Revisando la seguridad de OpenX

OpenX es un software servidor de publicidad open source muy popular, que brinda una interfaz para la gestión de banners y un sistema de "tracking" para la confección de estadísticas. El producto es muy versátil y permite armar campañas y mostrar tanto banners propios así como de terceros; como por ejemplo Google AdSense o su sistema propio, OpenX Market.
La wikipedia señala que el sistema cuenta con más de 50,000 usuarios que entregan más de 300 mil millones de avisos por mes; así como también que el sistema es usado por el 5% de los top 10,000 sitios con más tráfico del mundo.

Pero así como es un producto excelente, también es blanco de ataques frecuentes, por lo tanto no esta mal hacer una rápido chequeo para verificar la seguridad de nuestra sistema. En una de las instalaciones que mantengo, hoy hice lo siguiente:

1. Revisé la estructura de archivos y directorios y verificar los permisos sobre los mismos.
2. Me logueé en el phpMyAdmin y ejecuté un par de consultas para ver si estaba todo en orden:
   
   SELECT bannerid, append, prepend FROM banners WHERE append != '' OR prepend != '';


SELECT zoneid, append, prepend FROM zones WHERE append != '' OR prepend != '';

SELECT u.user_id, u.contact_name, u.email_address, u.username FROM users AS u, account_user_assoc AS aua WHERE u.user_id=aua.user_id AND aua.account_id = (SELECT value FROM application_variable WHERE name='admin_account_id');
   
   Las dos primeras sirven para buscar si fue insertado código malicioso en las tablas que almacenan los banners y las zonas donde se muestran estos. La última sirve para buscar cuáles son los usuarios que tienen permisos de administrador.
3. Por último, es conveniente revisar los archivos .php en búsqueda de expresiones "eval" y el uso de base64_decode, que generalmente son los mecanismos que se utilizan para realizar ataques a estos sistemas; especialmente en las carpetas de plugins e imágenes.

Este resumen no resuelve ningún problema, pero identifica probables ataques, en cuyo caso habrá que tomar medidas al respecto. Hasta la próxima!

Bienvenida la WordPress Foundation

Hoy apareció la noticia en el blog oficial de WordPress que ya esta lista la WordPress Foundation, una organización sin fines de lucro destinada a "democratizar la publicación a través de software open source, GPL" (según mi modesta traducción).
Lo más importante para mí es, como figura en la página principal de la fundación, asegurar el acceso libre y perpetuo al código de los proyectos al que ellos dan soporte. Muchas veces cito, cuando conozco algún potencial cliente, que las herramientas que utilizamos para hacer nuestros proyectos son ampliamente utilizadas en el mundo, que son de código libre y que hay cientos o miles de personas que pueden ayudarlo en caso que en el futuro no hiciéramos negocios juntos. Y a los nuevos clientes esto les da una sensación de respaldo y seguridad que valoran mucho.
Que el software de la plataforma WordPress sea GPL me da la posibilidad de hacer estos comentarios. Y que la empresa detrás de éste se muestre tan comprometida con el desarrollo y promoción del software libre me da a mi también, tranquilidad y respaldo.

No se olviden de visitar el blog de la fundación. Hasta la próxima!!

PD: como nota curiosa, ya están usando la versión 3.0 del WP para publicar el blog... yo también quiero probar!

Google lanza Chrome

Así es, la noticia más caliente de Internet y la "blogocosa" hoy es que Google lanzó su navegador de Internet Chrome. Pueden descargalo desde aquí (versión para Windows, Mac y Linux "coming soon"). Algunas cuestiones al respecto:

• Está basado en Apple Webkit y Mozilla Firefox, como dice aquí. También su código fuente está disponible bajo una licencia de código abierto. Pueden ver instrucciones para bajar el código aquí (específicas para instalar en linux).
• Dice estar pensado específicamente para ejecutar aplicaciones web (o con mucho JavaScript). Algunos de los amigos que lo probaron dicen al respecto que anda muy bien.
  
• Hay un video muy lindo al respecto:
  
  
• Y tienen más información en el sitio especialmente dedicado al navegador en Google Code.

Hasta la próxima!

PD: para todos los interesados: "we are releasing all of the code as open source under a permissive BSD license". Directamente del "Chromium Blog". El navegador de Google Chrome está basado en este código.

