sicher im Netz Joomla! Content Management System Autor: Uwe Traschütz Stand: 15.

Transkript

2 DIE INHALTE IN DIESEM DOKUMENT WERDEN OHNE RÜCKSICHT AUF EINEN EVENTUELLEN PATENTSCHUTZ VERÖFFENTLICHT. WARENNAMEN WERDEN OHNE GEWÄHRLEISTUNG DER FREIEN VERWENDBARKEIT BENUTZT. BEI DER ZUSAMMENSTELLUNG VON TEXTEN UND ABBILDUNGEN WURDE MIT GRÖßTER SORGFALT VORGEGANGEN. TROTZDEM KÖNNEN FEHLER NICHT VOLLSTÄNDIG AUSGESCHLOSSEN WERDEN. FÜR VERBESSERUNGSVORSCHLÄGE UND HINWEISE AUF FEHLER SIND WIR DANKBAR. ALLE RECHTE VORBEHALTEN, AUCH DIE DER FOTOMECHANISCHEN WIEDERGABE UND DER SPEICHERUNG IN ELEKTRONISCHEN MEDIEN. FAST ALLE HARDWARE- UND SOFTWAREBEZEICHNUNGEN UND WEITERE STICHWORTE UND SONSTIGE ANGABEN, DIE IN DIESEM DOKUMENT VERWENDET WERDEN, SIND ALS EINGETRAGENE MARKEN GESCHÜTZT. DA ES NICHT MÖGLICH IST, IN ALLEN FÄLLEN ZU ERMITTELN, OB EIN MARKENSCHUTZ BESTEHT, WIRD DAS SYMBOL IN DIESEM BUCH NICHT VERWENDET. 1

3 INHALTSVERZEICHNIS VORBEMERKUNG...2 ABSICHERUNG ÜBER DAS DATEISYSTEM...3 ABSICHERUNG DER DATENBANK...4 ABSICHERUNG MIT HTACCESS...5 ABSICHERUNG DES ADMINISTRATOR-VERZEICHNISSES...5 ABSICHERUNG ÜBER EXTENSIONS...7 ABSICHERUNG MIT PHP PARAMETRISIERUNG...7 JOOMLA! TARNEN...8 BEST PRACTICE TIPPS...9 Vorbemerkung Das Content Management System Joomla! in der Version 1.5 erfreut sich zurecht immer größerer Beliebtheit. Es ist einfach in der Handhabung und intuitiv bedienbar. Allerdings wird die Einfachheit der Bedienung zum Teil auf Kosten der Systemsicherheit erkauft. Diese Anleitung richtet sich daher an alle Joomla! Anwender, die ihre Joomla! Seite sicherer machen wollen und dafür eine leicht verständliche Anleitung suchen. Joomla! besteht aus verschiedenen Komponenten, woraus sich verschiedene Absicherungsszenarien ergeben: Joomla Dateien Absicherung über das Dateisystem MySQL Datenbank Absicherung der Datenbank HTTP-Protokoll Absicherung mit HTAccess Joomla Website Absicherung über Extensions PHP Absicherung mit PHP Parametrisierung Weitere Sicherheitseinstellungen: Joomla! tarnen Best Practice Tipps 2

4 Absicherung über das Dateisystem Joomla! sieht vor, dass die Joomla!-Site mit den Rechten des Webservers betrieben wird, während ein unpriviligierter Benutzer Eigentümer der Joomla-Scripte ist. Leider ist dies bei vielen Webhostern nicht möglich. Daher ist es notwendig die Rechte auf Verzeichnisse und Dateien zu setzen. Grundsätzlich sollten alle Dateien auf den Wert 644 eingestellt werden, Ordner auf den Wert 755. Was dies bedeutet, veranschaulicht die folgende Grafik. ABBILDUNG: VERZEICHNIS- UND DATEIATTRIBUTE ÄNDERN Hintergrund: Jede Stelle regelt das Zugriffsrecht für eine bestimmte Gruppe (Besitzer, Gruppe, Öffentlich). Jedes Recht erhält einen Zahlenwert. Lesen=4, Schreiben=2, Ausführen=1 Die Rechte einer bestimmten Gruppe ergeben sich folglich aus der Stellen und der Summe der zugewiesenen Rechte. So vergibt die Zahl 777 alle Rechte an alle Gruppen. Eine Einstellung, die Sie NIE vergeben sollten. Die Zugriffsrechte vergeben Sie am einfachsten mit Hilfe Ihres FTP Clients. Sollten Sie über keinen verfügen, so empfehlen wir den Einsatz des Open Source Produktes FileZilla, welches Sie hier kostenfrei herunterladen können: 3

