05. februar 2011 - 22:23
Der er
2 kommentarer og
1 løsning
Hvordan gør man et forum "100%" sikkert?
Jeg havde for nyligt et forum, som jeg troede var "sikkert" (alt er relativt, ikke?). Der var kode på, så man som udeforstående intet kunne se, og siden dukkede ikke op på google m.v.
Alligevel lykkedes det en at komme ind, fordi jeg gik fra min side til hans via et link, og så kunne han se i sin log hvor jeg kom fra... og tilsyneladende kunne han læse alle mine indlæg. Jeg forstår så ikke, hvorfor passwordet ikke standsede ham.
Hvordan kan man undgå, at sådan noget sker? Hvordan gør man sin side mere sikker? Vil helst undgå sådan noget en anden gang.
05. februar 2011 - 22:24
#1
Det skal lige siges, at jeg brugte phpBB forummet på siden, og det var det, han kom ind i via sin log.
05. februar 2011 - 22:53
#2
Ved at slukke for strømmen til den server hvor forummet køre på. 100% eksisterer ikke.
Hvis du kan blive tilfreds med meget mindre, så er der da lidt du kan gøre.
Sørg for altid at opdaterer det hele. Både forumløsningen og de applikationer der køre på serveren
Sørg for at der køre så lidt som muligt på serveren.
Sørg for at serveren er hardned jf de guides og anbefalinger der findes.
Sørg for at implementerer de extra sikkerhedsting der faktisk findes
Overvåg serveren og kig i loggen jævnligt
overvåg forbindelsen med IDS.
Følg med i hvad der sker i miljøet så du opdager når der udkommer exploits og andet til din løsning
06. februar 2011 - 00:07
#3
Hvordan, spørger du? Det kan vi nok ikke vide ud fra din beskrivelse, men et gæt kunne være noget, der tidligere er sket i andre, kendte fora *smile*, nemlig session-hijacking.
En session defineres ved en tilpas tilfældig nøgleværdi, der sendes til ud med websiden, og som kommer tilbage i requests. Oftest vil man have værdien i en cookie, men man ser (har set...) den også i en URL. En URL kan blive logget som referral hos en helt anden webserver, der så i en kort periode, måske, kan bruge nøgleværdien, tilgå sessionen, og være logget ind.
Som du kan læse hos bufferzone, så er sikkerhed besværligt, høj sikkerhed meget besværligt, og 100% alligevel u'la'sig'gørligt.
Jeg vil egentlig vende bufferzones anbefalinger om og foreslå at du skal gøre så lidt som muligt, sikkerhedsmæssigt, dvs. fornuftige passwords, opdatere til nye versioner, og så ellers sørge for god, regelmæssig backup, så du kan retablere systemet, hvis der sker noget. Og backupen skal du have alligevel.
Men det afhænger af hvad det er du vil holde hemmeligt ;)
