Hallo,
ich schreibe eine Hausarbeit über Web-Content-Management-Systeme mit dem Schwerpunkt Sicherheit.
Ich wollte dies an einem Beispiel System (typo3) aufzeigen.
Könnt Ihr mir verraten wo ich Informationen über Sicherheitsstandards von typo3 und/oder Sicherheitsaspekte die typo3 bietet finde.
Vielen Dank im voraus,
christine
Hallo Christine,
erst einmal möchte ich Dir sagen, dass ich es gut finde, wenn sich jemand mal damit beschäftigt.
Gerade hinsichlich Sicherheit wird hier in diesem Forum aus meiner Sicht viel zu wenig gemacht!! LEIDER!
Es macht den Anschein, dass sich niemand wirklich mit dem Thema beschäftigt, frei nach dem Motto: Es passiert sowieso immer den Anderen.
Hier aber ein paar Fragen zu Deiner Arbeit:
- Um welche Sicherheitskriterien geht es vorwiegend?
- Hast Du schon Vorstellungen zum Inhalt (Inhaltsverzeichnis)?
- Welche Themen sind aus Deiner Sicht besonders wichtig?
- Welche Un-Sicherheitsfaktoren gibt es bzw. sollen besonders betrachtet werden?
Vielleicht kannst Du mal etwas mehr dazu sagen.
Besteht die Möglichkeit, die Ausarbeitung als Datei zu bekommen?
Ciao
Der DJ
Hallo Christine,
ich hoffe es ist OK wenn ich Dir hier antworte, auch wenn Du mir eine PM geschickt hast. IMHO ist es ein Thema, das alle angeht und daher sollte man/frau es auch diskutieren. Ich hoffe, dass sich die Anderen daran beteiligen! 😉
Zu Deiner Arbeit:
Grundsätzlich ist erst einmal wichtig zu wissen, was die Intention der Arbeit ist, bzw. welche Zielgruppe damit angesprochen wird.
- Ist die Hausarbeit eher eine Seminar-Arbeit, Studienarbeit, Diplomarbeit?
- Wie tief möchtest Du gehen?
- Welches Interesse verfolgst Du mit dieser Arbeit? (Hauptsache weg damit oder reges Interesse - ganz ehrlich!)
Dabei dachte ich im technischen Bereich an zwei große Teilbereiche:
1. Rahmenbedingungen (Firewall ect) und
2. Programm (typo3)
Meine Meinung:
Zu 1: Firewall ist mittlerweile echt ein abgelutschtes Thema, auch wenn die meisten Unternehmen heute immer noch ein Netzwerk betreiben, gegen das ein Schweizer Käse eine Betonwand ist.
Jeder der heute nicht weiß was er schreiben soll, schreibt etwas über Firewall-Technologien, DMZs (Demilitarisierte Zonen), vielleicht sogar noch mal etwas über "Grafische Firewalls" usw. usw. Damit kannst Du Straßen pflastern.
Geh zu Checkpoint (Firewall 1), Cisco PIX, ..... => hol Dir ein White Paper => abschreiben => Hausarbeit fertig!
ABER, die beste Firewall nutzt nichts, wenn jemand beispielsweise über andere Wege, die durch die Firewall durchgehen (weil sie müssen) in das System reinkommen.
Warum sich nicht mal Fragen:
Welche Sicherheitslücken eines CMS gibt es denn noch?
- Serverabsicherung gegen Attacken
- Datenbank
- Datenbank-Port offen/geschlossen
(kann man schnell mit einem Port-Scan herausbekommen)
- Benutzerverwaltung
- Wie arbeiten Hackprogramme?
Dort kann man sich viel abschauen und konkret daraufhin seine Applikationen absichern. Hackprogramme kann man auch dazu nutzen, die eigenen Server sicherer zu machen.
- Ein ganz wichtiger Aspekt ist beispielsweise die Änderung von Standard-Pfaden in Applikationen.
Diese Thematik wird unter Typo3 absolut dürftig behandelt. Ein Aspekt der absolut GEGEN Typo spricht!!!!!!!!!!!!!!!!!
- Ein weiterer wichtiger Punkt ist die sog. SQL-Injektion!!
Gerade hier lassen sich viele Systeme knacken, die auf MySQL Basis arbeiten. Postgres bietet in der Hinsicht viel bessere Möglichkeiten und vor allem auch eine bessere Performance.
Thema ist hier das Fehlen von Stored Procedures in MySQL(die irgendwann einmal kommen sollen). Daher muß man SQL-Injektion anders abfangen.
- Wie verhindert man SQL-Injektion, vor allem unter dem Aspekt, dass viele Extensions von vielen Entwicklern erstellt werden. Welche Aspekte muß man beachten, damit über irgendeine fehlerhafte Extension nicht das gesamte System zu knacken ist?
Gerade hier enstehen imense Sicherheitslücken!!
Und damit sind wir schon bei der Personengruppe.
Statistisch bewiesen ist, dass die größte Gefahr und auch der größte Schaden durch die eigenen Mitarbeiter verursacht wird. Das heißt der Angriff kommt von innen, gewollt oder ungewollt.
Man bedenke nur die Aktivierung von Viren. Sie werden zwar von außen geschickt, können aber nur von innen aktiviert werden ... und wer eine Mail von einem Fremden öffnet, der I LOVE YOU schreibt: Sorry, aber der hat sie nicht Alle!!
....
....
....
Du siehst, das Thema ist wirklich interessant und gibt vieles her, ohne Firewalls.
Ciao
Der DJ
PS: wie gesagt, hoffe, dass sich viele daran beteiligen.
Hallo
Na ja Angriffsmöglichkeiten gibt es viele:
Passwort des Backend knacken
localconf beschreiben
aber auch durch unsachgemäße programmierung
Imagemagick ist auch nicht zu verachten da dieses ja bei den meisten im bin verzeichniss liegt und so das web darauf zugreifen muß.
Mann könnte darüber bestimmt auch shell befehle ausführen usw.
MFG
Hallo,
vielen Dank bis hierhin, wirklich viele gute Anregungen.
Ich bin auch der Auffassung, das viele Firmen die Schäden die aus Sicherheitslücken im IT Bereich entstehen können, absolut unterschätzen.
In einem Buch das ich gelesen habe, hatte der Autor vor einen Download von einem Dokument vorzunehmen und statt dessen, waren dann Kundendaten, Passwörter auf seinem Rechner. Das ist jetzt ein extremer Fall. Aber zeigt auf, wie locker die Grundeinstellung ist.
Und so etwas können so riesiger wirtschaftliche Schäden nach sich ziehen.
Bzgl. meiner Arbeit:
Die Arbeiten soll 30 Seiten betragen und ist eine Seminararbeit.
Ich dachte an drei wichtige Themenkomplexen:
Technische - rechtliche - und organisatorische Sicherheit.
Bzl. Typo3 weiß einer wo ich gute Materialien bekomme?
liebe und sonnige Grüße
Christine
:o