Hace ya semanas que el equipo de desarrollo de Jeedom liberó la versión 4.2 de su software Open Source. Si eres usuario de Jeedom, es muy probable que ya tengas esa versión instalada en tu Jeedom.
Me atrevería a decir que no es una versión cualquiera. La v4.2 introduce muchos cambios importantes en Jeedom, a distintos niveles, especialmente en cuanto a seguridad se refiere.
Y precisamente te quiero hablar de eso: la seguridad en Jeedom 4.2…
Novedades estéticas y funcionales en Jeedom v4.2
Como subrayaba en la introducción, Jeedom v4.2 trae un montón de novedades a todos los niveles: Dashboard, historial de datos, Widgets, logs, resúmenes, gestor de archivos…
No pretendo, en este artículo, hacer un lista exhaustiva de todas las novedades porque no es de eso de lo que te quiero hablar, y además puedes ver todas esas novedades tanto en el changelog de esta versión como en un artículo dedicado en blog oficial de Jeedom (artículo en francés, eso sí).
Así que vayamos al grano…
La seguridad en Jeedom v4.2
Más allá de las novedades estéticas y funcionales a las que aludía antes, Jeedom v4.2 supone un gran cambio en el Core a nivel de seguridad.
Y sobre eso hay mucho que contar, sobre todo si eres un “power user” de Jeedom. Veamos cuáles son esas novedades en materia de seguridad y lo que conviene que sepas al respecto (si eres un usuario avanzado, repito):
- CLAVES API
Antes de Jeedom v4.2, existía una clave API “general” del Core, por así decirlo. Se podía usar esa clave API general para “atacar” la API de Jeedom (por ejemplo para encender o apagar una luz desde fuera de Jeedom).
Esto ya no es posible. Este clave API general desaparece, por lo que ahora hay que usar sí o sí la clave API correspondiente a cada plugin para atacar la API de Jeedom.
Además, las nuevas claves API ahora tienen 64 caracteres en vez de 32.
La razón de este cambio es clara: evitar que servicios externos a Jeedom conozcan la clave API general y puedan, por tanto, ejecutan acciones críticas en Jeedom. Ahora esos servicios externos podrán conocer la clave API de algún(os) plugin(s) pero no podrán ejecutar acciones críticas.
- ACCESO A ARCHIVOS DE JEEDOM
Es probablemente la novedad que va a causar más molestias al usuario final, pero es un cambio necesario para reforzar la seguridad de nuestro Jeedom.
Antes de Jeedom v4.2, por defecto se prohibía el acceso a algunos tipos de archivos. Con la v4.2, por defecto se autoriza el acceso a algunos tipos de archivos, lo que significa que se prohibe por defecto el acceso a todos los archivos no expresamente autorizados.
Además, en v4.2 la posibilidad de acceder a algunos tipos de archivos depende de la ubicación de los mismos (ya no es posible acceder a un archivo que se encuentre en el directorio css, por ejemplo).
Eso tiene consecuencias a muchos niveles, especialmente en lo que se refiere a algunos plugins. No habrá problemas con los plugins oficiales, y tampoco debería haberlo con los plugins de terceros si los desarrolladores de los mismos han modificado correctamente sus plugins para tener en cuenta esta modificación…
Este cambio en el acceso a los archivos permitir limitar el riesgo de ataques y por tanto las fallas de seguridad que podría aprovechar potencialmente un atacante malicioso.
- APACHE SECURITY
En este caso estamos hablando de permisos de javascript/html, una funcionalidad reciente de los navegadores que permite autorizar o bloquear el acceso. Te puede impactar este cambio si en tu Jeedom usabas x-frames (por ejemplo) antes de la v4.2.
En este caso también, con este cambio se trata de proteger tu Jeedom si el website que mostrabas antes en la interfaz de tu Jeedom a través de una ventanita X-frame, está corrompido.
Estos son, de forma resumida, las novedades que introduce a nivel de seguridad Jeedom v4.2. Quizá sea un poco técnico, pero si eres un usuario avanzado de Jeedom, creo que es necesario que conozcas estos cambios.
Si quieres más detalles al respecto, te recomiendo la lectura de este post en el blog oficial de Jeedom (en francés), donde se explica y se justifica cada uno de estos cambios con mayor detalle.
