laupäev, 28. veebruar 2015

Nädal 5

Küsimus: Turvalisuse teema osas on sul ülesandeks uurida ja analüüsida, kas eelmises ülesanded sinu valitud CMS’i või veebisaitide loomisega üldiselt seotud, turvalisust puudutavat teemat. Võid julgelt analüüsida mingit konkreetset näidet/kriitilist viga/turvaauku/ohtu ja tuua võimalusi, kuidas seda saab/oleks saanud vältida.

Eelmise nädala blogipostitusest selgus, et minu valitud sisuhaldussüsteemiks sai Wordpress. Nüüd vaatame kui turvaline see on ning mida annab teha, et seda vajadusel turvalisemaks muuta.

Paljuski annab kasutajal endal ära teha, et tema loodud veebisaidil pahatahtlikud inimesed seal midagi teha ei saaks. Kui näiteks foorumis või kommentaariumis saab luua postitusi lma kasutajata, siis on väga lihtne spammeritel hakata seal valesid asju spammima. Põhimõtteliselt muutes kogu see süsteem saidil kasutuks. Siinkohal on vaja veebisaidi loojal paari kohta linnukesed panna ning asi korras. Kui aga kasutaja on omalt poolt kõik teinud, et muuta veebisait võimalikult turvaliseks ning tagauksed on hoopis sisuhaldussüsteemi enda poolt avatud? Vaatame paari olukorda mis võiks olla Wordpressis paremini lahendatud.

Jõuga sissemurdmine
Mida see otseselt tähendab on see, et Wordpressil ehitatud veebisaidi admin'i keskkonda üritatakse sisse logida katsetades läbi erinevaid paroole. See on üsna tavaline viis sissehäkkimiseks, kuid kasutajad on märganud, et Wordpress talletab enda failides admin'i kasutajanime, mis saadakse kiirelt kätte, ning seetõttu on jõuga sissemurdmise aeg juba märgatavalt lühendatud(rm-vanda, 2014). Siinkohal võiks koheselt juba Wordpressi sisse ehitatud olla mingi süsteem mis blokeerib spammeri IP aadressi või siis lükkab kinni admin'i keskkonna mille saaks avada master parooliga, mida ei talletata kusagil. Lihtsalt kaks näidet minu enda poolt. On olemas aga võimalus tirida Worpressile lisa nimega BruteProtect mis just teeb seda mida eelnevalt mainisin ehk blokeerib ära IP aadressid kust on tulnud  lühikese aja jooksul suurel hulgal liiklust(BruteProtect).

Pluginate turvaaugud
Need mure kohad ei ole tegelikult otseselt seotud Worpressiga, kuid kuna Wordpress on kõige populaarsem sisuhaldussüsteem, siis on ka kõik pluginad, mis Wordpressile tehakse, sihikule võetud kuna enamasti just nende kaudu pääsebki ligi veebisaidi failidele ja andmetele. Näiteks populaarse plugin Slider Revolutioni turvaauk mille kaudu sai ligi loader.php failile ning selle faili muutmise tagajärjel pandi väga palju veebisaite Google musta nimekirja. Kui sa seal nimekirjas oled, siis Chrome veebibrauseriga sellele saidile liikudes blokeeritakse see automaatselt. Kuna Chrome on kõige populaarsem veebibrauser maailmas siis kogu asi on bad for business. Viga küll parandati plugin'a uuenduses, kuid siiski paljud saidid siiamaani kasutavad vanemat versiooni ning seetõttu on nad ikkagi avatud rünnakutele.(Gooding, 2014)

Ühesõnaga mis ma õppisin on see, et Wordpress ise on tegelikult üsna turvaline. Oli keeruline leida suuri turvaauke ning muid suuri lekkeid mis olid otseselt seotud Wordpress endaga. Küll aga on paljud plugin'ad jätnud avatuks mõningaid auke mille kaudu pääseb ligi juba Wordpress enda failidele. Neid kiiresti parandatakse uutemates versioonides, kuid vanemad versioonid jäävad siiski avatuks rünnakutele. Siinkohal peavad olema, nagu postituse alguses kohe mainisin, veebisaidi haldurid ise aktiivsed uuendamaks versioone, et hoida veebisait võimalikult turvalisena.

