Sicherheit von Webseiten [Teil 2]
07.08.2011
Sonderfunktionen ausgliedern und Webseite statisch ausliefern
“Jedes System ist gehackt”
Den Stein in's Rollen brachte Sony und Anonymous. Millionenfach gestohlener Benutzerdaten und eine Sicherheitspanne nach der Anderen ließ uns in der TYPO3-User-Group Rhein Neckar heiß diskutierten.
Sicherheit von Webseiten verbessern
Durch die statische Ausliefernung von HTML-Dokumenten kann die Sicherheit jeder Webseite verbessert werden. Warum? Das System ist nicht mehr direkt angreifbar. Zum System "Webseite" zähle ich:
- Sever-Technik (CPUs, Festplatten, Anbindung etc.)
- Server-Software (Betriebssystem, Datenbanken, Image Magic etc.)
- Webseit-Sofware (CMS, Erweiterungen)
- Inhalte der Webseite (Texte, Bilder, Benutzerdaten etc.)
Wer soll das bezahlen?
Technik und Software immer auf dem neusten Stand zu halten, oder selbst permanent auf Fehlersuche zu gehen, ist ein Kampf gegen Windmühlen. Entweder man hat nahezu unendliche viele Ressourcen zur Verfügung, schafft es, aufwändige Prozesse a lá SaaS (Software as a Service) oder HaaS (Hardware as a Service) zu bündeln, oder macht sein System (nahezu) unangreifbar.
Virtualisierung zur Absicherung
Vorteile der Virtualisierung & statischen Verteilung
Server:
- Ausfallsicher - Lokales Backup, CDN robust gegen DDOS-Attacken
- Dezentralisiert - Nicht direkt angreifbar
- Günstig - Keine Investition in teure Dienstleistung/Hardware
Webseite:
- Kosten - Ersparnis durch Wegfall von Serverarchitektur & Stand By Zeit
- Performance - Statische Dokumente in CDN schneller zugreifbar
- Sicherheit - Redundante Daten dienen als Backup und sind schwer manipulierbar
Dynamische Funktionen bei statischen Dateien
Spezielle (dynamische) Funktionen wie etwa eine Suche, ein Kontaktformular oder Support-Chat können statisch nicht realisiert werden. Fluch und Segen zugleich besteht durch die Möglichkeit, einfach auf bereits bestehende Services zurückgreifen zu können.
Warum das Rad neu erfinden?
Google als Suchdienst, facebook als Gästebuch und Twitter zum Weiterleiten
Durch Ausgliederung der von Funktionen reduzieren wir eigene Kosten. Warum also das Rad neu erfinden? Für größere Unternehmen haben ein Identitätproblem wenn auf der Such-Ergebnisseite das Logo von Google prangert. Agenturen könnten unprofessionell wirken wenn sie auf die Arbeit anderer zurückgreifen.
Doch wozu gibt es Schnittstellen und (kostenlose) Services wie die Google Suche wenn man sie nicht nutzt? Schlussendlich verbessern diese das eigene Angebot da man sich besser auf seine Kompetenz konzentrieren kann.
Fazit und Ausschau
Fakt ist, absolute Sicherheit kann es nicht geben. Der unsicherste Faktor ist und bleibt der Mensch. doch können wir alle anderen Faktoren beeinflussen. Die Virtualisierung bietet einen Ansatz, Kosten zu reduzieren und in Kombination mit statischer Verteilung der Webseite, die Sicherheit zu Verbessern. Dynamische Funktionen müssen dann aber entweder von einem zweiten Server oder Service eingeladen werden.
Für größere Unternehmen müssen aber andere Hürden genommen werden. In einem testlauf werde ich die Google Suche unter die Lupe nehmen. Mehr dann in nächsten Artikel.