WordPress in Paranoid Mode disponible en Docker en nuestro repositorio de GithubFran Ramírez Pablo González Pérez 6 julio, 2018 Hace un par de años mostramos una idea de cómo se podía fortificar la base de datos y el uso diario de WordPress. Mostramos un par de papers con una serie de ideas que harían mejorar la seguridad de tu entorno WordPress y MySQL. Hoy hablamos de la liberación en nuestro repositorio de Github de un docker para disponer de WordPress con el plugin de Latch instalado y el WPM para la base de datos listo para ser aplicado. Antes de continuar, os dejamos los papers de los que consta este trabajo. Queremos seguir evolucionando el docker para que incluya todas las ideas que tuvimos en el departamento de Ideas Locas de CDO (Chief Data Office): WordPress in Paranoid Mode I from ElevenPaths WordPress in Paranoid Mode II from ElevenPaths Un git clone y un docker-compose El poder disponer de esta solución es algo trivial. Simplemente, debes ejecutar un git clone del proyecto y, una vez se tenga el proyecto en el equipo, se debe ejecutar un docker-compose up. Antes de ejecutar el docker-compose hay que revisar el fichero docker-compose.yml. En este fichero encontramos la configuración y se puede leer LATCHAPPID y LATCHSECRET. Estos campos representan el APP ID y el SECRET de la app que hay que crear en el área de desarrolladores de Lach. Una vez tenemos el fichero docker-compose.yml configurado, ejecutamos la siguiente instrucción docker-compose up. Esta instrucción descargará todo lo necesario para poder ejecutar el contenedor correctamente. Como se puede ver en la imagen, se crea la red, se configura la base de datos y se descarga todo lo necesario. La primera vez que se ejecuta este proceso puede que tarde unos minutos, pero el resto de veces que se ejecute el proceso será muy rápido. Una vez se apliquen las descargas y se haya ejecutado lo necesario, se debe acceder al siguiente recurso: localhost:8000. En este recurso encontramos la instalación de WordPress. Elegimos idioma, nombre de usuario, contraseña, etc. Estos son los pasos normales en la instalación de un WordPress. Cuando WordPress se haya instalado y se configure, se podrá ver en el apartado de «Plugins» como el plugin de Latch que viene instalado por defecto. Es ahora cuando ya se puede instalar. Una vez activado, en el apartado «Ajustes», se debe configurar el APP ID y el SECRET de la aplicación de Latch generada en el área de desarrolladores de Latch. Ahora, el usuario dispone de la posibilidad de hacer pairing con Latch. En otras palabras, su cuenta de WordPress está protegida con un segundo factor. Por último, quedaría instalar el «modo paranoia». Para ello, hay que hacer uso de la instrucción «docker exec –it dbwpm ./install.sh». Al final, lo que se está ejecutando es el script de WPM mediante el uso del script install.sh. Al comenzar la instalación se solicitará al usuario un token para hacer pairing entre la aplicación y los triggers que generará el script en la base de datos. El resultado es el que ya conocemos en artículos como éste. Os dejamos un vídeo con todo el proceso llevado a cabo y que muestra cómo funciona esta solución. Ya no tienes excusa para no probar el «modo paranoia». Bug bounty, ¿solo una moda o ha llegado para quedarse?Eventos y conferencias del mes de julio en los que participamos
Telefónica Tech Boletín semanal de ciberseguridad, 18 — 24 de junio Caída de los servicios de Microsoft Office 365 y Cloudflare a nivel mundial A lo largo del pasado martes se vieron interrumpidos múltiples servicios web a nivel mundial. El origen...
Cristina del Carmen Arroyo Siruela Día de la mujer ingeniera: construyendo nuevos caminos El término “ingeniero” proviene del latín, ingenium, en castellano ingenio. Desde hace mucho tiempo, se ha asociado el mundo de la ingeniería con el sexo masculino. Pero ¿es el...
Cristina del Carmen Arroyo Siruela Los ataques más comunes contra las contraseñas y cómo protegerte Una credencial de acceso es básicamente un nombre de usuario y una contraseña asociada a esa persona y a los permisos de accesos que tiene otorgados para una aplicación,...
Telefónica Tech Webinar: Sports Tech, la revolución digital del fútbol El pasado 15 de junio desde Telefónica Tech organizamos un webinar dedicado a la tecnología en el deporte: “Sports Tech, la revolución digital del fútbol”, disponible ya en nuestro...
Telefónica Tech Boletín semanal de ciberseguridad, 13 — 17 de junio Hertzbleed. Nuevo ataque de canal lateral contra procesadores AMD e Intel Investigadores de seguridad de varias universidades de Estados Unidos han descubierto un nuevo ataque de canal lateral que afecta...
Telefónica Tech ¡Estamos de estreno! Conoce la nueva web de Telefónica Tech Cyber Security & Cloud En Telefónica Tech no dejamos de crecer y de trabajar para ser el partner tecnológico de las empresas en su proceso de transformación digital. Como parte de este propósito Telefónica Tech...