Sicherheit für Integrationen #

Diese Seite richtet sich an alle, die eine Integration mit Exponential bauen oder betreiben. Eine Integration öffnet eine Tür: Sie hält Zugangsdaten für zwei Systeme, sie bewegt Daten über eine Grenze, und sie läuft mit Rechten, die niemand täglich beobachtet. Die allgemeine Härtung einer Installation steht unter Sicherheitshärtung und Sicherheit und Audit; diese Seite ergänzt, was für Integrationen gilt. Die Fassung als Checkliste ist Sicherheits-Checkliste für Integrationen.

Inhalt #

1. Zugangsdaten
2. Minimale Rechte
3. Transport
4. Daten anderer Systeme sind nicht vertrauenswürdig
5. Ausgehende Aufrufe
6. Skripte Dritter in Seiten
7. Audit und Vorfälle

Zugangsdaten #

settings/override hat Vorrang vor jeder Einstellung von Siteaccesses und Erweiterungen; deshalb ist es der richtige Ort für Geheimnisse, und deshalb kann ein Override auf einem Server auch unbemerkt das Verhalten ändern: Dokumentieren Sie jedes Override, das die Integration braucht.

Minimale Rechte #

• Ein Dienstkonto je Integration, in einer eigenen Benutzergruppe, mit einer Rolle, die nur gewährt, was die Integration tut: Lesen auf den Teilbäumen, die sie exportiert, Anlegen, nach Klasse und Teilbaum begrenzt, für das, was sie importiert (Dienstkonten, Rollen und Richtlinien).
• Scopes auf Schlüsseln: Eine lesende Integration erhält einen Schlüssel nur mit dem Scope read.
• Keine Administrator-Zugangsdaten in irgendeiner Integration, niemals. Ein Import, der "Admin braucht", braucht meist eine Richtlinie mehr.
• Benutzer des Betriebssystems: Führen Sie Skripte als Benutzer der Website aus, nicht als root.

Transport #

• HTTPS für jede API, jeden Webhook und jede Dateiübertragung, in beide Richtungen. rest.ini [Authentication] RequireHTTPS lässt die REST-Schicht reines HTTP ablehnen.
• Prüfen Sie Zertifikate bei ausgehenden Aufrufen (der SOAP-Client und curl tun das standardmäßig; schalten Sie es nie ab, "damit es funktioniert").
• LDAP über eine verschlüsselte Verbindung (ldaps://); StartTLS steht nicht zur Verfügung (Login-Handler).
• SFTP statt FTP; das SFTP-Ziel von xrowextract vertraut Hostschlüsseln ausdrücklich.

Daten anderer Systeme sind nicht vertrauenswürdig #

Behandeln Sie jeden Wert aus einem anderen System wie ein Formularfeld aus dem Internet:

• Prüfen Sie Typen und Längen vor der Verwendung; wandeln Sie IDs mit (int) um; maskieren Sie Zeichenketten in eigenem SQL mit $db->escapeString().
• Wandeln Sie Rich Text mit einer kleinen erlaubten Menge an Elementen in das gespeicherte XML von ezxmltext um; geben Sie HTML nie direkt an Templates weiter.
• Lehnen Sie unsichere URL-Schemata ab; der Datentyp ezurl lehnt Skript-URLs beim Import ab, tun Sie in Ihrem eigenen Code dasselbe.
• Dateipfade für Bilder und Dateien müssen im Importverzeichnis der Installation bleiben; der Datentyp ezimage lehnt Pfade außerhalb der Installation, ihres var- und ihrer temporären Verzeichnisse ab.
• Begrenzen Sie Größen: Eine bösartige oder defekte Quelle kann ein "Bild" von 2 GB senden.

Ausgehende Aufrufe #

Wenn Ihre Integration Adressen aufruft, die aus Daten oder Einstellungen stammen (eine Webhook-URL, eine Bild-URL aus einem Feed):

• Erlauben Sie nur https (und http, wo unvermeidlich).
• Lehnen Sie private und Loopback-Adressen ab, sofern sie nicht erwartet sind, um serverseitige Request-Fälschung zu vermeiden.
• Setzen Sie Timeouts für Verbindungsaufbau und Gesamtdauer sowie eine maximale Antwortgröße.
• Der Link-Checker des Kernels zeigt das Muster: cronjob.ini [linkCheckSettings] AllowedPrivateHosts[].

Skripte Dritter in Seiten #

Analysewerkzeuge, Chat-Widgets und Tag-Manager laufen in den Browsern der Besucher. Exponential sendet eine Content Security Policy; ein Skript von einem anderen Host muss dort erlaubt sein, und Inline-Skripte sind es nicht (Content Security Policy). Fügen Sie jeden Host eines Drittanbieters bewusst hinzu, laden Sie Skripte aus Dateien Ihres Designs und halten Sie die Folgen für den Datenschutz mit dem Kunden fest (keine Rechtsberatung).

Audit und Vorfälle #

• Das Audit-Protokoll zeichnet die Verwendung und Ablehnung von API-Schlüsseln (access.apikey.*), Schreibvorgänge von expservices (service.*) und Inhaltsänderungen auf. Prüfen Sie das Dienstkonto der Integration nach den ersten Läufen im Audit.
• Leiten Sie Sicherheitsereignisse mit dem Syslog- oder Webhook-Ziel an das SIEM des Kunden weiter (Ausgehende Webhooks).
• Wenn Zugangsdaten offengelegt sein könnten: Widerrufen Sie sie sofort, erstellen Sie neue, prüfen Sie das Audit auf ihre Verwendung und informieren Sie den Kunden. Melden Sie Schwachstellen in Exponential vertraulich an [email protected].

Verwandte Seiten #

• Sicherheitshärtung
• Sicherheit und Audit
• Sicherheit in Erweiterungen
• Sicherheitsverantwortung von Partnern
• Sicherheits-Checkliste für Integrationen
• Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.