Mainitud allikad
rm-vanda. (2014). Loetud aadressil http://security.stackexchange.com/questions/66272/wordpress-brute-force-attacker-knows-real-admin-username

BruteProtect. (kuupäev puudub). Loetud aadressil https://bruteprotect.com/

Sarah Gooding. (2014). Loetud aadressil http://wptavern.com/100000-wordpress-sites-compromised-using-the-slider-revolution-security-vulnerability

Link ülesandele

laupäev, 21. veebruar 2015

Nädal 4

Küsimus: Ülesanne on järgmine. Lähtudes sellest millist veebisaiti soovid üles ehitada (nt korporatiivne koduleht või e-pood), vali vähemalt kaks sisuhaldussüsteemi ja võrdle neid, millise võtaksid veebisaidi loomisel kasutusse või millistele saitidele sobiks see CMS paremini! Julgelt otsi allikaid juurde, millele oma arvamust toetad.

Võrdluseks valin Wordpressi ja Drupal sisuhaldussüsteemid.

Endal on olnud mõlema süsteemiga kokkupuuteid ning peab mainima, et kohati on süsteemid väga sarnased kuid kohati ikka väga erinevad. Drupaliga on loodud isegi ka üks veebileht mida siiamaani vahel haldan. Aga vaatame süsteeme lähemalt ning esimesena vaatame Wordpressi.

Wordpress: Haldussüsteem mis on kättesaadav tasuta ning millele on võimalus juurde tirida palju erinevaid liideseid mis muudavad kodulehe just selliseks nagu soovite. On olemas pakett mille saab alla tirida ning installida oma web hosting teenusele või kui te päris täpselt ei tea mida peale sellega hakata, siis Wordpress pakub ka enda hosting teenust kus on kogu põhi juba olemas kiireks kasutamiseks. Sellega aga kaasneb see, et veebisaidile jääb sisse nimi wordpress.com. Otsest kasutamist soovitaks sel juhul inimestele kes ei kasuta veebisaiti kommerts eesmärkidel ning lihtsalt enda ja lähedaste otstarbeks. Worpress on samuti ka pidevas arengus. Seetõttu võivad erinevad süsteemid, mis kasutavad lugemist lehekülgedelt, natuke maha jääda. Nagu kursusel avastamise, et EduFeedr ei suuda lugeda enam inimeste tehtud blogisid. Worpressil on ka olemas erinevad Android ja iOS lahendused mida siis rakendada mobiilsetel seadmetel. Kui võtta lahti nende koduleht siis samuti leiame sealt tuhandeid ja tuhandeid pluginaid ning teemasid ehk kujundusi. Mida üllatavat aga siinkohal märkan on see, et ühegi donwload lingi juures ei ole hindasid kirjas seega kõik on täitsa tasuta kättesaadavad.(Wordpress)
Esmapilgul võib kõik tasuta olla kuid paljudel pluginatel ja kujundustel on olemas VIP versioonid ning need juba maksavad. VIP versioonid enamasti eemaldavad igasugused mainimised, tagid ning muud lingid mis jäävad kommerts lehtedele häirima. Ühesõnaga kõik mis juba raha teenimist puudutab peab olema kaetud litsentside ning VIP lahendustega.(Agarwal, 2014) 

