Änderungen von Dokument Allgemein

Von Version 29.3
bearbeitet von awa
am 03.01.2023, 15:27
Änderungskommentar: Es gibt keinen Kommentar für diese Version
Auf Version 27.4
bearbeitet von awa
am 24.05.2022, 14:30
Änderungskommentar: Es gibt keinen Kommentar für diese Version

Zusammenfassung

Details

Seiteneigenschaften
Inhalt
... ... @@ -11,33 +11,30 @@
11 11  
12 12  === HTTP Strict Transport Security (HSTS) ===
13 13  
14 -{{figure image="system_general_hsts_de.png" clear="h3" width="600"}}
15 -HSTS kann aktiviert werden, um vor dem Aushebeln der Verbindungsverschlüsselung und vor Session Hijacking zu schützen
14 +{{figure image="system_general_hsts_de.png" title="HTTP Strict Transport Security (HSTS)"}}
15 +HTTP Strict Transport Security (HSTS)
16 16  {{/figure}}
17 17  
18 -HTTP Strict Transport Security (HSTS) ist ein Sicherheitsmechanismus für HTTPS-Verbindungen, der sowohl vor Aushebelung der Verbindungsverschlüsselung und vor Session Hijacking schützen soll. Hierfür wird dem Browser durch diesen Header mitgeteilt, dass er für die gegebene Gültigkeit und gegebenenfalls für alle Subdomains keine unsicheren HTTP-Verbindungen mehr zulassen darf. Sollte {{formcycle/}} ausschließlich über HTTPS betreiben werden ist das Aktivieren dieser Funktion durch das Setzten einer Gültigkeitsdatuer größer als 0 empfohlen. Für diese sollte mindestens ein Wert von 10368000 Sekunden (120 Tage), am besten jedoch von 31536000 Sekunden (einem Jahr) gewählt werden. Ebenso ist das Einbeziehen von Subdomains in den meisten Fällen problemlos möglich und ratsam.
18 +HTTP Strict Transport Security (HSTS) ist ein Sicherheitsmechanismus für HTTPS-Verbindungen, der sowohl vor Aushebelung der Verbindungsverschlüsselung und vor Session Hijacking schützen soll. Hierfür wird dem Browser durch diesen Header mitgeteilt, dass er für die gegebene Gültigkeit und ggf. für alle Subdomains keine unsicheren HTTP-Verbindungen mehr zulassen darf. Sollte {{formcycle/}} ausschließlich über HTTPS betreiben werden ist das Aktivieren dieser Funktion durch das Setzten einer Gültigkeitsdatuer größer als 0 empfohlen. Für diese sollte mindestens ein Wert von 10368000 Sekunden (120 Tage), am besten jedoch von 31536000 Sekunden (einem Jahr) gewählt werden. Ebenso ist das Einbeziehen von Subdomains in den meisten Fällen problemlos möglich und ratsam.
19 19  
20 20  Für das Deaktivieren dieser Funktion für z.B. den Betrieb über HTTP wählen Sie eine Dauer von 0.
21 21  
22 22  === IFrame-Einbindung ===
23 23  
24 -{{figure image="system_general_iframe_de.png" clear="h3" width="600"}}
24 +{{figure image="system_general_iframe_de.png" title="Einbindung als IFrame"}}
25 25  Per Whitelist kann es Drittseiten erlaubt werden, Backend-Seiten als IFrame einbinden zu dürfen.
26 26  {{/figure}}
27 27  
28 -Aus Sicherheitsgründen verbietet es {{formcycle/}} standardmäßig, Backend-Seiten als IFrame in Drittseiten einzubinden. Falls dies aber einmal erforderlich ist, können die gewünschten Drittseiten hier freigeschaltet werden. Die hier eingetragenen Werte werden in den //frame-ancestors//-Direktive des //Content-Security-Policy//-HTTP-Headers geschrieben, siehe etwa [[mdn web docs>>url:https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors||target="_blank"]] für eine detaillierte Beschreibung der Syntax.
28 +Aus Sicherheitsgründen verbietet es {{formcycle/}} standardmäßig, Backend-Seiten als IFrame in Drittseiten einzubinden. Falls dies aber einmal erforderlich ist, können die gewünschten Drittseiten hier freigeschaltet werden. Die hier eingetragenen Werte werden in den //frame-ancestors//-Direktive des //Content-Security-Policy//-HTTP-Headers geschrieben, siehe etwa [[mdn web docs>>url:https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors]] für eine detaillierte Beschreibung der Syntax.
29 29  
30 -=== Passwortrichtlinien ===
30 +=== Passwort-Richtlinien ===
31 31  
32 -{{figure image="Passwort-Richtlinien.PNG" clear="h3" width="600"}}
33 -Bei Bedarf ist es möglich, stärkere Passwörter erforderlich zu machen.
