Guten Abend,
ich würde gerne für meinen Freundes-Kreis ein privates/sicheres Forum erstellen, auf einem kleinen Server. Betriebsystem natürlich debian-basiert, aber noch in der Mache. Da ich mittlerweile so viele negative Nachrichten bezüglich Sicherheit über Web-Server gehört habe, wollte ich mir von Euch eine Meinung einholen.
Habt ihr ein paar Empfehlungen auf die ich auf jeden Fall achten sollte? Spezielle Dienste?
Ich war am überlegen, ob man einen SSH-Server und einen nur lokal laufenden Web-Server einrichtet. Die Nutzer können sich dann per Terminal verbinden und eine Web-Software imTerminal starten. Was haltet ihr davon? Das mit den Bildern wäre halt ein wenig blöde.
Was haltet ihr davon?
Grüße
Idee Ansatz für privates Forum
Re: Idee Ansatz für privates Forum
Ich halte den SSH-Zugriff für viel "gefährlicher".
Wenn du nen Extra-Layer Security haben möchtest, häng Basic Auth davor.
Wenn dir das nicht genug ist, installier nen VPN-Server.
Siehst du das debianforum brennen? Also ich würde das nicht verkomplizieren. Spiel regelmäßig updates ein, auch von der Software, die ggf. nicht aus den debian-Repos installiert wird, und du hast wenig zu befürchten.feldmaus hat geschrieben:16.02.2021 21:03:46so viele negative Nachrichten bezüglich Sicherheit über Web-Server
Wenn du nen Extra-Layer Security haben möchtest, häng Basic Auth davor.
Wenn dir das nicht genug ist, installier nen VPN-Server.
Jesus saves. Buddha does incremental backups.
Windows ist doof, Linux funktioniert nicht • Don't break debian! • Wie man widerspricht
Windows ist doof, Linux funktioniert nicht • Don't break debian! • Wie man widerspricht
Re: Idee Ansatz für privates Forum
Das regelmaessige Updaten, von den Bugfixes mitzubekommen und zeitnah zu reagieren kann nervig werden, wenn die Forensoftware nicht ueber die Paketverwaltung installiert wird.TRex hat geschrieben:16.02.2021 21:09:20Spiel regelmäßig updates ein, auch von der Software, die ggf. nicht aus den debian-Repos installiert wird, und du hast wenig zu befürchten.
Das finde ich einen guten Vorschlag, weil man so die Sicherheitsluecken der Webanwendung (die vermutlich die meisten Luecken hat und deren Update-Prozess den groessten Aufwand erzeugt), aus dem Spiel nimmt.Wenn du nen Extra-Layer Security haben möchtest, häng Basic Auth davor.
Use ed once in a while!
-
- Beiträge: 705
- Registriert: 09.09.2014 18:33:22
- Lizenz eigener Beiträge: GNU Free Documentation License
Re: Idee Ansatz für privates Forum
Da du "sicher" nicht definierst hast, kann man nur raten ob es um die Sicherheit des Servers geht, oder um die Sicherheit der Daten/Gespräche.
Billiger Webspace (nicht -server) bei irgendeinem Massenhoster, phpBB2 installieren, HTTP-Auth davor um Bot- und SPAM-Angriffe abzuwehren, außerdem täglich Backups per Cron-Job auf einen anderen Server - viel risikoärmer wird sich ein Forum kaum betreiben lassen. Und wenn wider Erwarten doch was passiert, ist in kürzester Zeit der Zustand vom Vortag wieder hergestellt.
Wenn du dagegen verhindern willst, dass jemand ungebeten mitliest oder Zugriff auf die Benutzerdaten bekommt oder überhaupt von der Existenz des Forums erfährt, wirst du deutlich mehr Aufwand treiben müssen.
Billiger Webspace (nicht -server) bei irgendeinem Massenhoster, phpBB2 installieren, HTTP-Auth davor um Bot- und SPAM-Angriffe abzuwehren, außerdem täglich Backups per Cron-Job auf einen anderen Server - viel risikoärmer wird sich ein Forum kaum betreiben lassen. Und wenn wider Erwarten doch was passiert, ist in kürzester Zeit der Zustand vom Vortag wieder hergestellt.
Wenn du dagegen verhindern willst, dass jemand ungebeten mitliest oder Zugriff auf die Benutzerdaten bekommt oder überhaupt von der Existenz des Forums erfährt, wirst du deutlich mehr Aufwand treiben müssen.
- feldmaus
- Beiträge: 1297
- Registriert: 14.06.2005 23:13:22
- Lizenz eigener Beiträge: GNU General Public License
- Wohnort: Deutschland
Re: Idee Ansatz für privates Forum
Hängt "Basic Auth" mit Apache zusammen oder welchem Paket?
Bringt es was, wenn ich Zertifikate direkt auf den Clients installiere. Und nur mit diesen Zertifikaten kann man sich per https verbinden.
Bringt es was, wenn ich Zertifikate direkt auf den Clients installiere. Und nur mit diesen Zertifikaten kann man sich per https verbinden.
Re: Idee Ansatz für privates Forum
Ja natürlich, https://de.wikipedia.org/wiki/HTTP-Auth ... enticationfeldmaus hat geschrieben:16.02.2021 22:22:26Hängt "Basic Auth" mit Apache zusammen oder welchem Paket?
Das wäre ein deutliches Plus an Sicherheit. Interessant, dass du Client-Zertifikate kennst, aber bei Basic Auth nachfragen musstest.feldmaus hat geschrieben:16.02.2021 22:22:26Bringt es was, wenn ich Zertifikate direkt auf den Clients installiere. Und nur mit diesen Zertifikaten kann man sich per https verbinden.
Jesus saves. Buddha does incremental backups.
Windows ist doof, Linux funktioniert nicht • Don't break debian! • Wie man widerspricht
Windows ist doof, Linux funktioniert nicht • Don't break debian! • Wie man widerspricht
Re: Idee Ansatz für privates Forum
Ich möchte das mal auf das Wesentliche reduzieren: man kann ein Forum sicher betreiben, wenn man weiß, was man tut. Im Umkehrschluss kann man es nicht, wenn einem grundlegendes Verständnis von der Materie fehlt, und man die simpelsten Sachen nachfragen muss.
Wer es dennoch macht, und es vielleicht noch so darstellt, als ob er sich auskennen würde, und die User damit in falschen Sicherheit wiegt, handelt unmoralisch.
Wer es dennoch macht, und es vielleicht noch so darstellt, als ob er sich auskennen würde, und die User damit in falschen Sicherheit wiegt, handelt unmoralisch.