Requisito 4: Sem erros para o usuário

Falaremos aqui de outro ponto importantíssimo na questão de segurança que é freqüentemente ignorado pelos desenvolvedores: as mensagens de erro.

As mensagens de erro foram feitas para que o desenvolvedor possa trabalhar de forma mais prática e descobrir o que ele está fazendo de errado. Observem, entretando, que, quando uma aplicação atinge maturidade suficiente para “entrar em produção”, torna-se imperativo que o usuário não visualize mensagens de erro.

A razão disso é muito simples: as mensagens de erro freqüentemente trazem informações sensíveis. Observe como exemplo uma típica mensagem de falha de conexão com a base de dados:

Warning: mysql_connect() [function.mysql-connect]:
Access denied for user 'foo'@'localhost' (using password: YES)
in /usr/local/apache/htdocs/script.php on line 2

Note, através das partes destacadas, que esta mensagem me informa:

1. O tipo de RDBMS: mysql
2. O usuário de conexão com a base: foo
3. Que este usuário está tentando uma conexão de dentro do servidor: localhost
4. O caminho absoluto da raiz web: /usr/local/apache/htdocs
5. O nome do script: script.php

É por isso que, quando colocamos uma aplicação em produção, ocultamos as mensagens de erro e as gravamos diretamente em um arquivo de log. Isto é muito simples de implementar:

Exemplo:

display_errors = Off
log_errors = On
error_log = /log/php_errors.log

Requisito #5: Esconda do servidor web o que ele não precisa acessar

Quantos de nós não usamos em nossas aplicações um arquivo, tipicamente chamado de config.php ou setup.php, onde guardamos, por exemplo, usuário e senha da base de dados?

Não há nada de errado nisso, mas cuidado: se este arquivo não gera saída de informação em HTML, por que deixá-lo acessível via web?

Para esclarecermos o problema, vamos definir 3 coisas:

1. minha raiz web é: /usr/local/apache/htdocs
2. meu arquivo de configuração fica localizado em /usr/local/htdocs/config/config.php
3. este é um código típico que usa este arquivo:

require_once("/urs/local/htdocs/config/config.php");
/* bla bla bla */

Observe que o erro neste caso é confundir interpretador PHP e servidor web. O Apache (ou IIS, Xitami etc) não precisa saber onde está este arquivo. Isto é responsabilidade do interpretador.

Outro problema é que se arquivo fica desnecessariamente exposto, afinal de contas basta eu abrir um navegador e digitar:

http://www.meusite.com.br/config/config.php

Não faz sentido. Por mais que você possa argumentar que não há forma de ler o código-fonte deste arquivo, ainda assim, isto não muda o fato de que ele está desnecessariamente exposto.

A solução é simples: movemos o arquivo para fora da raiz web:

/usr/local/config/config.php

E depois apenas acertamos as permissões e corrigimos nosso código:

require_once("/urs/local/config/config.php");
/* bla bla bla */

A partir de agora nosso arquivo de configuração só pode ser lido por quem precisa dele: o interpretador PHP.

Requisito #6: Use criptografia

Dados sigilosos são chamados assim por um motivo. Quando tratamos especificamente de senhas é impressionante a quantidade de aplicações web que gravam senhas em texto puro na base de dados.

Ora, se a senha possui a importância que tem e quem a escolhe é o usuário, por que alguém mais precisa ler essa senha?

Se a senha possui este peso em nossa aplicação, não podemos nos dar o luxo de fazer com que ela trafegue pela aplicação totalmente exposta.

PHP implementa criptografia de várias formas, mas eu sugiro – para quem puder usar, pois exige instalação e configuração extra – a utilização da função mcrypt.

Os hashes MD5 e SHA-1 são opções válidas, mas o problema é a sua fragilidade: para o MD5 existe até dicionário de dados, enquanto o SHA-1 foi recentemente “quebrado” por um pesquisador chinês.

Conclusão

A implementação de regras básicas de segurança depende apena da boa vontade do desenvolvedor. Você deve ter percebido como a maior parte das soluções aqui apresentadas significam simples mudanças de hábito.

