Sicherheitshinweise zum Betrieb einer Webanwendung
Auf dem Webapplikationsserver wird Ihnen die Möglichkeit angeboten, eigene oder Fremdsoftware zu installieren. Damit tragen Sie aber auch die Verantwortung für die Software oder die in Ihrem Webauftritt hinterlegten Dateien und Dokumente. Sicherheitslücken in Webapplikationen, Fehlkonfigurationen oder zu offene Zugriffsbeschränkungen können nicht nur Ihre Webanwendung, sondern unter Umständen den Betrieb des gesamten Servers gefährden. Bitte beachten Sie folgende Hinweise, um einen möglichst sicheren Betrieb zu gewährleisten:
- Wählen Sie Ihre Software sorgfältig aus: Installieren Sie niemals veraltete Versionen oder Software, die nicht mehr weiterentwickelt wird. Nutzen Sie keine Software, die noch in der Testphase ist oder bei der Sie die Zuverlässigkeit nicht einschätzen können.
- Patchen Sie Ihre Applikationen. Informationen zu Sicherheitslücken finden Sie zum Beispiel bei cve.org oder beim DFN-CERT.
- Führen Sie ein Upgrade auf eine aktuelle Versionen Ihrer Applikation spätestens dann durch, wenn für die eingesetzte Version keine Patches mehr angeboten werden.
- Machen Sie sich mit den Linux-Dateirechten vertraut: Nutzen Sie generell die restriktivste Einstellung der Dateirechte, die für den gedachten Verwendungzweck möglich ist. Auf dem Webapplikationsserver ist unter normalen Umständen nicht notwendig, dass andere als Eigentümer und Gruppe Zugriff auf die Dateien im Webverzeichnis haben. Das weltweite Lese- und Schreibrecht darf nirgendwo eingeräumt werden. Auf dem Webapplikationsserver läuft der Apache-Webserver für jedes Projekt mit einem eigenen Hostnamen unter der individuellen Benutzerkennung. Damit wird sichergestellt, dass der Apache nur im eigenen Webverzeichnis schreiben kann, wenn die Dateirechte richtig gesetzt sind.
- Schränken Sie den Zugriff auf Formulare, Loginseiten usw. ein: Prüfen Sie, ob Sie den Zugriff auf solche Webseiten auf das Netz der Universität oder noch weiter beschränken können (z.B. über eine lokale .htaccess-Datei).
- Schreiben Sie nie Passwörter im Klartext in Dokumente oder Skripte in Ihrem Documentroot (Webverzeichnis) oder einem Unterverzeichnis darunter. Speichern Sie sie stattdessen z.B. in Variablen, die an einem sicheren Ort mit Werten belegt werden.
- Nutzen Sie Verschlüsselung (https) für die Übertragung sensibler Daten oder bei Webseiten, die eine Anmeldung mit Passwort erfordern. Webanwendungen auf der Webapplikationsserver-Plattform des RRZ sind mit einem Serverzertifikat ausgestattet, so dass Sie dieses nicht extra beantragen müssen.
- Nutzen Sie die zentrale PhpMyAdmin-Installation des RRZ zur Administration Ihrer Datenbank, wenn Sie ein graphisches Werkzeug nutzen wollen. Installieren Sie PhpMyAdmin oder ähnliche Werkzeuge nicht selber. Informieren Sie sich im Vorwege darüber, ob eine benötigte Applikation nicht bereits zentral adminstriert vom RRZ angeboten wird.
- Sprechen Sie uns an (Serviceline), wenn Sie Fragen haben oder den Verdacht hegen, dass irgendetwas mit einem Webauftritt nicht stimmt oder Sie ein unerklärliches Verhalten des Servers beobachten.
- Stimmen Sie die Konzeption oder Konfiguration Ihrer Webanwendung mit dem Informationssicherheitsbeauftragten der UHH ab.