Creo que esto ya lo escribí alguna vez en algún lugar... pero como ya son varios los que me preguntan... lo vuelvo a escribir..

bueno sacando de lado el fin de la "navidad" sobre lo del nacimiento y demás ( un día mas como cualquier otro)  me parece que ese tipo de fiestas insita a la hipocresía,  ya sea voluntaria o involuntariamente..... por ejemplo a quien no le a pasado que alguien del trabajo o "amigos" o quiza un familiar con quien uno anda enfadado, ese día "a webo"( fuerzas) se lo saluda, uno por dentro piensa... ojalá te atragantes con la comida...., pero por fuera "hay feliz XXXX ( el XXX es el evento  que sea, cumple, navidad, matri, año nuevo, etc).

o hay otros casos, hay gente que en todo el año  ni nos habla, ni se acuerda que existe uno... pero viene la fiesta XXX y en eso..."hay feliz XXX"... y de nuevo con la hipocresía...

peor aun son las personas que te saludan  solo cuando tienen algún problema de programación, se les metió un virus a la pc  algún otro problema, nomás te saludan te hacen el habla 3 minutos ( yo los cuento) , y luego Tomala!!!!, la pregunta... luego de eso... ni te hablan.. hasta la otra pregunta.... eso si me enfada mucho, ya e bloqueado como a 150 personas del msn que solo hacen eso...., lógico hay personas con las que uno siempre habla y de vez en cuando tienen algún problema.. allí  se les ayuda con ganas, eso es muy diferente.

Personalmente yo tomo muy en cuenta cuando alguien viene en persona, por email o por MSN  me habla/escribe cualquier día del año, un día de esos que no tiene nada de "especial", simplemente por que se le antojo saludarme, o preguntar como ando sin ningún interés tan solo el hecho de querer saludar, ese tipo de cosas si tomo en cuenta y no olvido... para mi eso si es importante, algo que ningún saludo/regalo de navidad, cumpleaños, fiestas patrias, etc. podría cubrir....

lo de las fiestas, en si se han vuelto como algo "obligado", como que si no saludas viene el "chupa cabras"  y te llevara...  o que los que no saludan y dan el abrazo se van al infierno....  o cosas asi.

por parte de los niños, los acostumbran a ser interesados... hasta se portan bien solo para recibir cosas..., eso es malo... por eso la juventud de ahora esta todo perdida, ya se pierden  los valores y desde pequeños, los vuelven interesados...

seguro me podrían decir "a es que en navidad se celebra el nacimiento del niño dios" y pues si piensan eso están equivocados, ya que según estudios, y cálculos de los especialistas ( no de la iglesia católica) el nacimiento fue creo pro abril,  si pusieron la fecha del 24 de diciembre fue por que la iglesia católica no quería perder las fiestas paganas que habian antes y pusieron esa fecha por que había una fiesta pagada que se celebraba ese día ( ahora no la tengo en mente, pero lo buscare..) y para  que la gente la puedan "convertir", continuaron con la fiesta, solo que le cambiaron "la razón de la fiesta" y les dijeron que fue por que nació el "niño dios"( asi le dicen), asi que en primera celebran algo que no es..., lo que hacen es celebrar la antigua fiesta "pagana" solo que disfrazada, es una de los tantos "arreglos" que hizo la iglesia católica, quizá seria bueno que indagen algo sobre la verdadera historia de como se formo la iglesia católica... y no digo que busquen referencias de fanáticos, sino de "historiadores neutrales".

Bueno por todo eso es que no me gusta la navidad,  si quieren saludarme, no esperen que sea una fiesta, cumpleaños, año nuevo, etc... no se necesita ninguna fiesta en especial, puede ser cualquier día del año, ya que si lo hacen en alguna fiesta.... lo mas seguro es que sean ignorados...., pero si me buscan un dia X que no tenga motivo en especial... eso si lo tomare muy en cuenta.

plz no me envíen saludos ni nada ni postales... respeten, por mas que no compartan mi parecer.

Hasta la próxima

El Dacito

Bueno...  como ya salió a la luz la solución al problema... ahora me toca sacar a la luz el problema.

si no entienden, pueden ver el siguiente post de Antioroku  bueno de que se trata todo esto?

bueno muchos saben mi Afán por tecnologías de MS, aunque eso no implica que no pueda usar otras tecnologías, y mas aun si son "a fuerzas voluntariamente " impuestas recomendadas por los jefes.