É mais do que tempo de nós, desenvolvedores PHP, deixarmos de lado nossos antigos vícios e começarmos a implementar boas práticas de programação.

Ganha o profissional, ganha a sua aplicação, ganha o seu cliente, ganha o mercado. Só quem perde nessa situação é quem tenta se aproveitar de nossa aplicação.

Referências e links sugeridos

[PHP Security Consortium] – http://phpsec.org/
[PHP RS] – http://www.phprs.com.br/

Er Galvão Abbott trabalha há mais de dez anos com programação de websites e sistemas corporativos com interface web. Autodidata, teve seu primeiro contato com a linguagem HTML em 1995, quando a internet estreava no Brasil. Atualmente, além de lecionar em diversos cursos, tem se dedicado ao desenvolvimento de sistemas baseados na web, tendo nas linguagens PHP, Perl e JavaScript suas principais paixões.

Parte I

O PHPMailer é um componente de envio de e-mail para servidores que exigem autenticação ou para um desenvolvedor que deseje configurações mais avançadas para a rotina de e-mail pelo php que o a função mail() não possua. É importante percebermos que um servidor que exige autenticação o faz por razões de segurança, para que o mesmo não caia nas listas negras caracterizado como um servidor de Spams.

A seguir, um exemplo de código para envio de e-mail pelo PHPMailer (para páginas de Contato ou Fale Conosco, por exemplo).

Obs: O ideal é que você baixe o PHPMailer e coloque no seu próprio servidor, deixando com que o seu domínio sempre tenha independência e rapidez no envio de mensagens através das suas páginas.

Relacionados:

• Página de contato usando o AspEmail
• Página de contato usando o ASP.Net

Lançado o Pl/PHP – iMasters

12 senhas que nunca devem ser usadas – Geek List

Os milagres da compactação com o XZ | LonelySpooky’s Blog

4 em 1 Atualizando o Sistema (Ubuntu) | André Gondim

Como é o dia de um “gerente de mídias sociais”? » CrisDias weblog

Blog do Márcio d’Ávila » Relatórios de mercado de TI 2010/2011

Summary Report 2010 « AV-Comparatives weblog

The AV-Comparatives Summary Report for 2010 has been released on our website.

Mente Binária – O que fazer com o C que se aprendeu na faculdade

Criando Relatórios com PHP – Novatec Editora

Dicas-L: Broffice.org – Broffice – Edição de duas ou mais seções de um documento

Sua senha é realmente forte? | LonelySpooky’s Blog

jQuery Cookbook, agora em português

Blog do Márcio d’Ávila » CSS3 testado na prática

Detectando Requisições Ajax com PHP « Igor Escobar // Blog

Instalando um ambiente de desenvolvimento para Android no Ubuntu – Ubuntu Dicas

JQuery para produção de Layouts | Tableless – Desenvolvimento com Padrões Web

IE6 No More – Home

Karadar Classical Music World – Karadar Classical Music World

xkcd: Incident » CrisDias weblog

Typograph – Scale & Rhythm

Typograph é um projeto de lamb.cc (onde tem outros muito uteis para quem desenha páginas web) que nos permite alterar as características de uma folha de estilo CSS vendo o resultado em tempo real.

Podemos especificar as proporções de tamanho nas fontes, os espaços gerados, as margens, o tipo de letra… arrastando e soltando os componentes veremos o resultado no painel central, com opção de obter o código gerado na área inferior direita.

Muito útil para trabalhar e para explicar de forma intuitiva o uso de folhas de estilo.

Feliz 2011 | Tableless – Desenvolvimento com Padrões Web

G1 – Problema no sistema do Hotmail deletou e-mails na virada do ano – notícias em Tecnologia e Games

http://www.php.net/archive/2010.php#id2010-12-10-1

Anunciado o fim do VGA….Saiba porquê! | Peopleware

Bem vindo a Xangri-lá – Parte 2 | Boas práticas de Desenvolvimento com Padrões Web

LastPass compra Xmarks! | Peopleware

Antivírus AVG detona o Windows 7 – Estação Windows

Have you seen him? » CrisDias weblog

Www.preloaders.net | Free AJAX animated loading gif’s | 3 dimensional (3D)

[SCRIPT] Convertendo DVDs para MP3 | Ubuntu na terra do pão di queijo

Nós também cometemos erros, diz Mozilla – Tecnologia pessoal – Notícias – INFO Online

Acessando o Ubuntu remotamente – Ubuntu Dicas

Ubuntu 11.04 trocará Gnome por Unity até nos desktops

[Dicas-L] Certificado SSL gratis.

