Die Schotten dicht machen

Der beste Schutz auf Serverseite ist nutzlos, wenn das Klartextpasswort bereits auf dem Weg zum Server durch einen bösen „Man in the middle“ abgehört wird. Benutzen Sie daher die Extension nur im Zusammenhang mit einem SSL-Zertifikat!

Viele Webhoster bieten schon für wenige Euros im Monat ein Zertifikat an. Wenn Sie Ihre Seiten auf einem eigenen Root-Server betreiben, können Sie sich das SSL-Zertifikat auch selbst generieren und ausstellen. Backend-Benutzer müssen dann zwar einmalig das vermeintlich unsichere Zertifikat akzeptieren, um das Backend zu betreten, es bietet aber genauso viel Sicherheit wie ein kostenpflichtiges fremdverifiziertes SSL-Zertifikat.

Ist ein Zugang via SSL möglich, sollte man Benutzer nur noch den Zugang über das sichere Protokoll gestatten und den „normalen“ HTTP-Zugang auf die sichere Leitung umleiten. Dies geht beispielsweise über eine mod_rewrite-Regel des Apache. Dazu legen Sie eine .htaccess-Datei im Ordner „/typo3/“ mit folgendem Inhalt und Ihrem individuellen Pfad zum Backend an:

RewriteEngine On
RewriteBase /typo3/
RewriteCond %{SERVER_PORT} !443
RewriteRule ^(.*)$ https://www.example.com/typo3/ [R,L]

Nicht selten werden Sicherheitslecks erst im Zusammenspiel mit Lücken in PHP-eigenen Funktionen richtig kritisch. Stellen Sie daher sicher, dass Sie stets aktuelle Versionen von PHP, MySQL und Webserver einsetzen. Sollten Sie keinen Einfluss auf Versionen der Serversoftware haben und sollte diese stark veraltet sein, weisen Sie Ihren Provider dringend darauf hin oder ziehen Sie direkt einen Wechsel in Betracht. Wird zudem Apache als Webserver eingesetzt, gibt es einige kleinere Tricks und Kniffe, um diesen ein wenig sicherer zu machen. So können Sie beispielsweise über den Eintrag „Options-Indexes“ in der .htaccess-Datei im Wurzelverzeichnis Ihrer TYPO3-Installation das so genannte Directory-Listing deaktivieren. Dies verhindert den Zugriff auf Ordner, die keine index-Datei beinhalten und so eine Liste aller enthaltenen Dateien zeigen würden (z. B. das Verzeichnis „/fileadmin/ “). Wer direkten Zugriff auf die httpd.conf des Apache-Servers hat, kann auch mittels „ServerTokens ProductOnly“ verhindern, dass der Webserver bei jeder Anfrage im HTTP-Header oder bei Fehlerseiten die vollständige Server- und Betriebssystemversion anzeigt.

Auf der Hut sein

Ein nicht unwichtiger Faktor bei der Sicherheit von Systemen ist die Information. Sie sollten wissen, wann es eine neue TYPO3-Version gibt oder wann das TYPO3-Security-Team auf Schwachstellen in Erweiterungen hinweist. Das Team veröffentlicht dazu so genannte Security-Bulletins [3]. Um immer auf dem aktuellsten Stand zu bleiben, sollten Sie zudem die Mailingliste „TYPO3-announce“ [4] abonnieren. So bekommen Sie aktuelle Informationen zu Veröffentlichungen in den E-Mail-Postkasten. Und keine Sorge: Sie bekommen außer diesen E-Mails auch keine anderen, wie es in Diskussions-Mailinglisten der Fall ist.

Dies ist natürlich nicht das ganze Geheimnis der Sicherheit, sondern es sind lediglich einige simple Methoden, die helfen können, Ihre TYPO3-Installation ein wenig sicherer zu machen. Grundsätzlich gilt natürlich immer auch, sich selbst und die Redakteure für das Thema Sicherheit zu sensibilisieren. Zu einfach zu erratene Passwörter oder die Verwendung alter Webbrowser können zu ebenbürtigen Sicherheitsproblemen führen wie Fehler in der Software.