Schlank und agil
CMS-Serie: Geeklog 1.5.2. vorgestellt
Geeklog ist ein schlankes und agiles CMS-System auf PHP-Basis mit granularen Rechten im Unix-Stil und Sicherheit im Visier.
- CMS-Serie: Geeklog 1.5.2. vorgestellt
- Teil 2: CMS-Serie: Geeklog 1.5.2. vorgestellt
Geeklog wurde ursprünglich durch Jason Whittenburg für die Website Security Geeks entwickelt. Die Anfänge von Geeklog reichen bis in das Jahr 2000 zurück, doch erst in den letzten paar Jahren hat sich die Entwicklung rasant beschleunigt.
Blogs, Communities
Geeklog ist heute eine erweiterbare PHP/MySQL-basierte Webapplikation zur Verwaltung dynamischer Inhalte mit stark ausgeprägten Fähigkeiten im Bereich der Verwaltung von Blogs und Internet-Gemeinschaften. Es unterstützt alle gängigen Content-Syndication-Formate für den Import und Export von Daten, darunter RSS, RDF und Atom.
Ein leistungsfähiger Kalender unterstützt die personalisierte Zeitplanung. Zu den Stärken des Systems zählt außerdem die Kontrolle unerwünschter Ereignisse wie Fehlverhalten von Gemeinschaftsmitgliedern oder Spam-Attacken von außen.
Geeklog-Entwickler scheinen aktiv bemüht zu sein, dem Namen des Systems Rechnung zu tragen. Geeklog basiert auf einem Unix-ähnlichen Sicherheitsmodell, welches alle zu verwaltenden Objekte umfasst. Alle Passwörter werden verschlüsselt aufbewahrt, alle Fehler in allen Formularen und SQL-Anfragen sowie alle administrativen Zugriffe werden protokolliert.
Geeklog glänzt durch eine gut strukturierte Code-Basis und objektorientierten Ansatz der PHP-Programmierung. Die Datenbank-Abstraktionsebene ist sehr schlank, was ihre Portierung auf nicht direkt unterstützte Datenbankmanagementsysteme vereinfachen dürfte. MySQL und MSSQL werden direkt unterstützt.
Seit der Version 1.5 erfolgt die Einrichtung automatisch, was sich auf die Popularität des Systems positiv auswirkt. Die Standardinstallation von Geeklog mit der Unterstützung für Kommentare, Trackbacks, Spam-Schutz et cetera, kann durch externe Plugins um zusätzliche Funktionalitäten erweitert werden.Zu den besonders lobenswerten Features, die Geeklog auszeichnen, gehört eingebauter Schutz vor CSRF-Attacken (Cross-Site-Request-Forgery), der der mittels Tokens erzielt wird. Ein Token ist im Grunde genommen eine eindeutige ID zur Benutzerauthentifizierung, die aus Sicherheitsgründen lediglich für einen sehr kurzen Zeitraum gilt. Typischerweise wird der Token in dem Moment erzeugt, wenn der Benutzer ein Formular angezeigt bekommt.
Danach wird dieser Token zusammen mit den Formulardaten mit einer POST- (oder GET-) Anfrage gesendet. Bei der abschließenden Verarbeitung des Formulars wird die Gültigkeit des Tokens zur Sicherheit noch einmal geprüft.
CSRF-Abwehrmechanismen
Unter dem Begriff Cross-Site Request Forgery (kurz: CSRF oder XSRF) versteht man eine Website-übergreifende Manipulation von Seitenaufrufen. Cross-Site Request Forgery hat viele Namen, darunter One Click Attack, Sitejacking und Session Riding. Es handelt sich dabei konkret um einen Angriff mithilfe einer gefälschten Benutzeranfrage.
Das Opfer-System nimmt an, dass die Anfrage von einem vertrauenswürdigen Besucher herausgegangen ist und führt diese aus. Ein solcher Angriff hinterlässt auf dem betroffenen System keine verwertbaren Spuren, weil sich die Angreifer hinter die Identität und IP-Adresse eines anderen Opfers verstecken.
Der Angreifer tarnt sich gegenüber der Web-Applikation als ein vertrauenswürdiger, weil für eben diesen Zugriff bereits zuvor authentifizierter Benutzer. Oft kommt dabei auch XSS (Cross Site Scripting) ins Spiel: Der Angreifer gewinnt das Vertrauen eines unschuldigen Web-Besuchers, um wiederum das Vertrauen einer Webseite in diesen Benutzer auszunutzen.
Es gibt hierzu viele Methoden, doch in jedem Fall bleibt der betroffene Benutzer im Unklaren darüber, was wirklich passiert, und ist sich dessen nicht bewusst, dass alle Spuren auf ihn als Täter zeigen.
Bei einer CSRF-Attacke hat der Angreifer üblicherweise ziemlich gute Kenntnisse über den Aufbau der Website und ihren technischen Unterbau, nämlich das verwendete CMS-System. Das ist schon mal der erste Fehler: zu viel Transparenz. IT-Administratoren verlieren aber oft auch eine andere relevante Tatsache aus den Augen: Eine Firewall bietet keinen Schutz vor CSRF-Attacken.
Da diese Art von Attacke von der IP-Adresse des vermeintlich vertrauenswürdigen Benutzers herausgeht, der selbst ein Opfer darstellt, lässt sie sich nicht aufspüren; erst der entstandene Schaden holt den Vorfall ans Tageslicht. Aus diesem Grunde bekommt man von CSRF-Angriffen viel seltener zu hören als diese wirklich auftreten.
Anfang letzten Jahres hat eine koreanische Tochter von eBay über einen Angriff auf ihre Infrastruktur erst erfahren, nachdem persönliche Daten von 18 Millionen Kunden entwendet wurden. Kunden einer mexikanischen Bank fielen auf einen HTML-Tag in einer E-Mail herein und wurden durch ihre gehackten Heim-Router an eine gefälschte Webbanking-Adresse verwiesen.
Sogar Google wurde bereits Opfer einer CSRF-Attacker: Ein Benutzer von Google Gmail verlor vor nur knapp über einem Jahr durch einen CSRF-Angriff seine Internet-Domäne an einen Cyber-Dieb. In allen diesen Fällen kam allerdings ein anderes CMS-System zum Einsatz. Betreiber kleinerer Portale auf Basis eines schlüsselfertigen CMS-Systems sind in einer weitaus schwierigeren Lage, daher ist das Bewusstsein der Geeklog-Entwickler um CSRF sehr lobenswert.
Ein CMS-System sollte optimalerweise eine Authentifizierungsmethode nutzen, bei der die Daten den Client-Computer nur kurzfristig erreichen. Setzt die Web-Applikationen wie eben Geeklog dennoch Cookies ein, um Web-Besucher zu identifizieren, sollte ein zusätzlicher Prüfmechanismus implementiert werden.
Ein gutes Beispiel sind Web-Formulare mit einem versteckten Formularfeld, das von Seite zu Seite einen geheimen Wert übergibt, anhand dessen die Web-Applikation die Benutzeridentität überprüfen kann: das sogenannte Token. Geeklog nutzt eben diese Methode.
Tokens werden in Geeklog in der sogenannten gl_tokens-Tabelle gespeichert, welche mit der Geeklog-Version 1.5.0 eingeführt wurden. Alle Installationen des CMS-Systems sollten daher die aktuelle Version 1.5.2sr1 verwenden.