The Portable Freeware Collection – Latest entries

Coleção de programas portáteis

Fotos y vectores gratis para descargar | Freepik

Modernizr

Modernizr adds classes to the element which allow you to target specific browser functionality in your stylesheet. You don’t actually need to write any Javascript to use it.

tOquemaisbaixo – escola online de contra-baixo

Up! Download de Filmes e Séries na internet!

Online converter – convert video, images, audio and documents for free

É difícil trabalhar com Cluster? – Mauro Pichiliani – Banco de Dados

De McLanche Feliz a Duncan McCloud: só pode haver um! « Meio Bit

JSON

JSON (JavaScript Object Notation) is a lightweight data-interchange format. It is easy for humans to read and write. It is easy for machines to parse and generate. It is based on a subset of the JavaScript Programming Language, Standard ECMA-262 3rd Edition – December 1999. JSON is a text format that is completely language independent but uses conventions that are familiar to programmers of the C-family of languages, including C, C++, C#, Java, JavaScript, Perl, Python, and many others. These properties make JSON an ideal data-interchange language.

manual:pt_br:index [PHP for Android]

Três ferramentas para editar arquivos PDF na Internet

Cinco sites para fazer streaming de vídeo ao vivo – Geek List

smartQ – workflow visualization, task management, team collaboration

HiTask – free online task management

Gerenciador financeiro

myMoneyLog

Outro gerenciador financeiro

JulioGreff.net » A mesma web, um novo estilo de desenvolvimento

Blog sobre tecnologia. Gostei bastante.

symfony | Web PHP Framework

CodeIgniter – Open source PHP web application framework

The PHP Benchmark

Comparação de funções do PHP, retratando qual a mais eficiente nos casos mais conhecidos

FamilyShield: o “anti-sacanagem” da OpenDNS « Meio Bit

Siga a Leica no Twitter e ajude na pesquisa do câncer « Meio Bit

Blog do Márcio d’Ávila » Livro de Arquitetura Java

Falta pouco para a ZCE « Igor Escobar // Blog

W3Schools Online Web Tutorials

pixer.us :: online photo editor

Php Security – Nem tudo que é publicado deve ser seguido – Wagner Elias – Think Security First

fechaTag – Desafio de programação: resolvendo Lights Off

Blog do Márcio d’Ávila » Aplicações Internet Ricas e Acessíveis

Detectando o iPad com PHP e Javascript « Igor Escobar // Blog

Activate Remote Desktop REMOTELY!!! | commandlinefu.com

Site lista fatos (sic) sobre Richard Stallman

“Depois dos fatos sobre Chuck Norris, sobre Zé Mayer e, mais recentemente, sobre Sonia Abrão, eu descobri acidentalmente um site que lista os Fatos sobre Richard Stallman. Segundo a página, a idéia surgiu depois de o bom doutor ter dito que ele usava o wget para navegar na Internet usando um daemon para enviar-lhe as páginas por e-mail.”

PHP é à quinta-feira – 50 dicas sobre desempenho e segurança | Peopleware

Howto access ext3 partition from Windows | Ubuntu Geek

This tutorial will allow you to access your ext3 partition under Windows, using Sun VirtualBox and Ubuntu.
The tutorial is pretty long due to the images, but they explain things easier sometimes (they are not just meaningless screenshots) (forgive me for your scroll button )

JetDL – Buscador de arquivos no rapidshare, megaupload e outros

Upload Pie – The Simple Image Sharing Tool

Compartilhamento de arquivos com data de vencimento

Mantis Bug Tracker

Gerenciamento de erros

Google Docs e Sites deixarão de dar suporte ao IE6 – Google Discovery

TIOBE Software: Tiobe Index

Índice de relevância das linguagens na internet. As linguagens mais discutidas atualmente.