Perlitas para Windows

Estos días estuve usando Windows XP más de lo habitual y me encontré con dos "perlitas", ambos programas open source, que vale la pena recomendar:

• El primero es VirtualDub, un programa para capturar y editar video de forma lineal (con licencia GPL). Muy fácil de utilizar y muy liviano.
  
• El segundo es InfraRecorder, un programa para grabar CDs o DVDs en Windows, también open source (GPL también). Entre las cosas destacables es que soporta DVDs multicapa y también graba imágenes ISO.
  

Ambos tienen una interfaz muy sencilla y pulida, y no pesan absolutamente nada, asi que se bajan muy rápido de Internet. Se los recomiendo a los dos. Hasta la próxima!

Solver para OpenOffice

Hoy me enteré que existe una versión de OpenOffice que incluye, entre otras cosas, una función Solver como la de MS Excel. Quienes la hayan usado, saben que es muy útil, pero hasta el día de hoy no sabía que existía también para OO.
Lamentablemente, me enteré de la existencia de este proyecto gracias a una nota en FSDaily, donde cuentan los detalles del conflicto entre Kohei Yoshida, el creador del componente, y SUN para incluir el código en la versión de OO que distribuye SUN.
Es una pena que en el mundo del software libre existan este tipo de conflictos, que no hacen más que provocar que los desarrolladores que están contribuyendo código dejen de hacerlo por cansancio, y de prevenir que se sumen a los proyectos nuevos programadores interesados.
Yo espero que esto se resuelva a la brevedad; no solamente porque soy usuario de OO y me parece un excelente proyecto, sino también porque así se demuestra que aunque existen los conflictos como en todos los proyectos, el universo de desarrolladores de código abierto es una comunidad madura capaz de resolver este tipo de problemas.
Pero si se hila más fino, también podremos darnos cuentas que el conflicto en sí tiene una componente más seria. Si Kohei tiene razón y el deseo de Sun es "to take advantage of free labor to further the corporate goal of Sun Microsystems, by protecting vigorously Sun’s total ownership of the code base as well as the development process in their entirety", significa que en realidad se está aprovechando el trabajo de los voluntarios para beneficio exclusivo de una empresa, y no de la comunidad, que es la que supuestamente se busca fomentar y beneficiar (no?). Más adelante, Koei hace mención a que "Louis Suarez Potts announced Sun’s intension to develop a Solver for 3.0", cosa que llama la atención, ya que marca el deseo de no incluir el código que el contribuyó (con licencia LGPL, la misma que el proyecto OO); y en cambio de reescribirlo completamente (para asegurar la autoría del mismo a SUN? cuál es punto de este anuncio?).
Hasta la próxima!

Edit: Como aclaré en la sección de comentarios, respeto mucho a la empresa SUN y a la gente que trabaja para ella. De todas maneras, y como escribió Kohei en el mismo post que me mandó a leer "anónimo" en los comentarios, "we need to change the current development process to make it easier for future contributors. And based on the feedback I received from others, others also share similar experience as well". O sea, me parece que algunos proyectos deberían replantearse sus procesos para que las contribuciones de terceros sean más fáciles de agregar y el proceso sea menos traumático, sobretodo para no desalentar las contribuciones de terceros.

Breaking up with you, your daughter is prettier and easier

"Dear Loved One:

By now you probably already know that I am having an affair with the youngest of your daughters. It’s not like I planned this to happen, but I couldn’t help it, she is younger, sexier, prettier and easier. Yes, she is easier than you, and this is a moment in my life when I just want that. I got tired of you playing hard to get. You are just too complicated, with your inner conflicts and your multiple personality disorder trying to be everything to everyone. You just can’t please everybody you know?

Debian: I will always have a place in my heart for you, but I’m with Ubuntu now and we are very happy together. Please stop attacking her. It’s your fault, not hers.

Love.

Gustavo Picon"

Gracias Bruno, Diego y a Gustavo Picon!

Novedades por mardelbit

Asi es! Ya se están armando las Sextas Jornadas de Software Libre de Mar del Plata! Como algunos de los organizadores ya están empezando a hablar del tema, pensé que mejor que tirarles una soga y tratar que otras personas se enteren. Un par de cosas para tener en cuenta al respecto:

• La entrada es gratuita. Va a haber una pre-inscripción por internet, igual que el año pasado, que en cuanto esté disponible lo voy a hacer saber.
  
