So!
Die Katze ist aus dem Sack!
Es sind bei dem sehr intensiven Audit des Forums doch so einige Sicherheitslücken zum Vorschein gekommen.
Einige davon sind eigentlich eher dem Umstand geschuldet, dass ich in den vergangenen Monaten zu wenig Zeit hatte um, zeitnah nach den Veröffentlichungen, entsprechende Aktualisierungen vor zu nehmen. Dieses bringt schon mal einen erheblichen Sicherheitsgewinn, wenngleich es natürlich keine Garantie darstellt (aber die gibt es ohnehin nie 
)
Weiterhin sollte ich die Rechte an den ca. 44.000 Dateien mal im Einzelnen überprüfen, was für sich allein schon ein Job für ein Jahr wäre..., dafür gibt es aber Software, die das für einen erledigt, die werde ich wohl anschaffen.
Ein weiteres Manko ist die Sitzungsdauer, die ich auf mehrfachen Wunsch ja mal auf 1 Stunde gesetzt hatte. Optimal wären 15 Minuten, ich werde sie aber mal auf 30 Minuten verkürzen.
Darüber hinaus sind natürlich ein paar Komponenten installiert und teilweise auch aktiv, die wir gar nicht benötigen, bzw. auch gar nicht benutzen. Einige davon sind standardmäßig mit vorgesehen, andere hatte ich wohl mal zum Testen installiert und dann nicht wieder entfernt...
Das Datenbankpasswort war dann am Ende doch nicht so toll, wie ich dachte..., nach schlappen 6 Stunden war es doch geknackt .Dafür gibt es bestimmte Vorgehensweisen, eine davon nennt sich "Brute Force", dann wird per Zufallsgenerator so lange probiert, bis es passt.
Aaaaber, die gute Nachricht: Es ist bislang noch niemandem gelungen, einzudringen, und auch der Auditor hat es schließlich nur geschafft, weil ich ihn reingelassen habe.
Ich möchte es aber nun nicht dabei bewenden lassen, sondern muss mehr für die Sicherheit tun. Ein Weg wäre vielleicht ein solches Abo abzuschließen (€ 300,00/Jahr), ein anderer wäre, sich die notwendigen Tools (Software) anzuschaffen, die die Arbeit zwar nicht allein machen, aber nach einmal erfolgter Anpassung an die eigenen Bedürfnisse einfach eine Menge Zeit sparen und die Verwaltung einfach erleichtern.
Zeitgleich möchte ich noch ein paar (kostenpflichtige) Sicherheitskomponenten einbauen.
Der Vorteil dabei wäre, dass die Software immer verfügbar ist, ich nach wie vor alle Freiheiten habe, etwas zu testen und zu verändern und wir lediglich ab und an diese Tools aktualisieren müssten (wenn man sie denn erst mal hat)
Der Nachteil dabei ist, dass man natürlich noch immer selbst Hand anlegen muss, doch auch sonst möchte ich mich einfach in dei Hände eines Fremden begeben...
Wie schon gesagt, wenn man bereit ist, alles "outzusourcen", wie man wohl in Neudeutsch sagt, ist es natürlich bequem und auch zunächst mal sicher, man begibt sich aber auch in eine gewisse Abhängigkeit, und damit habe ich -offen gestanden- ein Problem.
Der Nachteil einer so genannten externen Betreuung liegt einfach darin, dass ich nicht mehr einfach etwas machen kann, ohne den Wartungsvertrag zu verletzen und es eigentlich vorprogrammiert ist, dass der Vertrag so immer wieder in Frage gestellt würde. Das ist mir auf die Dauer zu anstrengend, ganz ehrlich :unsure:
Was meint Ihr, technisch aufrüsten und weitermachen, oder "outsourcen"?
