| ... |
... |
@@ -36,7 +36,7 @@ |
| 36 |
36 |
|
| 37 |
37 |
=== Härtung der Server === |
| 38 |
38 |
|
| 39 |
|
-Neben dem eigentlichen Server auf dem {{formcycle/}} betrieben wird, ist es empfohlen alle bei der Kommunikation relevanten Server soweit wie möglich zu härten. Dies bedeutet vor allem, dass neben dem Einspielen regelmäßiger Sicherheitsupdates auch alle unnötigen Zugriffe deaktiviert oder verhindert werden sollten. Auch ist dem Prinzip des „Information hiding“ zu folgen. Dies bedeutet, dass jegliche nicht nötige Information der Infrastruktur nach außen versteckt werden sollte. Hintergrund ist, dass diese sonst Angreifern Hinweise auf mögliche Angriffsmöglichkeiten in Form von zum Beispiel eingesetzten Software-Versionen bietet. Typtische Quellen für solche Informationen sind hierbei folgende: |
|
39 |
+Neben dem eigentlichen Server auf dem {{formcycle/}} betrieben wird ies es empfohlen alle bei der Kommunikation relevanten Server soweit wie möglich zu härten. Dies bedeutet vor allem, dass neben dem Einspielen regelmäßiger Sicherheitsupdates auch alle unnötigen Zugriffe deaktiviert oder verhindert werden sollten. Auch ist dem Prinzip des „Information hiding“ zu folgen. Dies bedeutet, dass jegliche nicht nötige Information der Infrastruktur nach außen versteckt werden sollte. Hintergrund ist, dass diese sonst Angreifern Hinweise auf mögliche Angriffsmöglichkeiten in Form von zum Beispiel eingesetzten Software-Versionen bietet. Typtische Quellen für solche Informationen sind hierbei folgende: |
| 40 |
40 |
|
| 41 |
41 |
* Rückgabe des verwendeten Servers innerhalb von HTTP-Headern. Dies geschieht meist mit Versionsnummern welche den Patch-Stand des Servers preisgibt |
| 42 |
42 |
* Ausgabe der Server-Informationen auf Standard-Fehlerseiten |
| ... |
... |
@@ -105,7 +105,7 @@ |
| 105 |
105 |
|
| 106 |
106 |
=== Referrer-Policy einschränken === |
| 107 |
107 |
|
| 108 |
|
-Die Referrer-Policy gibt an ob und wie die Information der ursprünglich aufgerufenen URL an Unterseiten oder Folgeseiten weitergegeben werden soll. Die bedeutet konkret, dass zum Beispiel die komplette ursprüngliche URL oder auch nur die Domäne (origin genannt) mitgeteilt werden kann. Da die URLs ggf. sicherheitsrelevante Informationen enthalten können, ist es empfohlen die Einstellung so restriktiv wie möglich zu wählen. Der Standardwert „same-origin“ bietet meist ausreichenden Schutz ohne ggf. nötige Funktionalität zu beeinflussen. Er gibt an, dass alle Informationen nur innerhalb derselben Domäne geteilt werden und Domäne-übergreifend nichts übermittelt wird. |
|
108 |
+Die Referrer-Policy gibt an ob und wie die Information der ursprünglich aufgerufenen URL an Unterseiten oder Folgeseiten weitergegeben werden soll. Die bedeutet konkret, dass zum Beispiel die komplette ursprüngliche URL oder auch nur die Domäne (origin genannt) mitgeteilt werden kann. Da die URLs ggf. sicherheitsrelevante Informationen enthalten können, ist es empfohlen die Einstellung so restriktiv wie möglich zu wählen. Der Standardwert „strict-origin-when-cross-origin“ bietet meist ausreichenden Schutz ohne ggf. nötige Funktionalität zu beeinflussen. Er gibt an, dass alle Informationen innerhalb derselben Domäne komplett geteilt werden und Domäne-übergreifend nur der Name der Domäne (der origin) übermittelt wird. Dies passiert wiederrum ausschließlich, wenn sich das Sicherheits-Level der Übertragungen (HTTPS oder HTTP) nicht unterscheidet. |
| 109 |
109 |
|
| 110 |
110 |
Konfiguration der Refferer-Policy: [[{{formcycle/}}-Hilfe>>doc:Formcycle.SystemSettings.UserInterface.General.WebHome||anchor="HReferrer-Policy" target="_blank"]] |
| 111 |
111 |
|
