Soporte Web

Blog de soporte al desarrollo Web

Archivo para la categoría "HTTPS"

Apache no inicia en XAMPP

leave a comment »

Un conflicto típico que muchos usuarios de XAMPP encontrarón es levantar el sevicio de apache cuando Skype esta abierto. Si abren Skype y luego tratan de levantar apache en XAMPP verán como el servicio es denegado si es que esta configurado para utilizar el puerto 80 (PORT 80).

Por defecto, el servidor Apache en la instalación de XAMPP esta configurado para utilizar el puerto 80, y como verán en el gráfico, uno de las opciones de Skype es utilizár el puerto 80 como alternativa de conexión entrantes.

La solución es muy sencilla, quiten la selección a esta opción, de esta manera skype solo utilizará el puerto que designes en el campo de texto (ej. 64217).

Reinicia skype,  haz correr el servidor Apache en XAMPP y listo! nunca más tendrás este problema mientras no cambies el puerto.

Written by Johann Arispe

5 abril 2010 at 10:22 am

Reparando el warning de IE 8 – ‘Desea ver el contenido de la pagina web que se entrego de forma segura?’

with 6 comments

Este es un warning de seguridad que aparece desde la versión 8 de IE. En versiones anteriores, el cuadro de diálogo similar que obteniamos era:

Si mal no recuerdo, solamente era necesario aceptar una vez y este no regresaba durante la visita de toda la página. En cambio el que ahora obtenemos, es recurrente y en lugar de aceptar la opción positiva por defecto, debemos ir por el contrario. Este es el nuevo cuadro que obtenemos:

¿Desea ver el contenido de la página web que se entregó de forma segura?

El Problema

Para comenzar a entender el porque del problema, tenemos que tener en cuenta que una página web accesa y utiliza recursos, como imagenes, por medio del protocolo HTTP, a menos que se indique lo contrario.

Si hemos designado el acceso a  un página segura bajo el protocolo HTTPS y necesitamos recurrir a recursos bajo el protocolo HTTP, IE 8 interrumpe la descarga y despliega un cuadro de dialogo de confirmación cada vez que detecta el uso de contenido “mixto” en una página segura.

Anular el aviso

Para usuarios que se cansaron de obtener el cuadro de diálogo, la forma de deshabilitar este aviso warning se hace de la siguiente forma:

  1. Herramientas->Opciones de Internet->Seguridad
  2. Pestaña ‘Seguridad’
  3. Click en ‘Personalizar’
  4. En la sección ‘Miscelaneo’ habilitar “Desplegar contenido mixto”.

Las consecuencias de habilitar el contenido mixto son la vulnerabilidad a scripts malignos insertados en las páginas web. Ingresar en una página segura, significa que la información que se transmitirá entre el cliente y el servidor es confidencial y/o requiere mayor control. Por esta razón, parece coherente que IE nos advierta que en la página bajo el protocolo HTTPS existe contenido que no se accesará de la misma manera. Una de las vulnerabilidades comúnes del protocolo HTTPS es la captura de cookies. Esto puede suceder por medio de algún script o malware que oye el puerto 443 y reenvia los datos del mismo al atacante, si esto tiene lugar, la seguridad del HTTPS se vulneró por completo.   

Recomendación  

La mejor práctica es habilitar esta opción cada vez que realizemos alguna transacción confidencial, de esta manera sabremos si, por ejemplo, el portal del banco que utilizamos tiene contenido mixto. Generalmente, el aceptar el mensaje de aviso, generará que la página no muestra las imagenes, no contabilize el acceso por medio de algún script como Google analytics, no se utilize alguna librería externa hospedada en algún servidor externo.

Para desarrolladores

Cuando estamos desarrollando una pàgina web segura, necesitamos considerar esta restricción que IE8 implementa. Espero que este tipo de práctica se expanda en los demás buscadores, porque aunque molestoso, es necesario para estar conscientes de la seguridad.

Evitar el contenido mixto es importante ahora, especialmente con este restricción del IE 8.  Lo recomendable es no utilizar servicios “third party” como los analytics o las redes de entrega de contenidos en páginas seguras. Algo que siempre es detectado como contenido mixto no seguro son las librerias de AJAX de Google y los scripts de registro estadistico de visitas.

La práctica más recomendable es siempre enlazar recursos y contenidos en el mismo protocolo. Si estamos dentro de una página HTTPS, todos los enlaces deberían hacer llamadas a recursos dentro del mismo protocolo. (ej. imagenes, páginas, scripts, CSS, javascript, etc).

Herramientas

Una de las herramientas más útiles para analizar tu página es HttpWatch. La versión gratuita es suficiente para los análizis. En las páginas con problemas de contendio mixto, puedes correr esta aplicación y te mostrará los enlaces que están causando la advertencia.

Written by Johann Arispe

21 enero 2010 at 10:53 am

Seguir

Recibe cada nueva publicación en tu buzón de correo electrónico.