5 Unser Sicherheitstipp! Wenn Sie Ihre Konfiguration abgeschlossen haben, setzen Sie die Datei configuration.php im Stammverzeichnis Ihrer Joomla!-Installation auf den Wert 444 (nur lesen). Desgleichen verfahren Sie mit der Datei index.php im Verzeichnis Ihres verwendeten Templates. siehe auch: Joomla! tarnen Absicherung der Datenbank Eine gute Möglichkeit Ihre Seite zu schützen wäre den Zugriff auf die Datenbank auf Lesend (ReadOnly) zu setzen. Dies ist allerdings nur dann wenn möglich, wenn Sie die Administration Ihrer Datenbank selbst vornehmen können und zum anderen eine Website betreiben, welche keinerlei Änderungen benötigt. Beides ist eher unwahrscheinlich, so dass wir diese Form der Absicherung nur kurz beschreiben werden. Hier ein SQL-Script zum Anlegen eines beschränkten Benutzers: CREATE USER IDENTIFIED BY '<Passwort>'; GRANT SELECT ON *. * TO 'Dummy'@'%' IDENTIFIED BY '***' WITH MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ; Dieser Benutzer wäre in der configuration.php als Datenbankbenutzer einzutragen. ABBILDUNG: BESCHRÄNKUNG DES DATENBANK-BENUTZERS AM BEISPIEL PHPMYADMIN 4

6 Absicherung mit HTAccess.htaccess (für hypertext access) ist eine Konfigurationsdatei, in der verzeichnisspezifische Einstellungen auf Apache Webservern eingestellt werden können. Hinweis: Joomla! wird mit einer htaccess-datei ausgeliefert, die im Auslieferungszustand den Namen htaccess.txt trägt. Verwenden Sie die in Joomla! mitgelieferte SEO (Search Engine Optimization) Funktion, so muss diese ohnehin aktiviert werden. Dazu benennen Sie die Datei einfach in.htaccess um. Verwenden Sie die mitgelieferte Datei stets als Basis und fügen weitere Anpassungen hinzu (s. unten). Diese Datei kann um verschiedene Funktionen, wie das Blocken des Zugriffs von Spambots und Spybots erweitert werden. Solche Anpassungen können nur von HTAccess-Kennern durchgeführt werden. Man kann sich aber solche angepassten Dateien auch aus dem Internet herunterladen. Diese sollten Sie vor dem produktiven Einsatz ausgiebig testen. Beispiele: d=48&nav=0,5 Absicherung des Administrator-Verzeichnisses Sie sollten auf alle Fälle das Administrator-Verzeichnis durch eine htaccess-datei sichern. Der Zugriff ist dadurch weiter möglich, wird aber durch eine Passwortabfrage geschützt, die auch dann noch greift, wenn Ihre Joomla! Website kompromittiert wurde. Sie benötigen zur Sicherung insgesamt zwei Dateien:.htaccess Sicherung.htpasswd Passwortspeicher 5

7 Der Inhalt der.htaccess Datei ist folgender: AuthType Basic AuthName "Login" AuthUserFile </<Pfad>/administrator/.htpasswd> require valid-user Der Parameter AuthUserFile zeigt auf die Passwort-Datei und muss nun noch an den Webspace- Ordner angepasst werden. Welches Verzeichnis dort stehen muss, findet man z.b. im Backend von Joomla! heraus. Unter Site Global Configuration Server steht der Path. Fügen Sie /administrator/.htpasswd hinzu. Erstellen Sie die Datei und speichern Sie diese im Verzeichnis /administrator Ihrer Joomla! Installation. Etwas schwieriger ist das Erzeugen der Datei.htpasswd, da die Passwörter darin verschlüsselt gespeichert werden. Der Inhalt sieht so oder so ähnlich aus: admin:$apr1$ma3nh.6z$klq.ciszdifhentyeim9i0 Passwörter können Sie auf verschiedene Weisen erzeugen. 1. Arbeiten Sie mit einem lokalen Apache Server, zum Beispiel als Testsystem, so finden Sie im Verzeichnis /bin das Programm htpasswd.exe. Geben Sie auf der Kommandozeile einfach folgenden Befehl ein: htpasswd n <Username> Danach bestätigen Sie zwei Mal das Passwort und Sie erhalten den Wert, den Sie in die.htpasswd- Datei kopieren können. Auf diese Weise können Sie zeilenweise die gewünschten User erzeugen. 2. Verfügen Sie über keine Apache-Installation können Sie sich die Dateien auch über Dienstseiten im Internet erzeugen lassen. Hier ein Beispiel: Erstellen Sie die Datei und speichern Sie diese im Verzeichnis /administrator Ihrer Joomla! Installation. 6