A que viene todo esto?. bueno en el WWW existe un Reporteador open source, llamado BIRT  basado en Eclipse que es muy fácil de usar, además de gratis ( reporting services por mas que sea bueno tiene un costo, la del sql server) ,

Bondades:

• Fácil de Usar
• GRATIS
• "Fácil de instalar" (entre comillas por que es a la vez un problema)

Problemas: (Aquí la parte que mas me gusta)

El BIRT tiene unos cuantos minúsculos, imperceptibles problemas, algunos por la mala instalación y otro por la mala "customizacion "

Manejo de Sesión: El Birt corre bajo "Apache Tomcat", el detalle es que muchos se especializan en configuración del Apache y PHP, pero no todos en el Tomcat ( la vdd ni yo se), y como ya saben... si uno no configura bien su servidor, ya sea IIS, Apache, Apache Tomcat, o lo que sea... es vulnerable a ataques..., yo no soy de los que piensen que Linux es mas o menos que Windows... lo que creo es que todo depende del nivel y destreza del Administrador, por ejemplo a nivel de Linux e visto como el Dr. Modding, configura bien los servidores con Linux, hasta ahora no pude meterme a ninguno de sus servidores... lógicamente no dejaría que configurara ninguno de los Servidores Windows...ya que no es su lado fuerte "aun", lógicamente a Antioroku yo no le dejaría que toque ni Windows ni Linux...  jeje ( el entiende el por que) , bueno ya me estoy saliendo del tema... el punto es que es muy difícil encontrar a un experto en apache Tomcat, un ejemplo.... si tienes en un solo servidor el IIS  y el apache puedes usar un conector para que los 2 servidores web usen el puerto 80 logrando con esto que no sea tan obvia la ruta del servidor del BIRT( lo mismo con apache y apache Tomcat) , además de asegurarlo contra "Dadezianos"..o bueno algún otro maloso que quiera tumbar tu servidor ...

Bueno dirán que ya di muchas vueltas y no toco el tema... bueno el problema aquí sobre el manejo de sesión es que lo mas común es que pongan el php en el tan conocido "Apache" ( y casi seguro que el PHP lo corren en modo CGI ) , la verdad yo como no se usar el apache muy bien, cuando tengo que usar PHP , prefiero PHP bajo IIS 6.0 en modo ISAPI, y bueno como el BIRT corre bajo Tomcat, no podemos tener un control de sesiones, o autenticar al que va a ver los reportes... asi que tendríamos 2 aplicaciones ( reporteador y pagina web) manejando cada uno sus propias sesiones... y no podríamos limitar el Acceso al BIRT desde la pagina ( en este caso usando php o lo que quieran )... ya  se que muchos me dirán "claro configura el PHP en Tomcat.. es muy facil", pero estoy hablando a nivel empresarial,  no solo darle click al instalador, estoy seguros que no muchos saben sobre esto,  a lo mucho habrán echo un par de click para instalarlo y ya... no le hacen el tuning respectivo, aseguramiento contra Hackers, un manejo de logs y demás cosas que un administrador "serio" debería hacer, esto mismo pasa con los servidores Windows la gente piensa que es solo poner el CD , y dar next... por eso Hackean súper fácil a los servidores... y a menos que sean especialistas  de verdad en "Tomcat" ( yo no lo soy)  no pondría la aplicación Web en ese servidor, los que me conocen dicen que soy un maniático de la seguridad, otros que veo fantasmas en todos lados, mi jefe dice que exagero... pero desde el 2002  nadie me a tumbado un  solo servidor... ( el único que se me cayo fue cuando queme un HDD ) . así que por eso.. a menos que sean unos súper especialistas en  Tomcat  no pongan la aplicación web ( si es PHP )  en el Tomcat....  si usan ASP.NET lógicamente que no podrían ponerlo en el Tomcat.

Seguro que muchos mexicanos pensaran "esas son mama...s" o peruanos dirian "exageras.." bueno  si se fijan aun no les dije el problema... no?

Al no poder controlar las sesiones del reporteador desde la aplicación web,  la única forma de poder enviar los reportes al cliente es dejar el acceso anónimo  al usuario, asi que en teoría el usuario podría ver sin necesidad de la aplicación los reportes... con tan solo saberse la ruta del reporte... y los parámetros del reporte..., no me pregunten como capturarlos .... e visto varios intentos ( el 95% de ellos fallidos) de como ocultar la url del reporte.., ya que normalmente le pasan por GET los parámetros al reporteador, este es muy versátil ya que puede mostrarlo como PDF, HTML y creo que hasta en xls  y todo esto con tan solo cambiar un parámetro en el query string.

