Hallo,
das beruhigt mich ja, dass das Problem noch mehr Leute haben 🙂 .
Ich sehe folgende Problematik:
- File-Uploads sind grundsätzlich nicht geschützt
- Images sind nicht geschützt
Wenn jemand aus der High-Security-Gruppe einen lustigen Tag hat und fröhlich Links auf sensitive Dokumente verschickt, so ist das ziemlich bedenklich, zumal das Typo3-Rechte-System dem Autor den Eindruck vermittelt, es sei alles wunderbar geschützt. In der Realität sieht es so aus, dass in typo3 momentan jeder sämtliche Dateien sehen kann, ob er eingeloggt ist, oder nicht.
Meiner Meinung nach gibt es nur eine Lösung, welche ja auch in NF Downloads und meiner Lösung yee_download verwendet wird:
1. Upload-Ordner anlegen (am besten außerhalb htdocs)
2. Upload-Ordner im Apache sperren ("deny from all" sollte reichen)
3. Typo3 so umbauen, dass Uploads in den speziellen Upload-Ordner hochgeladen werden und später im Frontend per php-Funktion ausgeliefert werden.
Idealerweise sollte das Ganze im Hintergrund geschehen, d.h. das typo3-Filelink modul sollte per Extension diese Funktionalität automatisch bekommen (gibt da ziemlich gute Möglichkeiten mit wraps zu arbeiten).
Ich implementiere dieses Sicherheitsfeature momentan für ein großes Intranet wo sensitive Daten mit typo3-Gruppenrechten spezifisch geschützt werden müssen.
Die nächste Version von yee_download werde ich nächste Woche hochladen und sie wird möglichst viele ungeschützte Inhalte absichern (inkl. Filelinks, Bilder, RTE-Images,..), so dass dieses Problem zumindest eingegrenzt wird.
Falls ihr noch Anregungen zum Thema habt, gehe ich gerne darauf ein.
-mad[/u]