34 -{{/figure}}
35 -
32 +[[image:Passwort-Richtlinien.PNG]]
36 36  Die Passwortsicherheit von Benutzerpasswörtern kann für verschiedene Sicherheitsstufen konfiguriert werden. Die Länge des Passworts kann anhand einer Mindestlänge eingestellt werden, wobei eine Mindestlänge von 8 nicht unterschritten werden darf. Zusätzlich kann erzwungen werden, dass Passwörter bestimmte Zeichengruppen enthalten müssen: Buchstaben allgemein, Kleinbuchstaben, Großbuchstaben, Ziffern oder Sonderzeichen. Je länger und komplexer das Passwort konfiguriert wird, desto sicherer ist es. Werden diese Einstellungen verändert, so müssen alle neu vergebene oder geänderte Passwörter diesen Richtilinien entsprechen. Bereits vergebene Passwörter werden nicht verändert, auch wenn sie den neuen Richtlinien nicht entsprechen.
37 37  
38 38  === Referrer-Policy ===
39 39  
40 -{{figure image="system_general_referrer_de.png" clear="h3" width="600"}}
37 +{{figure image="system_general_referrer_de.png" title="Referrer-Policy"}}
41 41  Referrer-Policy
42 42  {{/figure}}
43 43  
... ... @@ -45,31 +45,13 @@
45 45  
46 46  === Session-Cookie-Einstellungen ===
47 47  
48 -{{figure image="system_general_session_cookie_de.png" clear="h3" width="600"}}
49 - Sofern möglich, sollten die Einstellung für das Session-Cookie so strikt wie möglich sein und nur per HTTPS übertragen werden.
50 -{{/figure}}
45 +WIP
51 51  
52 -Das Session-Cookie dient zur Aufrechterhaltung einer Sitzung, während der Nutzer angemeldet ist. Hier kann festgelegt werden, ob das Session-Cookie nur bei HTTPS-Verbindungen gesetzt wird (Secure) und ob es an Drittseiten übermittelt werden soll (SameSite). Bei ausschließlicher Verwendung von HTTPS wird empfehlen, das Secure-Flag zu aktivieren. Das Erlauben des Session-Cookies auf Drittseiten ist für einige Anwendungsfälle wie das Einbinden per AJAX in externe Seiten notwendig.
53 -
54 -=== Content-Security-Policy ===
55 -
56 -{{figure image="system_general_csp_de.png" clear="h3" width="600"}}
57 -Zusätzliche Policies können zum Content-Security-Policy-Header hinzugefügt werden.
58 -{{/figure}}
59 -
60 -{{version major="7" minor="2"/}}
61 -
62 -Ermöglicht es, weitere Werte zum Content-Security-Policy-Header hinzuzufügen. Für Backend (Verwaltungsoberfläche, Designer, Postfach) und für Frontend (Webformulare) können verschiedene Werte hinterlegt werden.
63 -
64 -Content Security Policy (CSP) ist ein Sicherheitskonzept, um Cross-Site-Scripting und andere Angriffe durch Einschleusen von Daten in Webseiten zu verhindern. Es geht insbesondere darum, das Unterschieben von bösartigem Code abzuwehren. Bei den sogenannten Cross-Site-Scripting-Attacken werden Daten von fremden Webservern eingebunden, die die Aufgabe haben, den Datenverkehr auf der gerade besuchten Website auszuspionieren, diesen zu manipulieren oder gar mögliche Softwarefehler auf dem Rechner des Seitenbesuchers auszunutzen, um Schadsoftware zu installieren. So ist es damit beispielsweise möglich, dass der Browser keine JavaScript-Dateien lädt und ausführt, wenn diese nicht von exakt demselben Webserver stammen, von dem die eigentliche Seite geladen wurde. Es kann sehr fein abgestuft werden, ob das JavaScript in einer eigenen Datei notiert sein muss, oder ob direkt im HTML-Dokument notierter JavaScript-Code, der in <script>-Elemente eingebettet ist, ausgeführt werden darf.
65 -
66 -Eine Liste von möglichen Policies findet sich etwa bei [[Mozilla>>url:https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy||_target="blank"]].
67 -
68 68  == Protokoll ==
69 69  
70 70  === Automatisches Löschen von Protokolleinträgen ===
71 71  
72 -{{figure image="system_delete_protocoll_de.png" clear="h3" width="600"}}
51 +{{figure image="system_delete_protocoll_de.png" title="Löschen von Protokolleinträgen"}}
73 73  Alte Protokolleinträge können automatisch gelöscht werden, um etwa zu vermeiden, dass die Datenbank zu viel Speicher verbraucht.
74 74  {{/figure}}
75 75  
... ... @@ -77,21 +77,14 @@
77 77  
78 78  === Erzeugte Protokolleinträge ===
79 79  
80 -{{figure image="system_general_generated_protocol_entries_de.png" clear="h3" width="600"}}
81 -Über diesen Menüpunkt kann gesteuert werden, welche Protokolleinträge erzeugt werden sollen.
