Du hast deinen AdBlocker an?

Es wäre ein Traum, wenn du ihn für t3n.de deaktivierst. Wir zeigen dir gerne, wie das geht. Und natürlich erklären wir dir auch, warum uns das so wichtig ist. Digitales High-five, deine t3n-Redaktion

t3n 17

Sicheres Webhosting: Wie man Hacker ausbremst und die eigene Website schützt

Seite 3 / 3

Vorsicht vor Fremd-Inhalten

Das Einbinden von Fremd-Inhalten, etwa via JavaScript oder iFrame, ist reizvoll, kann es doch die Attraktivität einer Website enorm steigern oder sogar Geld damit verdient werden. Das Problem besteht allerdings darin, dass Sie die Kontrolle über die Inhalte an Dritte abgeben. Binden Sie somit Inhalte nur ein, wenn Sie den Anbietern der Fremdinhalte hundertprozentig vertrauen. Besteht ein Zweifel, verzichten Sie lieber darauf. Sonst mutiert Ihre Website durch schadhaften Code von einer privaten Homepage ganz schnell zu einer bösartigen Website, die beispielsweise Daten ausspäht, von Google, Firefox & Co. als gefährliche Seite eingestuft wird und im schlimmsten Fall nicht einmal mehr angezeigt wird.

Backup-Strategie

Wird die Website doch einmal gehackt, sind die Daten meist überschrieben. Treffen Sie daher eigene Vorkehrungen und sichern sich ab, bevor es zu spät ist. Achten Sie bei der Auswahl des Webhosting-Anbieters darauf, dass dieser mindestens einmal täglich Ihre Website sowie die Datenbank auf externen Backup-Servern sichert. Erkundigen Sie sich vorab wie Sie das Backup in einer Not-Situation erhalten können. Zusätzlich sollten Sie selbst nach jeder wichtigen Änderung eine Sicherung Ihrer Website (und Datenbanken) auf Ihrer lokalen Festplatte erstellen. Unterstützung finden Sie hier oftmals im Administrationsmenü der eingesetzten Software. Das ist zwar mühsam, im Ernstfall aber Gold wert.

Fazit

Seien Sie misstrauisch und gehen nicht sorglos mit Ihren Daten um! Nicht jede Person oder Website, die Ihnen auf den ersten Blick etwas Gutes suggeriert, ist auch vertrauenswürdig. Versuchen Sie die Hintergründe zu verstehen und hinterfragen diese bei Bedarf. Achten Sie deshalb auch bei der Auswahl Ihres Webhosting- oder Serveranbieters auf seine Kompetenz, seine Garantien und seine Einstellungen hinsichtlich der Serversicherheit. Eine gute Vorab-Recherche wird Ihnen womöglich eine Menge Ärger ersparen.

Startseite
  • Seite:
  • 1
  • 2
  • 3

Bitte beachte unsere Community-Richtlinien

6 Reaktionen
Kevin

Der Satz "Standardmäßig ist bei einem Webhosting-Anbieter der PHP-Safe-Mode aktiviert" ist falsch. Ich kenn mehrere namenhafte Hoster die diese Krücke von Sicherheitsfunktion standardmäßig eben NICHT aktivieren, da sie sich schon beim Aufsetzen der Shared-Server Gedanken zu Berechtigungen/Gruppen/Chroots/Basedirs u.ä. gemacht haben. Das diese damit mindestens genauso sicher sind wie ein Hoster der auf SafeMode setzt, sollte eigentlich jedem der sich mit dem Thema beschäftigt klar sein.
IMO ist der ganze Absatz irgendwie seltsam ... der Hinweis auf einen PHP Hardener wie Suhosin u.ä. wäre an der Stelle für die Selbsthoster vielleicht noch interessant gewesen.
Ansonsten Daumen hoch ;) das Thema kann man nicht oft genug wiederholen!

Ronny Schick

Hallo Michael,
das habe ich natürlich auch so gemeint. In der verbesserten Version steht daher das Wörtchen "er" (wird er (der Safe-Mode) wegfallen).

Michael Karl

Das stimmt ja ausgerechnet nicht. Nicht die Deaktivierung wird wegfallen, sondern die Aktivierung. Den kompletten Safe-Mode wird es in Version 6 nicht mehr geben.

Ronny Schick

In der Tat kann der Passus missverstanden werden, wodurch die Anmerkung bzw. Verbesserung absolut korrekt ist.

Richtig müsste es heißen: Apropos: Die Deaktivierung des Safe-Mode stellt nicht nur eine mögliche Gefahr dar, sondern wird er mit der kommenden PHP Version 6 auch gänzlich wegfallen. Die Programmierer sind somit ohnehin gezwungen Ihren Code womöglich zu überarbeiten.

Robert Steindl

Der Abschnitt zum PHP Safe-Mode enthält einen Fehler: In PHP 6 wird nicht die Deaktivierung des Safe Mode entfallen, sondern der Safe Mode selbst. Zitat von der PHP-Website:

Safe Mode is deprecated in PHP 5.3.0 and is removed in PHP 6.0.0.

Entwickler sollten sich daher Gedanken machen, wie sie ihre Applikationen OHNE Safe Mode absichern, d.h. auf den Ebenen, die dafür zuständig sind, z.B. durch korrekte Rechtevergabe im OS.

Adrian Philipp

Hallo Ronny,

habe den Artikel gerade in der t3n gelesen und bin über den Abschnitt PHP Safe-Mode gestolpert.

Ich glaube da ist etwas durcheinander gekommen. In PHP6 wird der Safe-Mode entfernt werden, nicht wie im Artikel angegeben "die Deaktivierung wegfallen". In PHP 5.3 ist diese Einstellung bereits als "DEPRECATED" markiert.
Quelle: http://de3.php.net/manual/en/ini.sect.safe-mode.php

Aus diesem Abschnitt geht hervor, dass der Safe-Mode PHP komplett sicher mache. Leider stimmt dies nicht. Der Safe-Mode erweckt einen falschen Eindruck von Sicherheit. Gerade das Prüfen auf erlaubte Dateirechte-Operationen sind eher weniger Sache von PHP sondern müssen bereits in der Serverumgebung korrekt geregelt werden.
Quelle: http://www.php.net/~derick/meeting-notes.html#safe-mode

Eine PHP-Anwendung die sich nicht unter Safe-Mode installieren lässt sagt weiterhin nichts darüber aus ob die Anwendung sicher programmiert ist oder nicht. Schon das anlegen von Cachefiles im tmp-Verzeichnis kann bei schlechter Serverkonfiguration durch den Safe-Mode geblockt werden. Deshalb eine andere Anwendung auszuwählen halte ich für einen sehr fragwürdigen Tipp.

Viele Grüße,

Adrian

Du musst angemeldet sein, um einen Kommentar schreiben zu können.

Jetzt anmelden