Sicherheitstechnik im Überblick
Diese Seite richtet sich an Ingenieure, die die Sicherheit eines Exponential-Systems bewerten, entwerfen oder prüfen. Sie nennt die Mechanismen, wo sie liegen, was standardmäßig an ist und wo das Projekt selbst sagt, dass es zurückbleibt. Der Stand der Standards ist Sicherheitsstandards; die an Angreifern orientierte Anleitung für Betreiber ist Sicherheitshärtung.
Inhalt
- Die Mechanismen
- Sichere Standards
- Festgehaltene Härtungsdurchgänge
- Die eigene Einschätzung des Projekts
- Schwachstellen melden und beheben
- Wie es weitergeht
Die Mechanismen
| Bedrohung | Mechanismus | Wo |
|---|---|---|
| Fehlerhafte Zugriffskontrolle | Rollen, Richtlinien und Einschränkungen, für jede Modul-View geprüft; Lesen von Inhalten nach Berechtigung gefiltert | Module, Views und Zugriffskontrolle |
| Injektion (SQL) | escapeString() und Ganzzahl-Casts; Persistenzobjekte maskieren für Sie | Portables SQL schreiben |
| Injektion (Shell) | Argumente über escapeshellarg() | Sicherheitshärtung von 6.0.13 |
| Cross-Site-Scripting | |wash in Templates; Content Security Policy mit Nonces | HTTP-Sicherheit |
| Cross-Site-Request-Forgery | Formular-Tokens in jedem Formular (ezformtoken) | ezformtoken und CSRF |
| Schwache Authentifizierung | password_hash(), Mindestlänge 10, optionale Sperre, Zwei-Faktor-Anmeldung | Authentifizierung, Sessions und Zwei-Faktor-Anmeldung |
| Gefälschte Proxy-Header | weitergeleitete Header nur von TrustedProxies[] vertraut | Vertrauenswürdige Proxys |
| Offene Weiterleitungen | erlaubte Weiterleitungs-Hosts | Sichere Weiterleitungen |
| Bösartige Uploads | Upload-Prüfungen, Bereinigung von SVG | SVG-Bilder |
| Konfigurationsdrift in der Produktion | ManagedByDeployment | Konfiguration, die die Bereitstellung verwaltet |
| Unentdeckter Missbrauch | manipulationssicherer Audit-Trail, Anfrageklassifizierer und security.log | Beobachtbarkeit |
Sichere Standards
Im September und Oktober 2026 wurden Sicherheits-Header, Session-Cookies mit HttpOnly und SameSite, eine strengere
Upload-Prüfung und neue Zugriffsanforderungen für einige entfernte Dienste standardmäßig eingeschaltet.
Sicherheitskorrekturen werden wie Fehlerkorrekturen behandelt: standardmäßig an, dokumentiert mit dem Weg, sie bewusst
rückgängig zu machen (Sicherheitsstandards,
Verhaltensänderungen vom 16. bis 30. September 2026).
Mitgelieferte Werte, die Sie kennen sollten (settings/site.ini): Sicherheits-Header wie
X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN und Referrer-Policy: strict-origin-when-cross-origin;
MinPasswordLength=10; HashType=php_default; MaxNumberOfFailedLogin=0 (die Sperre ist aus, bis Sie sie setzen); die
Content Security Policy in Mode=auto (nur berichtend in der Administration, aus auf Websites).
Festgehaltene Härtungsdurchgänge
| Durchgang | Inhalt |
|---|---|
| 6.0.13 | vier SQL-Injektionen, zwei Betriebssystem-Befehlsinjektionen, ein reflektiertes Cross-Site-Scripting (Sicherheitshärtung von 6.0.13) |
| August 2026 | Sicherheitshärtung, August 2026 |
| September 2026 | Sicherheitsstandards |
| Oktober 2026 | die Korrekturen der Forks von Opencontent und Mugo Web (Pull Request #345): Grenze der URL-Alias-Tiefe, einzeilige eZLog-Einträge, REST-Listener, längere Upload-Sperrliste, HardLimit für Teilbäume (Korrekturen aus den Forks von Opencontent und Mugo Web) |
Die Seite zu 6.0.13 listet auch die Muster, die Entwickler von Erweiterungen in ihrem eigenen Code prüfen müssen: Eine Kernel-Aktualisierung behebt sie in Erweiterungen nicht.
Die eigene Einschätzung des Projekts
Der Sicherheitsstandard stuft OWASP Top 10 (2021) als teilweise erfüllt ein, mit Gegenmaßnahmen für alle zehn Kategorien und benannten Lücken (Kontosperre standardmäßig aus, kein Abhängigkeits-Scan in der CI, CSP auf öffentlichen Websites aus), OWASP ASVS 4.0.3 als nicht verifiziert (keine Bewertung durchgeführt) und Content Security Policy Level 3 als teilweise erfüllt. "Erfüllt" bräuchte eine externe Bewertung, die nicht durchgeführt wurde. Verwenden Sie diese Liste als Ausgangspunkt Ihres eigenen Bedrohungsmodells.
Schwachstellen melden und beheben
- Melden Sie vertraulich per E-Mail an die Adresse in
SECURITY.md, nicht im öffentlichen Issue-Tracker oder in Diskussionen. Eine erste Antwort wird innerhalb eines Werktags versprochen. - Geben Sie Version, PHP-Version, Engine und Datenbank an, was ein Angreifer tun kann, und die Schritte zum Reproduzieren; lassen Sie Passwörter, Geheimnisse und personenbezogene Daten weg.
- Korrekturen entstehen auf
mainund werden mit der nächsten Version 6.0.x veröffentlicht. Ein veröffentlichter Tag wird nie geändert: Eine Korrektur für ein Problem in einem älteren Tag erreicht Sie als nächstes Release. Nur die Linie 6.0 wird unterstützt.
Wie es weitergeht
- HTTP-Sicherheit: Header, CSP, Anfrageregeln und Proxys
- Authentifizierung, Sessions und Zwei-Faktor-Anmeldung
- Checkliste für Sicherheitsprüfungen
- Kapitel 13 des Installationsbuchs: Sicherheitshärtung
Verwandte Seiten
- Sicherheit für Anwendungen
- Sicherheit in Erweiterungen
- Sicherheit und Audit
- Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.
Werden Sie Exponential-Partner
Partner teilen ihre Informationen, stellen Mittel bereit, geben Beiträge zurück und entwickeln die Produkte mit uns, und so wächst Exponential. Eine Partner-Website und ein Dashboard sind für Mitte 2027 geplant: Werden Sie noch heute Partner, damit wir schneller wachsen und neue Funktionen früher liefern.