• Este año se va a realizar afuera de la Universidad FASTA, más precisamente en el Centro Cultural Osvaldo Soriano, donde funciona la biblioteca pública municipal.
• Las Jornadas ya fueron declaradas de interés municipal.
• En esta etapa se están buscado sponsors para financiar principalmente los viáticos de los expositores. Asi que si alguien está interesado en colaborar, que avise!

Hasta la próxima!

Fines de abril ya

Terminando abril y leyendo esta última semana los blogs que leo regularmente estuve mirando cosas muy interesantes, que valen la pena compartir. Por ejemplo:

• Video: RSS in plain English: es un tutorial muy sencillo, pero muuuuy sencillo, que dura menos de cuatro minutos y explica qué son las RSS y cómo se hace para suscribirse a ellas. Realmente está muy bueno, el único "problema" es que está en inglés, aunque se entiende fácil.
• Recruiting the Top 1 Percent: y sí, seguimos con el inglés. Pero no queda otra, no? Esta editorial la escribió Joel Spolsky, persona a la cual le regalo muchas visitas por mes a su sitio, y comenta cómo hace para reclutar gente para su empresa. Aunque los beneficios que él le ofrece a sus (futuros) empleados tal vez sean demasiado ostentosos para una empresa en Argentina, más en Mar del Plata, lo importante es evaluar como trata a sus empleados. Mirando los resultados de su empresa, algo de razón debe tener y las técnicas que él emplea para con sus empleados, en mi opinión, pueden adaptarse a nuestra realidad. Cita: "An internship program creates a pipeline for great employees. It's a pretty long pipeline, so you need to have a long-term perspective, but it pays off in spades."
• También encontré algunos recursos interesantes para desarrolladores web. El primero de ellos es Open Design, que como su nombre lo indica, un grupo de desarrolladores ofrece plantillas de diseño open source para hacer de internet "un lugar más lindo". El sitio es realmente atractivo y tiene diseños de muy buena calidad.
  También The CSS Tinderbox sigue la misma tendencia que Open Design, templates de código libre para compartir por internet. Parece que esto se está convirtiendo en tendencia, no?
• Por otro lado, encontré un tutorial sobre Joins en SQL muy bueno. Es una linda lectura, y si no sabés qué son o cómo se usan los Joins, es un buen lugar para empezar a enterarte de qué se trata.
• Por último, quiero darle una mano a la gente de Tandil que están preparando la "1ra. Jornada de Software Libre del Centro de Buenos Aires" para el primer fin de semana de mayo y que la gente que lee mi blog se entere de lo que están preparando. El año pasado vinieron muchos chicos desde allá para las jornadas de software libre que organizó MardelBit acá en Mar del Plata y con varios amigos y amigas ya estamos organizando para devolverles la mano e ir a visitarlos. Si están interesados miren la página o escriban en los comentarios.

Bueno, eso es todo por hoy. Seguramente vaya a ver las jornadas de soft libre de la gente de Tandil, en cuyo caso volveré con fotos y cosas para contarles. Hasta la próxima!

CSS y Open Source

Bueno, aprovechando que tengo más tiempo libre estos días es más fácil postear.
Lo primero que les quería mostrar son algunos links muy útiles para la gente que trabaja con CSS. El primero es un directorio con 53 técnicas CSS muy interesantes. Está realmente muy bueno porque es un compendio de información muy interesante, y muchas de las técnicas comentadas son realmente útiles (como navegación con CSS, tablas que se colapsan, sombras o mapas de imágenes).
El segundo en realidad es una serie de tres artículos que cuentan como utilizar CSS para reemplazar elementos de HTML que ya no se usan más. El nivel que tienen estos artículos es más básico que el anterior, pero vale la pena mirarlo. Aunque sea por la nostalgia! =)
Por último, encontré un post muy bueno que explica que son y para que sirven los Selectores Adyacentes en CSS. Aunque el nombre pueda parecer algo complicado, en realidad son muy útiles, y permiten tener un control muy fino de como algunos elementos se muestran en la pantalla del navegador. Lamentablemente, Internet Explorer no los soporta, pero aun asi son un recurso valioso.

Por otro lado, hace un tiempo me había enterado de una historia muy interesante de como un desarrollador Open Source había sido contactado por Nokia para utilizar su proyecto en uno de sus productos. Hoy finalmente encontré una buena recopilación de la historia. Es muy alentador ver como gigantes de la industria se vuelcan a utilizar proyectos Open Source para sus propios proyectos, y no solamente se quedan con eso, sino que les proveen de fondos o aportan a ellos con programadores dedicados, documentación, código o correcciones de bugs. Este tipo de acercamientos no hacen más que apoyar el software Open Source y revalorizan que su modelo de desarrollo y filosofía pueden aportar productos de excelente calidad. Hasta la próxima!