Drupal: Kuna endal on olnud suurem kokkupuude selle sisuhaldussüsteemiga, siis võin kohe välja tuua suure murekoha milleks on see, et süsteem tundub jube keeruline olevat. Kui soovida nihutada kaste ning aknaid just selliseks nagu vaja, siis peab teadma täpselt millist faili muuta. Ei kõla keeruliselt, kuid need failid on kusagil folderite sügavustes peidus ning samanimelisi faile on samuti mitu aga erinevates kaustades teevad erinevaid asju ning just selle faili leidmine, mis muudab seda mida sul vaja, on väga keeruline. Sarnaselt Worpressile on ka Drupali põhi tasuta kättesaadav. Mida aga nemad ei varja on see, et paljud asjad on koheselt tasulised. Nad suunavad enda lehelt teistele lehtedele mis pakuvad web hosting teenuseid ning ka paljud pluginad, või siis nende mõistes moodulid, on samuti tasulised. Väga keeruline on üles ehitada head ning ilusat kodulehte tasuta moodulitega. Drupaliga on samuti ka see probleem, et uuemad põhjad mis ametlikult välja lastakse ei ole tihti niiöelda backwards compatible ning need moodulid mis teil varem lehel töötasid võivad katki minna. Siis te peate ootama millal uus versioon sellest moodulist välja lastakse, mis toetab uut põhja. Paraku aga võib aga selle mooduli arendamine üldse lõpetatud olla ning te peate leidma uued lahendused mis siis võivad omakorda teisi süsteeme katki teha.(Drupal)
Eelnevalt mainitud veebisait mille olen Drupal põhjal teinud: http://kfl.ee/
Nagu näha on tasuta moodulitega sait väga algeline ning samuti pean mainima, et lehe loomise momendil olid minu oskused samuti algelised.

Kiirest kahe haldussüsteemi ülevaatest võib päris selge olla, et Wordpress on parem lahendus. Miks muidu nii palju rohkem inimesi seda kasutavad? Kasutajasõbralikum, mugavam ning rohkem võimalusi pakkuv lahendus. Kui vaja luua oma veebisait, siis kaldun tugevalt Wordpress poole.

Mainitud allikad
Wordpress.org. Wordpress.org. (kuupäev puudub). Loetud aadressil https://wordpress.org/

Amit Agarwal. (2014). Loetud aadressil http://www.labnol.org/internet/blogging/how-wordpress-makes-money/7576/

Drupal.org. Drupal. (kuupäev puudub). Loetud aadressil https://www.drupal.org/

Link ülesandele

reede, 13. veebruar 2015

Nädal 3

Küsimus: Mõtle läbi mida sul on vaja teada oma kliendilt, enne kui hakkad talle veebisaiti looma / saaksid teha hinnapakkumise / arvestada keerukuse ja hinnaga. 

Veebisaidi loomisel peab kliendiga kindlasti pidevat suhtlust hoidma ja kindlaks määrama mida klient soovib. Vastavalt soovidele muutub kindlasti ka lõpptoote hind.
Esimese asjana mida oleks vaja teada on see, mille jaoks ta hakkab seda veebisaiti kasutama. Kui tal oleks veebisaiti vaja ainult blogimiseks või enda tegevuste reklaamimiseks, siis võibolla isegi soovitada tal kasutada juba olemasolevaid tasuta sotsiaalvõrgustikke nagu blogger, facebook jne. Jah mina ei saa sellisel juhul teenuse eest raha, kuid sellise käitumise juures loon ma usaldust kliendiga näidates, et ma ei ole ainult raha peal väljas. Sellisel juhul kui kliendil on vaja üks moment midagi suuremat luua, siis tõenäoliselt pöördub ta taas minu poole.
Kui läheb juba lehe loomiseks, siis kindlasti oleks vaja teada mida ta soovib seal lehel teha. Foorumi lisamine, blogi lisamine, videoplayer lisamine jne. Kui kliendi soovid on kirja pandud, siis tuleks paika panna eelarve. Eelarvega saab määrata palju eelnevalt paika pandud soove saab realiseerida. Iga moodul mis veebisaidile külge tuleb, suurendab hinda. Igal osa lisab hinda juurde vastavalt selle osa keerukusele. Kui eelarve on minimaalne, siis tuleb kliendiga uuesti käia üle tema soovid ning välja pakkuda, kui võimalik, alternatiivid. Iga asja ei pea hakkama uuesti looma kui on võimalik juba olemasolevaid süsteeme integreerida.
Kui kogu süsteemide poolne osa on paika pandud, siis tuleb üle käia kujundus. Kui kliendil on ettevõte millel on logo ja värvidisain juba paigas, siis ilmselgelt peab seda sobitama ka veebisaidiga. Kui värviline see saab olema, millised erinevad kastid saavad olema, kas kõik peab olema liikuv jne. Siinkohal kui klient soovib võimalikult aktiivseks ja ulmeliseks lehte ajada, siis minu töö oleks teda natuke tagasi tõmmata, kuna mida rohkem pilte ja muid liikuvaid asju lehel on, seda aeglasemalt lehte laetakse. Leht peab jõudma võimalikult paljude inimesteni mugavalt. Kui piirata inimeste arvu, kes saavad lihtsalt lehel ringi liikuda, siis sellega kannatab minu kliendi kasum. Samuti kõik uhked erinevad disaini elemendid lisavad veebisaidile hinda juurde.
Oluline siinkohal on ka määrata see, kes veebisaiti haldama hakkab. Kas seda pakun mina teenusena, või võtab selle üle keegi teine. Kui selle võtab üle keegi teine, siis tuleb luua korrektne dokumentatsioon ja ka vajadusel maha istuda selle inimesega, kes seda süsteemi haldama hakkab.
Kui disain, soovitavad süsteemid ja ka optimaalne hind on paigas, siis tuleks pakkuda lähiajal kliendile kiire välimusele baseeruv mockup. Välimus on kliendi jaoks kõige olulisem, kuna see on esimene asi mida veebisaidi puhul nähakse. Kui sellega ollakse rahul, siis saab alles tõsisema töö juurde minna ja saidi funktsionaalsust looma hakata.
Minu teksti põhjal võib tunduda, et ma raha ei tahakski oma töö eest pakkudes kliendile odavamaid alternatiive. Ma pigem loon oma tööga usaldusväärsust. Sellega teenin ma pikemas perspektiivis rohkem kui ühekordse suure summa.