Una desventaja del dinamismo de hacer cambios mediante parámetros, es que puedes inyectar parámetros  directamente al reporteador , y mas aun si  creas tu cadena de conexión con los parámetros... ( algo que me parece obvio y no merece vivir el que no lo ejecutara.. es que el usuario del reporteador debería tener SI o SI una cuenta de "solo lectura", el que tenga el reporteador , ya sea este u algún otro... con usuario de lectura y escritura... no merece vivir y mejor seria que cambie de profesión)

Como ya puse antes...."Inyectar" es la palabra clave...el como, el donde.... no me pregunten.... ojalá y ya hayan visto cual es el pequeño problema con esto.....,

Pero... "que podemos hacer?", una de las soluciones, es que cambiemos de reporteador,  otra solución  menos cobarde es que "Arreglemos" esa vulnerabilidad, sea la solución que sea... podría resumirse en que :

1. El usuario, ni ningún otra persona no especificada por nosotros, tenga acceso directo al BIRT.
2. Si es que Llega a tener acceso al servidor del Birt ( no digo Hackear el servidor, sino  tener acceso a los reportes), asegurarnos que no pueda ver la información inyectando parámetros.
3. Si es que llegan a poder inyectar parámetros y ver los datos tenemos que asegurarnos de que no puedan modificar nada...
4. Y si llegan a modificar los datos de la DB debemos de asegurarnos de tener otro trabajo, ya que es casi seguro de que nos despiden...

Soluciones???  bueno como puse al inicio, Antioroku encontró una solución ( Aceptemoslo... luego de 3 años tenia que mejorar el pobre), la que junto a la solución que dio el Dr. Modding hacen que el Birt sea súper seguro... , en si para ser mas exactos en junio ya se había encontrado una solución, solo que la URL aun no se encriptaba, y hace unos días se completo la ultima parte ( el punto 2) , Antioroku por fin pudo encriptar los parámetros, eso hace que se cierre el circulo a nivel de seguridad.

ahora ya tenemos 2 posibles soluciones al aspecto de la seguridad :

La antigua :  Escondiendo el acceso  directo al birt, mediante programación de la web, y además de eso bloqueando el acceso al BIRT dejando que solo pueda hacer peticiones el localhost, ya sea leyendo el stream  y escupiendo el stream...o haciendo que la app reciba el reporte y lo guarde localmente y al usuario le de la ruta del archivo guardado en el webserver  y no la url directa del reporteador....

La Nueva :  Encriptando los parámetros, asi por mas que se tenga Acceso al Servidor no podrían ver los datos internos  ( pero podrían tumbarse el Tomcat... por lo que mencione al inicio de mala instalacion del tomcat)

La solución casi perfecta :  La combinación de las 2 anteriores, así nos aseguramos por todos lados.

bueno .. ya no los mareo mas... si quieren ver la solución a estos problemas pueden ver el siguiente post http://blog.antioroku.com/archivo/37#more-37  y SI lo acepto... yo no quería que se haga publico el post que publico Antioroku.... quería seguir viendo sufrir a la  gente con el BIRT,  pero igual, por mas que este publicado, no significa que usen la solución...

Hasta la próxima.... 

Salu2

El Dacito

acabo de  cambiar de música en el space.. es una canción que ya había puesto hace tiempo la canción se llama "pastilla" la canto Daniel F ( el no es el autor)... se dirán el por que de esta canción... bueno lo que pasa es que últimamente no e estado nada bien de salud...y bueno antes hace tiempo tomaba ibuprofeno de 400.. luego 400 no fueron suficientes y subi a 800... luego hace un par de semanas tome 1200 ( en los hospitales ponen como inyección cuando uno anda con mucho dolor.. ibuprofeno de 1000 en inyección) . y bueno hoy.... hoy no estuve nada bien... así que me arriesgue  y tome 1600!!!  si,... me tome 2 pastillas de 800.... si ... es algo fuerte  y arriesgado.. lógico se siente la pegada y además de eso casi casi veo elefantes rosa!... pero al menos ya no duele.... quizá no me cura... pero se me olvida!

salu2

Ddaz