Configurando Ubuntu y WPA

Esta semana estuve entretenido configurando Ubuntu Edgy Eft en mi casa y hubo una cosa que me llevó un ratito paseando por internet buscando como hacerla correctamente. Se trata de configurar el acceso a redes inalámbricas en Ubuntu utilizando WPA (o para el caso, también WPA2). Entonces, decidí hacer un post al respecto asi, si me vuelve a pasar a mi, tengo un machete a mano de como hacerlo ;) y si hay gente que le está pasando lo mismo, tenga un lugar (otro más) para buscar como resolver su problema. Abran una consola y tipeen:

sudo apt-get

sudo apt-get install wpasupplicant

sudo apt-get install network-manager-gnome network-manager

y después reinicien el sistema. Van a ver un ícono como éste:



si le hacen click, van a tener una lista de las redes disponibles a las que se pueden conectar:




y listo! Ya tienen Ubuntu configurado para acceder a redes wireless encriptadas. Hasta la próxima!

Ahora Java es Open Source

Asi es. Desde hace diez días, Java se distribuye bajo la licencia GPL v2. En un anuncio publicado el 13 de Noviembre se dio a conocer la noticia. Ahora existe un sitio especialmente dedicado al respecto, donde se puede bajar desde el código fuente de J2SE, llamado OpenJDK (que no incluye todo el código del mismo, sino algunas partes, y que con el pasar del tiempo se irán liberando las que faltan), el código fuente de J2ME y también J2EE bajo el proyecto GlassFish.
El sitio cuenta también con muchísima información al respecto y enlaces muy interesantes. También hay una carta abierta de James Gosling a la comunidad, en dos partes, que tiene algunos comentarios interesantes para leer, como "You know, most of the big questions that people would think of that would keep me up at night actually don't. I'm pretty happy with the way the OpenJDK is developing. I'm really happy with the way that we're approaching issues like QA and the rest of it."

Por supuesto que este anuncio trajo muchas reacciones alrededor de internet. Desde anuncios en sitios de noticias, a comentarios de todo tipo en otro tipo de medios. Gente como Tim O'Reilly o Richard Stallman han expresado su opinión favorable al respecto. Mike Loukides escribió una opinión muy interesante en OnJava.com al respecto, haciendo hincapié en que este es el momento para que la comunidad Open Source le devuelva a Java la simplicidad que tenía al principio, para aprovechar mejor las características avanzadas o más potentes del lenguaje. Tim Bray, otro ejecutivo de Sun, también hace un análisis interesante de la noticia, que vale la pena leer completo. Acá tienen un pedacito: "[Java] It’s been given away freely for so long, and it’s worked its way into so many places, that it should belong to the community, and if anyone figures out how to make it better, they should just bloody well give that discovery back. So for my money, the GPL’s the only sane choice."

Por mi parte, yo creo que la decisión es la correcta. Tal vez en el corto plazo, Sun tenga que lidiar con un montón de gente que todavía no cree que el movimiento Open Source sea serio o confiable. Pero a su favor tienen otros proyectos de código abierto (GlassFish, Netbeans y OpenSolaris) que les pueden dar letra acerca de como atacar estos problemas. En el largo plazo, la decisión es excelente. Al ofrecer Java bajo la GPL, ahora hasta las distribuciones más puristas (en cuanto a licencias) de GNU/Linux pueden ofrecer la máquina virtual en sus distribuciones. Esto, sumado a que los dos entornos más poderosos para programar en Java, Eclipse y Netbeans, también son de código libre hacen que Java se pueda convertir en un lenguaje muy utilizado para escribir software que corra en éstas plataformas. Con esta decisión, ahora Sun puede aprovechar el empuje de la comunidad Open Source para "limpiar" las partes del lenguaje que como conceptos son excelentes pero que su implementación fue demasiado complicada, como los EJBs.

Sin lugar a dudas, la decisión tomó su tiempo, pero no por eso es menos importante. De ahora en más, queda ver como la industria reacciona y como los desarrolladores aprovechan esta oportunidad. Se vienen tiempos interesantes en el mundo Java...