Link ülesandele

laupäev, 7. veebruar 2015

Nädal 2

Küsimus: Kuidas ping lehe laadimist mõjutab ja miks on erinevate veebimajutuste puhul erinev? Kui oluline on riistvara veebimajutuse pakkujal? Millal on ping ja riistvara lehe veebimajutuse puhul väga oluline?

Kiire selgitus alustuseks, et mis on üldse ping. Ping on tööriist millega saab testida veebiteenuste kättesaadavust. Ping käsuga saadetakse teele andmepakett ning andmepaketi tagasi saamisel mõõdetakse kui kaua võttis selle teekonna läbimine aega ning kui suur on andmete kadu ehk packet loss. Selle käsu saab käima lükata cmd.exe kaudu sisestades käsu ping www.google.com. Google asemel võib kirjutada ükstaskõik millise lehekülje.(Wikipedia)
www.google.com pingimine
Kõik tulemused mis enamvähem alla 200ms jäävad on aktsepteeritavad. Üle selle ning lehtede laadimised venivad ebameeldivalt pikaks. Kui teie saadate brauseri kaudu soovi seda veebilehte külastada, siis ping tööriistaga näebki, kui kaua läheb aega, et see signaal kinni püütakse ning teile saadetakse tagasi lehekülg. Miks on aga tulemused, pingides erinevaid saite, nii erinevad? Tulemused tulenevad sellest kus on veebisait majutatud. Pingides kohalikke Eestis majutatud veebisaite saan tulemuseks umbes 10ms ja alla selle. Pingin lehekülgi mis on majutatud näiteks Ameerikas saan tulemuseks 200ms kanti. Kuna vahemaad ilmselgelt on pikemad mille kaudu signaal minuni peab jõudma, siis on ka ping tulemused suuremad.

Kui aga veebimajutuse pakkuja serverid on kehvad siis võib ka olukord olla selline, et ka need saidid mis on kohalikult majutatud, võivad omada pingi mis ulatuvad 100ms + kanti. Kui saitidel on liiklus väike siis veebimajutuse riistvara ei pea olema võimas. Kui me aga räägime miljonitest külastajatest minutis, mis võib olla Google puhul täitsa reaalne, siis igat sissetulevat signaali peab tõlgendama ning tulemuse õiges suunas tagasi saatma. Selleks on vaja korralikku riistvara mis töötlemise kiiresti ära teeks ning mis ei tekitaks pudelikaela effekti liikluses.

Mainitud allikad
Ping (networking utility). (kuupäev puudub). Wikipedia. Loetud 07. veebruar 2015 aadressil http://en.wikipedia.org/wiki/Ping_(networking_utility)

Link ülesandele