fica sabendo quais filmes são lançados, os que estão no cinema e aqueles que já estão em DVD, para você assistir em casa.” (http://filmow.com/sobre-o-filmow/)

A Microsoft, através do DreamSpark, está permitindo a utilização gratuita de vários de seus programas, como Visual Studio, Expression, SQL Server 2008 Developer, Windows 2008 Server Standart, Game Studio 2.0, Windows Server 2003, Virtual PC e vários outros. Garimpei no Como Instalar.


function valida_cpf($cpf) {
// verifica se e numerico
if(!is_numeric($cpf)) {
return false;
}

// verifica se esta usando a repeticao de um numero
if( ($cpf == '11111111111') || ($cpf == '22222222222') || ($cpf == '33333333333') || ($cpf == '44444444444') || ($cpf == '55555555555') || ($cpf == '66666666666') || ($cpf == '77777777777') || ($cpf == '88888888888') || ($cpf == '99999999999') || ($cpf == '00000000000') ) {
return false;
}

//PEGA O DIGITO VERIFIACADOR
$dv_informado = substr($cpf, 9,2);

for($i=0; $i<=8; $i++) {
$digito[$i] = substr($cpf, $i,1);
}

//CALCULA O VALOR DO 10º DIGITO DE VERIFICAÇÂO
$posicao = 10;
$soma = 0;

for($i=0; $i<=8; $i++) {
$soma = $soma + $digito[$i] * $posicao;
$posicao = $posicao - 1;
}

$digito[9] = $soma % 11;

if($digito[9] < 2) {
$digito[9] = 0;
} else {
$digito[9] = 11 - $digito[9];
}

//CALCULA O VALOR DO 11º DIGITO DE VERIFICAÇÃO
$posicao = 11;
$soma = 0;

for ($i=0; $i<=9; $i++) {
$soma = $soma + $digito[$i] * $posicao;
$posicao = $posicao - 1;
}

$digito[10] = $soma % 11;

if ($digito[10] < 2) {
$digito[10] = 0;
}
else {
$digito[10] = 11 - $digito[10];
}

//VERIFICA SE O DV CALCULADO É IGUAL AO INFORMADO
$dv = $digito[9] * 10 + $digito[10];
if ($dv != $dv_informado) {
return false;
}

return true;
} // function valida_cpf($cpf)

Copie o código aqui.

Código adaptado do iMasters.