Kategorien

Suchen


Aktuelle Artikel

Archiv

Sicherheit

« Vorherige Beiträge

PHP: Zufallszeichenkette erzeugen (random string)

Montag, 08.03.2010

Um eine Zeichenkette (string) mit zufälligen Zeichen zu erzeugen, können Sie folgende PHP Funktion nutzen:

1
2
3
4
5
6
7
8
9
10

// Zufallsgenerator schütteln
mt_srand((double) microtime() * 1000000); 
 
// Basiszeichenpool
$set = "ABCDEFGHIKLMNPQRSTUVWXYZ123456789";
$pin = "";
 
// 10 stelligen PIN aus den o.a. Zeichen erzeugen
for ($n=1;$n<=10;$n++)
	$pin .= $set[mt_rand(0,(strlen($set)-1))];

Natürlich geht das o.a. PHP Script auch für längere Zeichenketten. Ersetzen Sie einfach die “10″ (Zeile 9) durch die gewünschte Anzahl an Zeichen.

In der Variablen “set” (Zeile 5) können Sie die Zeichen festlegen, aus denen der Zufallsgenerator Ihre Zeichenkette erstellen soll.

.htaccess: Zugriff auf ein Unterverzeichnis erlauben

Sonntag, 07.03.2010

Es gibt Fälle, da möchte man ein Verzeichnis per .htaccess schützen – trotzdem aber den Zugriff auf ein Unterverzeichnis des geschützten Verzeichnisses wieder erlauben.

Praxis-Beispiel:

Um Ihre WordPress Installation zusätzlich zu sichern, sperren Sie das /wp-admin Verzeichnis durch eine .htaccess / .htpasswd Kombination. Dadurch werden aber andere Logins (z.Bsp. von normalen Benutzern auf der Webseite) auch blockiert, da bei die Loginmaske Dateien aus dem /wp-admin/css und /wp-admin/images Verzeichnis abruft.

Lösung:

Erstellen (der belassen) Sie den Schutz wie in unserem Artikel “WordPress: Schutz des Administrationsbereiches (wp-admin)/” beschrieben für den /wp-admin/ Ordner.

Erstellen Sie zusätzlich in den beiden Unterordnern “css” und “images” eine weitere .htaccess Datei mit diesem Inhalt:

Order Deny,Allow
Allow from all
Satisfy any

Nun werden Sie beim Zugriff auf “www.domain.de/wp-admin” nach Ihren Zugangsdaten gefragt. Möchte sich ein Benutzer jedoch normal über die Loginmaske anmelden, sieht es das bekannte Formular und wird nicht eingeschränkt.

mySQL: In PHP vor SQL Injection schützen

Samstag, 06.03.2010

Wie wir in unserem Artikel “mySQL: Schutz vor Angriffen in Datenbankabfragen (SQL Injection)” bereits erklärt haben, ist es vergleichsweise einfach möglich, durch ungesicherte bzw. ungeprüfte Parameter schadhaften oder zerstörenden Code in Ihre SQL Statements einzufügen.

Wie Sie sich z.Bsp. in PHP einfach und schnell gegen solche Angriffe schützen können, zeigt folgender Codeausschnitt:

1
2

foreach ($_REQUEST as $key =&gt; $val)
  $_REQUEST["$key"] = mysql_real_escape_string($val);

Es werden alle übergebenen Parameter (GET und POST) durch die mySQL Funktion “mysql_real_escape_string” überarbeitet. Dadurch werden die für eine Injektion benötigten Zeichen unschädlich gemacht und der Datenbankserver wird im Normalfall mit der “kaputten” SQL Anweisung nichts anfangen können.

Für weitere Informationen zum Thema SQL Injektion besuchen Sie bitte unseren o.a. Artikel.

Apache: Reverse Proxy & Multi Subdomains

Sonntag, 14.02.2010

Wenn Sie einen Apache2 Webserver als Reverse Proxy betreiben und dabei mehrere Subdomains berücksichtigen möchten, müssen Sie nicht zwangsläufig mehrere virtuellen Hosts (VHosts) in der Apache Konfiguration definieren. Es geht wesentlich einfacher über Parameter in der Konfiguration:

Fügen Sie am Ende der Datei die folgenden beiden Zeilen ein:
ProxyRequests on
ProxyPreserveHost on

Starten Sie anschließend den Apache durch “/etc/init.d/apache2 restart” neu. Fertig.

Wenn Sie WebMin für die Administration nutzen, können Sie die Einstellung auch bequem über die Weboberfläche durchführen:

Warum man Partitionen einrichten sollte

Mittwoch, 10.02.2010

Bei der Installation eines Betriebsystemes werden Sie meist nach der Einrichtung von Partitionen gefragt.

Eine partition ist die (virtuelle) Unterteilung eines Datenträgers in einzelne Bereiche.

Die jeweils passende Partitionierung hängt davon ab, wie Sie den Computer nutzen möchten.
Eine gute Faustregel ist, dass Sie mit den Partitionen eher großzügig sind und dabei folgendes berücksichtigt:

Jeder Bereich (Verzeichnisbaum), auf den ein Benutzer Schreibzugriff haben soll (z.Bsp. bei Linux auf die Verzeichnisse /home, /tmp und /var/tmp) sollte auf einer separaten Partition liegen. Das senkt das Risiko eines DoS (= Denial of Service) durch einen Benutzer. Das kann z.Bsp. passieren, indem man Ihren “/”-Mountpoint füllt (eine Datei, bis sie den kompletten freien Speicherplatz benötigt) und so das komplette System unbenutzbar macht. Rein technisch ist zwar immer noch ein wenig Platz für den Benutzer “root” – aber ein großes Problem haben Sie trotzdem.

