Sicherheit von Webseiten

19.07.2011

Kategorie: TYPO3

"Jedes System ist gehackt" - Mit statischen Dokumenten, CDN und Virtualisierung Sicherheitsproblemen theoretisch begegnen

Wie sichert man eine Webseite günstig und schnell?

Alle Datenschutzprobleme auf die verschiedene Gruppen wie Anonymous, Lulzsec oder etwa die No Name Crew "aufmerksam" machten, sind auch Probleme, denen sich kleinere Unternehmen, Organisationen und Personen stellen müssen.

Der unsicherste Faktor ist und bleibt der Mensch. Aber … alle anderen Faktoren können wir beeinflussen.

1, 2, 3 … Sicherheit

Grundgedanke ist, die Sicherheit von Webseiten mit einer rein statischen Auslieferung von HTML-Dokumenten zu verbessern. Eine Webseite besteht aber aus mehreren Systemen.

1. Server-Technik (CPUs, Festplatten, Anbindung etc.)
2. Server-Software (Betriebssystem, Datenbanken, Image Magic etc.)
3. Website-Sofware (CMS, Erweiterungen)
4. Inhalte der Webseite (Texte, Bilder, Benutzerdaten etc.)

Um auch die Architektur (Punkt 1-3) hinter einer Webseite zu sichern, erweiterten wir im Rahmen der TYPO3-User-Group-Rhein-Neckar (T3UGRN) die Idee um den Aspekt der Virtualisierung des Servers. Vorteile der Virtualisierung & statischen Verteilung wären etwa:

Server

• Ausfallsicher - Lokales Backup, CDN robust gegen DDOS-Attacken
• Dezentralisiert - Nicht direkt angreifbar
• Günstig - Keine Investition in teure Dienstleistung/Hardware

Webseite

• Kosten - Ersparnis durch Wegfall von Serverarchitektur & Stand By Zeit
• Performance - Statische Dokumente in CDN schneller zugreifbar
• Sicherheit - Redundante Daten dienen als Backup und sind schwer manipulierbar

Probleme & Fragen

1. Spezielle (dynamische) Funktionen
   Wie können besondere Funktionen wie etwa eine Suche, ein Kontaktformular oder Support-Chat  gelöst werden?
2. Bündelung von Know-How
   Sind die Anforderungen durch die Dezentralisierung des Servers für durchschnittlich Versierte erfüllbar?
3. Multipler Zugriff (Admins & Redakteure)
   Wie muss der Aufbau aussehen, um mehreren Admins & Redakteuren simultan Zugriff auf das System zu gestatten und gegenseitiges Überschreiben verhindern?
4. Zielgruppe
   Für welche Zielgruppe ist dieser Ansatz praktikabel?
5. Realisierung & Zielsetzung
   Ist der Ansatz realisierbar und erfüllt er die Grundidee der verbesserten Sicherheit?
6. Aufruf der Webseite
   Was ist der effizienteste Aufruf der Webseite vom Besucher aus?
7. SEO - Dublizierter Inhalt
   Kann die Verteilung der Inhalte in einer CDN als dublizierter Inhalt etwa bei Google interpretiert und mit einem Panalty gestraft werden?
8. Besucheranalyse
   Funktioniert die Auswertung der Zugriffe oder kann die Auswertung separiert je nach Server erfolgen?

Hauptproblem

Das Hauptproblem bei der statischen Umsetzung in einer CDN sind, dynamische Funktionen wie etwa eine OnSite-Suche. Um aber nicht zu weit auszuufern, schreibe ich darüber in einem anderem Beitrag. Alle Erkenntnisse aus der T3UGRN werden wie immer darin enthalten sein.

« Zurück zu: Lesenswert