Bezpieczeństwo bloga dla laika – WordPress.

Dosyć głośno ostatnio o atakach na WordPressa. Ten system jest aż tak dziurawy, czy może to tymczasowa moda? Ataki na WordPressa odbywają się codziennie, a tylko co pewien czas udaje się znaleźć naprawdę dużą lukę. Czy to wada tego oprogramowania? Zdecydowanie nie!

WordPress jest jednym z bardziej znanych systemów zarządzania treścią. Jest lekki, szybki, prosty we wstępnej konfiguracji i oferuje bardzo przejrzysty panel administracyjny dla nowego użytkownika. Projekt cały czas żyje. Bardzo rozbudowana społeczność wokół tego CMS’a generuje niezliczone ilości darmowych wtyczek i szablonów. Bez wydawania grosza, jesteśmy w sposób chałupniczy, poprzez instalację i konfigurację modułów stworzyć swoją pierwszą stronę. Continue reading “Bezpieczeństwo bloga dla laika – WordPress.” »

Czytaj więcej

Komendy z Linuxa w CMD’ku?

Microsoft umożliwił zainstalowanie sobie Linux Bash Shella pod Windowsem 10, no i fajno. Tylko że tak nie do końca fajno. W PHP Storm mam podłączenie do CMD’ka windowsowego i tam już nie mam dostępu do nowego tworu Microsoftu. Jest za to ograniczony dostęp do komend cd, dir itp. nic wielkiego. Ni to power shell, ni terminal z linucha. Po prostu coś, gdzie idzie wpisać php index.php > example.txt i fajrant, buda stoi. Na całe szczęście nie musi tak być! Continue reading “Komendy z Linuxa w CMD’ku?” »

Czytaj więcej

AD FS i delegacja SAML Token w PHP

Miałem na swoje nieszczęście przyjemność rozbudowywać istniejącą aplikację w PHP o autoryzację SAML. Aplikacja posiadała wcześniej własny system logowania użytkowników, ale z racji na mnogość aplikacji w obrębie jednej firmy zechciano wdrożyć SSO (Single Sign On). Zostało to oparte o AD FS (Active Directory Federation Server) ze względu na posiadanie kont domenowych. Takie rozwiązanie umożliwia scentralizowane zarządzanie użytkownikami. Powstał również panel administracyjny który posiada usługę, zwracającą informację o uprawnieniach zalogowanego użytkownika. Głównym problemem w całym tym modelu biznesowym jest brak wsparcia w języku PHP dla AD FS. W innych językach powstały liczne biblioteki wspierające standard WS-Trust 1.4 i sprowadzają proces logowania i delegacji uprawnień do 10 linijek kodu. W celu realizacji procesu delegacji uprawnień użytkownika przez aplikację, powstała mała klasa, która uzyskuje Security Token z STS’a. Znajdziesz ją w poprzednim poście: AD FS – uzyskiwanie Security Token dla użytkownika. Continue reading “AD FS i delegacja SAML Token w PHP” »

Czytaj więcej

AD FS – uzyskiwanie Security Token dla użytkownika

STS (Security Token Service) jest usługą która dostarcza tokeny zabezpieczające zgodne ze standardami WS-Trust i WS-Federation protocols. Ostatnio musiałem uzyskać token zabezpieczający z Active Directory Federation Services (AD FS) 2.0 właśnie w języku jakim jest PHP.  Istnieje kilka ciekawych i dobrze działających rozwiązań. Jednym z nich jest SimpleSAMLphp (https://simplesamlphp.org/). Poza połączeniem z idP jakim jest AD FS oferuje również możliwość połączenia się z innymi systemami SSO, takmi jak Facebook, oAuth, Google+, InfoCards. Używam SimpleSAMLphp do połączenia z ADFSem, jednak w tym przypadku potrzebowałem uzyskać token bezpośrednio od usługi a nie poprzez redirect i delegację.Więcej o scenariuszach autoryzacji możesz przeczytać np. tutaj: https://msdn.microsoft.com/en-us/library/ee517273.aspx

Continue reading “AD FS – uzyskiwanie Security Token dla użytkownika” »

Czytaj więcej