{"id":6173,"date":"2020-08-13T07:50:17","date_gmt":"2020-08-13T05:50:17","guid":{"rendered":"https:\/\/blog.iese.fraunhofer.de\/?p=6173"},"modified":"2024-01-22T11:22:58","modified_gmt":"2024-01-22T10:22:58","slug":"it-security-teil4","status":"publish","type":"post","link":"https:\/\/www.iese.fraunhofer.de\/blog\/it-security-teil4\/","title":{"rendered":"IT-Security (4\/4): Gezielte Untersuchungs- und Absicherungsmethoden f\u00fcr mehr WordPress-Sicherheit"},"content":{"rendered":"

Dieser Artikel setzt die Reihe \u00bbIT-Security\u00ab<\/a> fort und beleuchtet Aspekte der Sicherheit von Webanwendungen am Beispiel von WordPress sowie die Themen Transportverschl\u00fcsselung und Sicherheitsheader eines Webservers. In den vorhergehenden Artikeln dieser Artikelserie haben wir zuerst unsere IT-Sicherheitsaudits vorgestellt<\/a> und anschlie\u00dfend einen wichtigen Bestandteil einer IT-Sicherheits\u00fcberpr\u00fcfung: die Penetrationstests<\/a>. Der darauffolgende Artikel<\/a> diskutierte die Verwundbarkeiten und zeigte, wie man sie beheben kann.<\/p>\n

IT-Sicherheit bei Webanwendungen<\/h2>\n

Wenn man die IT-Sicherheit bei Webanwendungen genauer untersuchen will, muss man mehrere Ebenen betrachten. Die nachfolgende Grafik stellt diese Ebenen grafisch dar:<\/p>\n

\"Ebenen<\/a>
Ebenen der IT-Sicherheit bei Webanwendungen<\/figcaption><\/figure>\n

Das Betriebssystem<\/strong> eines Webservers ist das Fundament jeder Webanwendung. Es sollte sicher konfiguriert, d.h. geh\u00e4rtet sein.<\/p>\n

Auf dem Betriebssystem l\u00e4uft ein Webserver<\/strong>, der die notwendigen Dateien der Webanwendung ausliefert. Seine sichere Konfiguration ist ebenfalls essenziell, da er direkt mit dem Internet und potenziellen Angreifern kommuniziert. Zur Verarbeitung von Skript-Dateien wie beispielsweise PHP nutzt er weitere Software, wie z.B. den PHP Interpreter. Die zus\u00e4tzlich verwendete Software muss deshalb ebenfalls sicher konfiguriert werden.<\/p>\n

Bevor die Webanwendung an den Browser eines Clients ausgeliefert wird, findet im Rahmen des Verbindungsaufbaus die Aushandlung der Transportverschl\u00fcsselung<\/strong> statt. Hierbei sollte sichergestellt sein, dass sichere Verfahren und Protokolle verwendet werden.<\/p>\n

Mit Beginn der Auslieferung der ersten Dateien der Webanwendung k\u00f6nnen in den Headern der http-Verbindungen auch Sicherheitsheader<\/strong> \u00fcbermittelt werden. Diese weisen den Browser auf weitere von ihm zu treffende Schutzma\u00dfnahmen hin.<\/p>\n

Anschlie\u00dfend kann die Webanwendung<\/strong>, z.B. WordPress, auf dem Client verwendet werden. Diese sollte ebenfalls sicher konfiguriert werden, da auch diese Sicherheitsl\u00fccken aufweisen kann, mit denen dann der Server kompromittiert werden kann. Neben der Kompromittierung des Webservers besteht au\u00dferdem die Gefahr des Abfischens von Zugangsdaten, die Gefahr einer Entstellung oder Verunstaltung (\u00bbDefacement\u00ab) der Webseite oder z.B. die Verbreitung anderer rufsch\u00e4digender Inhalte \u00fcber die Webseite. Die O<\/strong>pen W<\/strong>eb A<\/strong>pplication S<\/strong>ecurity P<\/strong>roject Foundation (OWASP Foundation) listet unter https:\/\/owasp.org\/www-project-top-ten\/<\/a> die Top Ten m\u00f6glicher Sicherheitsrisiken auf.<\/p>\n

Dieser Artikel beleuchtet die Aspekte Transportverschl\u00fcsselung, Sicherheitsheader und die Sicherheit der Webanwendung WordPress.<\/p>\n

\u00dcberpr\u00fcfen einer WordPress-Installation<\/h2>\n

WordPress ist ein sehr beliebtes und freies C<\/strong>ontent-M<\/strong>anagement-S<\/strong>ystem (CMS). Mit einem Anteil von etwa 37 %<\/a> (Stand 14. Juli 2020) an den im Web verwendeten CMS f\u00fchrt WordPress mit gro\u00dfem Abstand das Feld an. Das PHP-basierte System bietet die M\u00f6glichkeit einer rollenbasierten Benutzerverwaltung. Es l\u00e4sst sich au\u00dferdem mit Plug-ins in seinem Funktionsumfang erweitern. W\u00e4hrend sich das Hauptsystem selbstst\u00e4ndig updaten kann, k\u00f6nnen Plug-ins nicht selbstst\u00e4ndig aktualisiert werden. Ein solches Feature ist erst zu einem sp\u00e4teren Release geplant. H\u00e4ufig entstehen durch veraltete Plug-ins Verwundbarkeiten, die das Gesamtsystem negativ beeinflussen k\u00f6nnen.<\/p>\n

Mit WPScan<\/a> existiert ein Tool, das von Sicherheitsexperten zur Untersuchung von WordPress-Installationen verwendet wird. Es ist f\u00fcr die nicht kommerzielle Nutzung frei verf\u00fcgbar und wird zur Demonstration in diesem Artikel zur Untersuchung unseres Testservers verwendet. Es sucht und findet verwendete Plug-ins, die eingesetzten Versionen der Plug-ins und von WordPress, Konfigurationsbackups und vieles mehr. Die wichtigsten Optionen, die auch im Rahmen dieses Artikels verwendet werden, sind:<\/p>\n