Securitate¶

Securitatea depinde de serverul web, PHP, baza de date, configurația MRBS și furnizorul de identitate ales.

Păstrați software-ul la zi¶

MRBS 1.12.2 conține remedieri de securitate, inclusiv protecții împotriva redirecționărilor deschise și falsificarea cererilor pe partea serverului. Monitorizați versiunile ulterioare și recomandările de securitate, în loc să tratați 1.12.2 ca fiind permanent actual.

Păstrați PHP, baza de date, serverul web și sistemul de operare în ciclurile de viață acceptate ale furnizorului.

Protejați configurația și comunicațiile¶

Serviți MRBS peste HTTPS.
Restricționați accesul la config.inc.php.
Păstrați baza de date, SMTP, LDAP și acreditările API în afara controlului sursei.
Verificați TLS colegii și numele de gazdă.
Rotiți acreditările după o expunere suspectată.

Privilegii baze de date¶

Utilizați un cont dedicat bazei de date de rulare. Acordați numai privilegiile necesare aplicației. Utilizați un cont separat de schimbare a schemei pentru upgrade-uri acolo unde este practic din punct de vedere operațional.

Backup-urile conțin date despre rezervări și utilizatori și necesită aceeași protecție ca și baza de date de producție.

Acces public¶

Examinați în mod explicit comportamentul deconectat:

vizibilitatea detaliilor rezervării;
rezervări private;
căutări și rapoarte publice;
modul chioșc;
exporturi de calendare; şi
nume de înregistrare.

Utilizați $auth['deny_public_access'] când toate accesul ar trebui să necesite o sesiune.

Fișiere de instalare¶

Nu expuneți utilitarele de testare, scripturile SQL, copiile de rezervă, jurnalele sau copiile de configurare prin serverul web. Fișierele precum testdata.php sunt pentru testare și nu trebuie să rămână accesibile publicului.

Înregistrare¶

Înregistrați erorile operaționale fără acreditări sau conținut privat de rezervare. Înregistrarea acreditărilor este dezactivată în mod implicit și ar trebui să rămână dezactivată:

$auth['log_credentials'] = false;

Revizuire de rutină¶

Examinați în mod regulat:

conturi de administrator;
contacte cu administratorul de zonă și sală;
chei de raport public;
secretele furnizorului de identitate;
restaurare de rezervă;
dependență și actualizări de lansare; şi
jurnalele web și ale aplicațiilor pentru acces neașteptat.