8 Wichtig! Dateien, deren Dateinamen mit.ht beginnen, also auch die verwendeten Dateien.htaccess und.htpasswd werden vom Webserver nicht angezeigt. Es kann also durchaus sein, dass bereits eine.htaccess vorhanden ist! Diese kann von Ihrem Webhoster angelegt worden sein und kann Informationen über Ihren Webspace enthalten, z.b. sogenannte Redirects. Wenn Sie diese einfach überschreiben ist Ihre Website unter Umständen nicht mehr erreichbar! Fragen Sie im Zweifelsfall bei Ihrem Webhoster nach. Absicherung über Extensions Auf dem Markt erhalten Sie eine Reihe von Extensions (Komponenten, Plugins), die Joomla! sicherer machen können. Genannt werden sollte an erster Stelle jsecure Authentication, welches den Zugriff auf das Administratorverzeichnis schützt. Hier geht s zum Download: Unser Sicherheitstipp! Wenn Sie mit dem Kapitel Absicherung des Administrator-Verzeichnisses zurecht kommen, ist die htaccess-lösung auf alle Fälle vorzuziehen. Unser Sicherheitstipp! Nach der Installation und Konfiguration überprüfen Sie Ihre Joomla! Sicherheit mit dem Joomla! Tools Suite. Das Tool arbeitet in Joomla! 1.5 zwar nur im Legacy Mode, kann aber nach der Prüfung wieder deinstalliert werden. Den Download finden Sie hier: Absicherung mit PHP Parametrisierung PHP stellt ebenfalls Werkzeuge zur Verfügung, um den Betrieb Ihrer Seite sicherer zu machen. Prüfen Sie dazu im Joomla! Backend über das Menü Hilfe Systeminfo folgende PHP-Parameter: register_globals sollte auf off stehen magic_quotes sollte auf on stehen 7

9 Ist dies nicht der Fall, so passen Sie die.htaccess-datei im Stammverzeichnis Ihrer Joomla! Installation an und fügen folgende Zeilen hinzu: php_flag register_globals off php_flag magic_quotes_gpc on Joomla! tarnen Spybots und Spambots versuchen Ihre Joomla!-Site auszuspähen und für eigene Zwecke zu missbrauchen. Mit den folgenden Hinweisen können Sie Ihre Joomla!-Site als solche nicht mehr erkennbar machen. favicon.ico: ändern Sie die das Standard-Icon, welches in Browser angezeigt wird. Das bringt nicht nur Sicherheit, sondern macht Ihre Seite auch professioneller. Um ein eigenes Icon zu erstellen können Sie entsprechende Konvertierungstools im Web verwenden. Zum Beispiel: configuration.php: erstellen Sie ein beliebiges Verzeichnis auf Ihrem Webserver. Verschieben Sie dort die configuration.php in dieses Verzeichnis und benennen Sie um in.htconf.php. Danach erstellen Sie im Stammverzeichnis Ihrer Joomla!-Installation eine neue configuration.php mit folgendem Inhalt: <?php include("[verzeichnisname]/.htconf.php");?> Damit erreichen Sie, dass die configuration.php nur verlinkt und nicht bearbeitet werden kann. Vergeben Sie der Datei die Berechtigung 640. generator: Joomla! erstellt beim Seitenaufbau folgenden Tag im Header jeder Seite <meta name="generator" content="joomla! Open Source Content Management" /> Dieser Tag kann mit Hilfe des Joomla 1.5 SEO Patchs behoben werden. Zum Download: ml error.php: Installieren Sie dieses Patch, so kann Ihre Joomla!-Installation auch nicht mehr an den Fehlermeldungen erkannt werden. Einfach die Datei "error.php" in Ihren Template-Ordner kopieren und es gibt keine Fehlerseiten mehr, es wird einfach auf die Suche weitergeleitet. Zum Download: 8

10 Best Practice Tipps In der Praxis haben sich folgende Tipps in der Praxis vielfach bewährt. Tipp 1 Benennen Sie den Administrator Account um! Dieser sollte keinesfalls Admin oder Administrator heißen. Tipp 2 Verwenden Sie für die tägliche Arbeit keinen Benutzer mit Super-Administratorrechten, sondern legen Sie sich einen Benutzer an, der die über die benötigte Sicherheitsstufe verfügt. Tipp 3 Deaktivieren Sie nicht genutzte Anwendungen, damit Sie über das Frontend nicht mehr erreichbar sind. Werden Sie diese Erweiterungen nicht mehr verwenden, deinstallieren Sie diese. Tipp 4 Updaten Sie Ihre Joomla! Installation regelmäßig. Vergessen Sie nicht, auch die verwendeten Erweiterungen zu aktualisieren. Tipp 5 Besuchen Sie regelmäßig folgende Webseiten: Tipp 6 Deaktivieren Sie die internen FTP-Zugriff von Joomla! Menü Site Global Configuration Server FTP Settings 9

11 Tipp 7 Absolute Sicherheit gibt es nicht. Daran kann auch dieses Dokument nichts ändern. Seien Sie also stets wachsam! Viel Erfolg und ungetrübten Spaß mit Ihrer Joomla!-Seite wünscht Ihnen Uwe Traschütz Geschäftsleitung EASY Solutions