Bezpečnosť redakčného systému

Po nedávnej vlne útokov na slovenské a české stránky sme do redakčného systému 1st CMS implementovali systém detekcie útokov na web stránku. Pre administračné rozhranie sme zase doplnili bezpečnostné pravidlá a funkcie. Celý bezpečnostný model redakčného systému je navrhnutý podľa pravidiel a odporúčaní organizácie OWASP, ktorá sa zaoberá bezpečnosťou webových aplikácií.

Systém detekcie útokov

Redakčný systém 1st CMS neustále monitoruje a vyhodnocuje údaje z formulárov, url adresy a cookies a chráni tak web stránky a skripty, ktoré sú v nich spúšťané. V prípade detekcie útoku sú zaslané údaje zablokované a útočník je presmerovaný na hlavnú stránku.

Príklad útoku "SQL injection":
Pri tomto type útoku zadá útočník stránke špeciálne upravený reťazec, ktorý ak nie je správne ošetrený, tak je vykonaný ako súčasť dotazu na databázu. Útočník tak môže získať alebo zmeniť údaje v databáze.

Systém detekcie útokov si môžete vyskúšať priamo na tejto stránke. Stačí, ak do formulára pre vyhľadávanie zadáte reťazec: ' or '1'='1

Bezpečnostné pravidlá a funkcie

Pre zvýšenie bezpečnosti prístupu do administračného rozhrania sme zaviedli pravidlá a funkcie, ktoré útočníkom minimalizujú šancu získať heslo:

Sila hesla
Heslo musí obsahovať aspoň 7 znakov a obsahovať aspoň jedno malé a jedno veľké písmeno a jednu číslicu
Starnutie hesla
Heslo sa musí pravidelne meniť. Ak je heslo používané príliš dlho, redakčný systém upozorní používateľa, aby si ho zmenil
Automatické odhlásenie
V prípade nečinnosti používateľa ho redakčný systém po zadanom čase odhlási
Zmena hesla
Zmena hesla a ostaných nastavení používateľa je možná len po zadaní aktuálneho hesla
Ďalšie bezpečnostné funkcie
- heslá sú v databáze uložené zakryptované s náhodným reťazcom (salted hash)
- po prihlásení sa zmení id session (obrana pred útokom typu "session hijacking")
- po neúspešnom pokuse o prihlásenie treba pár sekúnd čakať (obrana pred útokom typu "brute force")

Máte nejakú otázku ohľadne bezpečnosti? Kontaktujte nás a radi Vám ju zodpovieme.

Prečítajte si aj o moduloch, ktoré obsahuje redakčný systém 1st CMS.