WordPress in Paranoid Mode disponible en Docker en nuestro repositorio de GithubElevenPaths 6 julio, 2018 Hace un par de años mostramos una idea de cómo se podía fortificar la base de datos y el uso diario de WordPress. Mostramos un par de papers con una serie de ideas que harían mejorar la seguridad de tu entorno WordPress y MySQL. Hoy hablamos de la liberación en nuestro repositorio de Github de un docker para disponer de WordPress con el plugin de Latch instalado y el WPM para la base de datos listo para ser aplicado. Antes de continuar, os dejamos los papers de los que consta este trabajo. Queremos seguir evolucionando el docker para que incluya todas las ideas que tuvimos en el departamento de Ideas Locas de CDO (Chief Data Office): WordPress in Paranoid Mode I de ElevenPaths WordPress in Paranoid Mode II de ElevenPaths Un git clone y un docker-compose El poder disponer de esta solución es algo trivial. Simplemente, debes ejecutar un git clone del proyecto y, una vez se tenga el proyecto en el equipo, se debe ejecutar un docker-compose up. Antes de ejecutar el docker-compose hay que revisar el fichero docker-compose.yml. En este fichero encontramos la configuración y se puede leer LATCHAPPID y LATCHSECRET. Estos campos representan el APP ID y el SECRET de la app que hay que crear en el área de desarrolladores de Lach. Una vez tenemos el fichero docker-compose.yml configurado, ejecutamos la siguiente instrucción docker-compose up. Esta instrucción descargará todo lo necesario para poder ejecutar el contenedor correctamente. Como se puede ver en la imagen, se crea la red, se configura la base de datos y se descarga todo lo necesario. La primera vez que se ejecuta este proceso puede que tarde unos minutos, pero el resto de veces que se ejecute el proceso será muy rápido. Una vez se apliquen las descargas y se haya ejecutado lo necesario, se debe acceder al siguiente recurso: localhost:8000. En este recurso encontramos la instalación de WordPress. Elegimos idioma, nombre de usuario, contraseña, etc. Estos son los pasos normales en la instalación de un WordPress. Cuando WordPress se haya instalado y se configure, se podrá ver en el apartado de “Plugins” como el plugin de Latch que viene instalado por defecto. Es ahora cuando ya se puede instalar. Una vez activado, en el apartado “Ajustes”, se debe configurar el APP ID y el SECRET de la aplicación de Latch generada en el área de desarrolladores de Latch. Ahora, el usuario dispone de la posibilidad de hacer pairing con Latch. En otras palabras, su cuenta de WordPress está protegida con un segundo factor. Por último, quedaría instalar el “modo paranoia”. Para ello, hay que hacer uso de la instrucción “docker exec –it dbwpm ./install.sh”. Al final, lo que se está ejecutando es el script de WPM mediante el uso del script install.sh. Al comenzar la instalación se solicitará al usuario un token para hacer pairing entre la aplicación y los triggers que generará el script en la base de datos. El resultado es el que ya conocemos en artículos como éste. Os dejamos un vídeo con todo el proceso llevado a cabo y que muestra cómo funciona esta solución. Ya no tienes excusa para no probar el “modo paranoia”. Pablo González Resp. Dpto. Ideas Locas – CDO pablo.gonzalezperez@telefonica.com @pablogonzalezpe Fran Ramírez Dpto. Ideas Locas – CDO franciscojose.ramirezvicente@telefonica.com @cybercaronte Bug bounty, ¿solo una moda o ha llegado para quedarse?Eventos y conferencias del mes de julio en los que participamos
