Hallo Typo3-Users,
Da ich Typo3 jetzt die ersten Wochen benutze (und sehr erfreut bin ) habe ich heute ein paar Überlegungen hinsichtlich der Zugriffssicherheit von Typo3-Daten gemacht.
Hat jemand vielleicht eine kurze Zusammenfassung/Checkliste oder Links, welche Aktionen/Checks notwendig sind, um das System soweit von außen einbruchsicher zu machen (Linux & Win32) . Es sind ja mehrere Komponenten, die man hier beachten muß. Die Datenbank, der Webserver und Typo3. Ist klar das man sich nie 100% sicher sein kann, aber ich möchte die Risiken gerne eingrenzen.
Reicht es prinzipiell erst einmal, den Webserver-Port an der Firewall zu schließen (für Intranetbetrieb hinter dem Router) ?
dj picasso schreibt:
"Aus meiner Sicht spricht vor allem ein Aspekt dafür, den Vermerk herauszunehmen => Der SICHERHEITS-ASPEKT.
Auf diese Weise erkennt nicht jeder X-beliebige sofort um welches System es sich handelt und wo es beispielsweise zur Admin geht. "
@picasso , bedeutet das etwa daß man sich lediglich etwas besser mit Typo3-intern auskennen muß, oder sprichst Du von Möglichkeiten bei groben Administrationsfehlern ?
Vielen Dank für Tips !
Gruß, mh
ich habe dj diesbezüglich einen link geschickt, es gibt die möglichkeit den /typo3 pfad zu maskieren und durch einen anderen pfad zu ersetzen so daß man nicht gleich zum login kommt. ansonsten kann ich dir nur raten sichere pw zu nehmen auch für das installtool und naturlich alle verzeichnisse mit htaccess vor fremde blicke zu schütze. ansonsten immer die neueste version von typo 3 nehmen. ist halt wie bei jeder anderen software auch. damit hast du hinreichend typo3 "gehärtet".
C.
Hi!
Vielleicht kann man die Sicherheit auch noch ein wenig erhöhen, indem man die einzelnen user an eine bestimmte IP-Adresse bindet, Doku unter https://docs.typo3.org/m/typo3/reference-typoscript/main/en-us/UserTsconfig/Index.html
Stichwort lockToIP.
CU
maxhb
Hallo maxhb & tetramatrix,
vielen Dank für Eure Unterstützung. Ich habe mich die letzten Tage ein bischen mehr mit der Thematik beschäftigt, und bin mir jetzt im Klaren, wie viele Bereiche rein sichereheitstechnisch eigentlich zu beachten sind.
Ich werde mich dann auch mal an die rein Typo3-relevanten Sachen ranmachen und sehen was geht.
Da ich nicht der geborene Admin bin, sondern viel lieber produktiv arbeite, ist es schon etwas ärgerlich, in Zukunft einen guten Teil der Zeit mit den rein sicherheitsrelevanten Arbeiten zu verbringen... :-(
Naja, ich bin auf :
http://www.php.net/manual/de/security.php
den sehr interessanten Artikel zur Sicherheit durchgegangen, der sich gut mit der Sicherheit der verwendeten Teilkomponenten beschäftigt (Apache, MySQL, PHP etc.). Ich fand es sehr informativ, und würde anderen Einsteigern auch empfehlen mal über die Seiten zu gehen falls ihr noch große Pläne habt.
Gruß, mh84