Sicherheit¶

Sicherheit hängt von Webserver, PHP, Datenbank, MRBS-Konfiguration und Identitätsanbieter ab.

Software aktuell halten¶

MRBS 1.12.2 enthält Sicherheitskorrekturen, unter anderem gegen offene Weiterleitungen und serverseitige Request-Fälschung. Spätere Versionen und Hinweise beobachten; 1.12.2 ist nicht dauerhaft aktuell.

PHP, Datenbank, Webserver und Betriebssystem innerhalb der unterstützten Herstellerlebenszyklen halten.

Konfiguration und Transport schützen¶

MRBS über HTTPS bereitstellen.
Zugriff auf config.inc.php begrenzen.
Datenbank-, SMTP-, LDAP- und API-Zugangsdaten nicht versionieren.
TLS-Gegenstelle und Hostnamen prüfen.
Zugangsdaten nach vermuteter Offenlegung wechseln.

Datenbankrechte¶

Ein dediziertes Laufzeitkonto mit nur benötigten Rechten verwenden. Wenn betrieblich möglich, Schemaänderungen bei Upgrades mit einem separaten Konto ausführen.

Sicherungen enthalten Buchungs- und Benutzerdaten und benötigen denselben Schutz wie die Produktionsdatenbank.

Öffentlicher Zugriff¶

Abgemeldetes Verhalten gezielt prüfen:

Sichtbarkeit von Buchungsdetails;
private Buchungen;
Suche und öffentliche Berichte;
Kioskmodus;
Kalenderexporte; sowie
Namen bei Registrierungen.

$auth['deny_public_access'] verwenden, wenn jeder Zugriff eine Sitzung erfordert.

Installationsdateien¶

Testwerkzeuge, SQL-Scripte, Sicherungen, Protokolle und Konfigurationskopien nicht über den Webserver bereitstellen. Dateien wie testdata.php gehören nur in Tests und dürfen nicht öffentlich erreichbar bleiben.

Protokollierung¶

Betriebsfehler ohne Zugangsdaten oder private Buchungsinhalte protokollieren. Zugangsdatenprotokollierung bleibt deaktiviert:

$auth['log_credentials'] = false;

Regelmäßige Prüfung¶

Regelmäßig kontrollieren:

Administratorkonten;
Bereichs- und Raumkontakte;
Schlüssel öffentlicher Berichte;
Geheimnisse des Identitätsanbieters;
Wiederherstellung von Sicherungen;
Abhängigkeiten und Releases; sowie
Web- und Anwendungsprotokolle auf unerwarteten Zugriff.