sicherheit von CMS

[jutta]

das deutsche bundesamt für sicherheit in der informationstechnik hat eine umfangreiche (163 seiten) studie ueber die sicherheit bekannter content management systeme erstellt (joomla, typo3, drupal, plone, wordpress)

https://www.bsi.bund.de/DE/Publikatione ... e_CMS.html

[Viennaboy]

könntest du es für uns zusammen fassen?

[jutta]

noe.

[Starvirus]

Danke für den Test!

Das Dokument ist eh sehr gut aufgebaut, darum kann es jeder schnell selbst nachschlagen.

Schwachpunkt aller sind immer die Erweiterungen. Interessant ist auch der Trend zum XSS, Code Execution und SQL-Injection geht.
Fazit ist immer noch, Produktive Systeme gehören gewartet und gepatched, darum wirds auch zukünftig genügend Arbeit für Admins geben die eine Ahnung haben.

[medice]

Interessant ist auch der Trend zum XSS, Code Execution und SQL-Injection geht.

dieser "Trend" hält sich aber schon viele Jahre

[Starvirus]

Naja vor einer Zeit waren DOS-Angriffe noch gefragter

[medice]

Naja vor einer Zeit waren DOS-Angriffe noch gefragter

DOS is ja fad - damit störst nur den Betrieb, mit den anderen Konzepten kannst bei Gelingen richtig was erreichen, von dem du selbst auch was hast - bis hin zum vollzugriff

[lordpeng]

>Fazit ist immer noch, Produktive Systeme gehören gewartet und gepatched, darum
>wirds auch zukünftig genügend Arbeit für Admins geben die eine Ahnung haben.
genau so ist es, ich hab erst kürzlich eine joomla installation für einen bekannten von einem webhoster zum anderen übersiedelt, die joomla version war uralt 1.5 oder so , ich hab ihn dezent drauf aufmerksam gemacht, dass er sich jemanden suchen soll, der ihm das ganze aktualisiert, weil ich greif das ned an - ich fürchte, das ist beim einen ohr rein und beim anderen wieder raus gegangen ...

da finde ich wordpress super, das ding kann sich selbst aktualisieren - ist vielleicht nicht immer ein vorteil, aber für leute die nicht selber in der lage sind updates zu installieren ist's auf jedenfall sinnvoll ...

trotzdem bin ich froh, dass ich heutzutage nimmer direkt mit der wartung von webservern im hostingbereich betraut bin, weil die lage wird immer depperter - auf der einen seite hast du kunden/reseller, die jeden unsicheren schei** aktiviert haben wollen und auf der anderen seite hast die kiddies/haxxors/etc die nur drauf warten, bis man einen flüchtigkeitsfehler macht ...

ein hochsicherer webserver ist halt meistens nicht unbedingt kundenkonform massen-tauglich ...

[jutta]

mein persönlicher favorit, wenn es um blog-software geht, ist serendipity http://www.s9y.org. das hat viel weniger features, plugins und templates als wordpress, dafuer kann aber auch viel weniger schiefgehen. und ein kleines entwicklerteam, dem sicherheit nicht wurscht ist. updates sind per mausclick moeglich, wenn man dies wuenscht. wenn man sie lieber manuell macht, sind sie aber auch keine hexerei.