Außerdem schützt dieses Vorgehen vor Hardlink-Angriffen.

Debian: Verbindung per SSH installieren / einrichten

Freitag, 05.02.2010

Nachdem Sie sich einen minimalen Linux Server (hier mit “Debian +lenny4″) installiert haben, sollten SIe sich für den Remotezugang den SSH-Server installieren:

apt-get install openssh-server

Danach mit folgendem Befehl starten:

/etc/init.d/ssh start

Ab jetzt können Sie sich per SSH mit Ihrem Server verbinden.

Kostenloses & häufig eingesetztes Tool ist “PuTTY”.
Auf der folgenden Webseite finden Sie dazu mehr Informationen:

http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html

Apache2 – Variable “SERVER_SOFTWARE” setzen

Freitag, 05.02.2010

Um im Apache2 die Umgebungsvariable “SERVER_SOFTWARE” zu beeinflussen, nutzen Sie einfach die Konfiguration des Apache WebServers:

Z.Bsp. in Debian Linux lenny4:
Unter “/etc/apache2/conf.d/security” die Zeile beginnend mit “ServerTokens” finden und entsprechend anpassen.

Die gesendeten Texte sind nur Beispiele.

Mehr Infos unter apache.org/docs/2.2/mod/core.html#servertokens

Warnung vor einer kritischen Sicherheitslücke im IE (Internet Explorer)

Samstag, 16.01.2010

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer sehr kritischen Sicherheitslücke im Browser “Internet Explorer” (IE) von Microsoft. Durch diese Lücke können Angreifer mit einer manipulierten Website sehr schnell und sehr einfach Schadcode auf Ihren Windows-Rechner kopieren.

Das BSI rät, den IE-Browser vorerst nicht zu benutzen, bis die Lücke geschlossen ist !

Betroffen sind die Browser-Versionen 6, 7 und 8 (und damit alle genutzten Versionen !) auf den Betriebssystemen WindowsXP, Windows Vista und Windows 7.

Schnelle, einfache und kostenlose Lösung

Nutzen Sie den Browser “Firefox” von Mozilla. Dieser Browser ist kostenlos, einfach & schnell zu installieren. Das Wichtigste ist aber, dass der Source (= Quellcode) frei zugänglich ist und daher von tausenden Programmierern und SOftwareentwicklern regelmäßig geprüft und überarbeitet wird. Dadurch sind Sicherheitslücken extrem selten und werden ggf. sehr schnell behoben.

Updates können nach der Installation auf Wunsch automatisch oder manuell installiert werden.

Der Mozilla Firefox Browser ist heute sehr weit verbreitet und wird auch von uns stets als erste Wahl – ausdrücklich vor dem IE – empfohlen.

Links

Download des besseren und sichereren Mozilla Browsers
Sicherheitswarnung vor dem IE des BSI

Ausspähen von ungeschützen Daten ungestraft

Sonntag, 03.01.2010

Im §202a StGB (“Ausspähen von Daten”) steht folgender Text:

(1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
(2) Daten im Sinne des Absatzes 1 sind nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert sind oder übermittelt werden.

Im Klartext heißt u.a.:

Wenn Sie Ihre Daten nicht durch Passwörter oder andere Schutzmaßnahmen vor dem Zugriff durch Andere (Dritte) schützen, wird der Spion wahrscheinlich straffrei ausgehen. Dabei ist wichtig, dass der Zugang zu Daten in besonderen Fällen auch “versehentliches” Löschen oder Manipulieren einschließt.

Kommt ein Hacker oder anderer Computernutzer also auch Ihren Computer und kann ohne Hürden auf Ihre Daten zugreifen, so hätten Sie bei gelöschten Dateien ggf. nicht einmal die Möglichkeit, den Angreifer anzuzeigen.

Wie leicht das heute gehen kann, zeigen viele Quellen im Internet. Das kann vom “WarDriving” (= teilweise unbemerktes Einwählen in Ihr WLAN Netz z.Bsp. aus dem Auto) oder der Zugriff über das Internet sein (z.Bsp. durch Ausspähen Ihrer aktuellen IP Adresse durch kostenlose und frei zugängliche IP Scanner Tools). Die technische Hürde ist dabei sehr gering. Durch einen Download und eine sehr kurze Anleitung (nicht einmal eine DIN A5 Seite) könnten wir auch einen Computer-Neuling leicht in die Lage versetzen.

Wichtige Punkte zum Schutz Ihrer Daten

Schutz Ihres WLAN Netzwerkes

Leitregeln

Hinweis:

Dieser Artikel enthält rechtliche Informationen. Wir möchten Sie hiermit nur auf die Gefahr hinweisen und können und wollen SIe rechtlich nicht beraten. Für rechtliche Auskünfte suchen Sie bitte immer einen (Fach-)Anwalt auf.

Quelle des Gesetzestextes: http://www.gesetze-im-internet.de/stgb/__202a.html

Das WLAN Netzwerk einfach schützen

Sonntag, 03.01.2010

Prüfen Sie, ob Ihr WLAN Netzwerk durch folgende Punkte gesichert ist:

Zusätzliche Maßnahmen:

« Vorheriger Beitrag