82 -{{/figure}}
59 +WIP
83 83  
84 -; Automatisch durch Bots abgesendete Formulare sollen protokolliert werden
85 -: {{formcycle/}} versucht zu erkennen, ob ein Formular durch eine Maschine (Bot) automatisiert abgesendet wurde. Ist dies der Fall, wird die Formularabsendung blockiert. Ist diese Option aktiviert, wird dann ein entsprechender Prozess[[protokolleintrag>>doc:Formcycle.UserInterface.Protocol]] angelegt.
86 -; Nutzung unerlaubter Absendeknöpfe soll protokolliert werden
87 -: Im Formular können [[Schaltflächen>>doc:Formcycle.Designer.Form.FormElements.Button]] zum Absenden eingefügt werden. Innerhalb des Workflows kann dann [[geprüft werden>>doc:Formcycle.Designer.Workflow.Events.SubmitButton]], welche Schaltfläche zum Absenden verwendet wurde und dementsprechend Aktionen ausgeführt werden. Seit Version 7 ist es möglich, zu überprüfen, ob der verwendete Absendeknopf auch tatsächlich existiert, um Manipulationen zu vermeiden. Ist diese Option aktiviert, wird ein Prozess[[protokolleintrag>>doc:Formcycle.UserInterface.Protocol]] angelegt, falls ein unerlaubter Absendeknopf verwendet wird.
88 -
89 89  == Limits ==
90 90  
91 91  === Formular- und Datei-Cache ===
92 92  
93 -{{figure image="system_general_cache_de.png" clear="h3" width="600"}}
94 -Die Cache-Größe kann erhöht werden, wenn diese bei vielen Formularen nicht ausreicht oder zu Testzwecken auch deaktiviert werden.
65 +{{figure image="system_general_cache_de.png" title="Formular- und Datei-Cache"}}
66 +Formular- und Datei-Cache
95 95  {{/figure}}
96 96  
97 97  Der Datei-Cache speichert vom System verwendete Dateien zwischen, der Formular-Cache dient der Zwischenspeicherung ausgelieferter Formulare.
... ... @@ -112,7 +112,7 @@
112 112  
113 113  === Systeminterne Beschränkungen ===
114 114  
115 -{{figure image="system_general_limits_de.png" clear="h3" width="600"}}
87 +{{figure image="system_general_limits_de.png" title="Systeminterne Beschränkungen"}}
116 116  Systeminterne Beschränkungen
117 117  {{/figure}}
118 118  
... ... @@ -129,8 +129,8 @@
129 129  
130 130  === Loopback URL ===
131 131  
132 -{{figure image="system_general_loopback_de.png" clear="h3" width="600"}}
133 -Die Loopback-URL gibt an, über welche Adresse der Server auf sich selber zugreifen kann.
104 +{{figure image="system_general_loopback_de.png" title="Loopback URL"}}
105 +Loopback URL
134 134  {{/figure}}
135 135  
136 136  Für einige Funktionalitäten (z.B. Formularbildvorschau oder PDF-Print) werden Formulare durch den Server selbst aufgerufen. In Clustersystemen oder Umgebungen, in denen die interne und externe Domain verschieden sind, dient diese URL zur Konfiguration der internen Erreichbarkeit (z.B. http://localhost:8080/formcycle).
... ... @@ -137,9 +137,5 @@
137 137  
138 138  === Lizenz ===
139 139  
140 -{{figure image="system_general_license_de.png" clear="h3" width="600"}}
141 -Hier können Einstellungen zur Lizenz vorgenommen werden.
142 -{{/figure}}
143 -
144 -; Automatisches Lizenz-Update durch externe Benachrichtigungen erlauben
145 -: Ist diese Option aktiviert, kann die Lizenz über ein HTTP-Request an {{code language="text"}}http://example.com/formcycle/license/notify?key=LICENSE_KEY{{/code}} aktualisiert werden. Dabei muss {{code language="text"}}http://example.com/formcycle{{/code}} durch die tatsächliche URL des {{formcycle/}}-Servers ersetzt werden und //LICENSE_KEY// durch den zu aktualisierenden Lizenschlüssel.
112 +: Automatisches Lizenz-Update durch externe Benachrichtigungen erlauben
113 +; WIP
system_general_csp_de.png
Author
... ... @@ -1,1 +1,0 @@
1 -XWiki.awa
Größe
... ... @@ -1,1 +1,0 @@
1 -101.4 KB
Inhalt
system_general_csp_en.png
Author
... ... @@ -1,1 +1,0 @@
1 -XWiki.awa
Größe
... ... @@ -1,1 +1,0 @@
1 -72.6 KB
Inhalt