Bezpečnost

Zabezpečení závisí na webovém serveru, PHP, databázi, konfiguraci MRBS a vybraném poskytovateli identity.

Udržujte software aktuální

MRBS 1.12.2 obsahuje bezpečnostní opravy, mimo jiné ochranu proti otevřenému přesměrování a padělání požadavků na straně serveru. Sledujte novější vydání a bezpečnostní upozornění; verzi 1.12.2 nepovažujte za trvale aktuální.

Udržujte PHP, databázi, webový server a operační systém v rámci podporovaných životních cyklů dodavatele.

Ochrana konfigurace a přenosu

• Zpřístupňujte MRBS pouze přes HTTPS.
• Omezte přístup k souboru config.inc.php.
• Přihlašovací údaje k databázi, SMTP, LDAP a API neukládejte do verzovacího systému.
• Ověřujte protistranu TLS a název serveru.
• Při podezření na únik přihlašovací údaje změňte.

Oprávnění k databázi

Pro běžící aplikaci použijte samostatný databázový účet a udělte mu pouze nezbytná oprávnění. Pokud je to provozně možné, používejte pro aktualizace zvláštní účet s právem měnit schéma.

Zálohy obsahují rezervační a uživatelská data a vyžadují stejnou ochranu jako produkční databáze.

Přístup veřejnosti

Explicitně zkontrolujte chování při odhlášení:

• viditelnost detailů rezervace;
• soukromé rezervace;
• vyhledávání a veřejné sestavy;
• režim kiosku;
• export kalendářů; a
• registrační jména.

Pokud má veškerý přístup vyžadovat přihlášení, použijte nastavení $auth['deny_public_access'].

Instalační soubory

Nevystavujte testovací nástroje, skripty SQL, zálohy, protokoly nebo kopie konfigurace prostřednictvím webového serveru. Soubory jako testdata.php jsou určeny k testování a nesmí zůstat veřejně dostupné.

Logování

Provozní chyby protokolujte bez přihlašovacích údajů a bez obsahu soukromých rezervací. Zapisování přihlašovacích údajů je ve výchozím nastavení vypnuto a mělo by tak zůstat:

$auth['log_credentials'] = false;

Rutinní kontrola

Pravidelně kontrolujte:

• účty správců;
• kontakty na správce oblasti a místnosti;
• klíče veřejných sestav;
• citlivé údaje poskytovatele identity;
• obnovení zálohy;
• aktualizace závislostí a vydání; a
• webové a aplikační protokoly pro neočekávaný přístup.