Guidelines für Sicherheit (Injektions, CSRF, ...) about tricks HOT 12 OPEN

https://observatory.mozilla.org und die empfohlenen Schritte beim Hoster durchführen. Erlaubt es das Hosting nicht, dann hier.

from tricks.

https://addons.mozilla.org/en-US/firefox/addon/laboratory-by-mozilla/

from tricks.

Aus Slack:
@dergel

csrfprotection, schütz einem davor, dass man einen link/formular untergejubelt bekommt, welcher dann irgendeine aktion ausführt.. Das gilt allgemeine für Formulare und auch für Links (z.B. delete Links) .. d.h. es nicht alles muss man mit eine csrf_token versehen, sondern nur fälle, die etwas verändern.. z.B. suchen sind nicht nötig etc-

$_csrf_key = ‘meinkey_addon_subpage’;
$csrf = rex_csrf_token::factory($_csrf_key);

$func = ‘delete’;

if ($func = ‘delete’) {
if (!$csrf->isValid()) {
echo rex_view::error(rex_i18n::msg(‘csrf_token_invalid’));
} else {
// meine deleteaktion
}
}

$delete_link = http_build_url(“index.php?page=addon/subpage”, [“delete” => “func”] + $csrf->getUrlParams() ),

@gharlan

1. rex_form: csrf-schutz immer aktiv, da muss man nichts anpassen

2. api funcs: diese methode in der klasse ergänzen: https://github.com/redaxo/redaxo/blob/master/redaxo/src/addons/install/lib/api_core_update.php#L183-L186
   Und den link anpassen: https://github.com/redaxo/redaxo/blob/master/redaxo/src/addons/install/pages/packages.update.php#L40

3. yform .. ist immer da.. kann man aber deaktivieren

4. eigene aktionslinks: token am link hinzufügen und selbst prüfen ob valide vor ausführung der aktion

5. eigene formulare: token als hidden attribute hinzufügen und selbst prüfen ob valide nach absenden

from tricks.

bei 2b verstehe ich die Notwendigkeit und die nötige Anpassung nicht.
zu 4. und 5. braucht es für mich noch mehr Erläuterungen, um sie zu verstehen.

from tricks.

https://wiki.selfhtml.org/wiki/Grundlagen/sichere_Cookies

Sichere Cookies:

(alternativ beim Hosting)

Danke @engel4u @skerbis für die Diskussion dazu im Chat.

Welche Angaben würdest du empfehlen? @skerbis

from tricks.

https://github.com/alexplusde/yform_spam_protection/ und https://github.com/yakamara/redaxo_yform_docs/blob/master/de_de/demo_kontakt-spamschutz.md passen hier ebenfalls in eine Doku-Tricks-Seite rein, da Versand von Bestätigungs-E-Mails an fremde Postfächer ohne Spamschutz zum Sicherheitsproblem werden kann. (Abwertung der Domain, Blacklist, Versand von Phishing-Mails)

from tricks.

https://securityheaders.com/ kennt das jemand und ist das hier evtl. auch interessant!?

from tricks.

@aeberhard https://securityheaders.com/ ist in https://observatory.mozilla.org integriert
(Third-party Tests)

from tricks.

Ah, hatte ich nicht gesehen :)

from tricks.

• Redakteuren keine Eingaben zu PHP-Code direkt zur Verfügung stellen

from tricks.

Warum geschlossen, dann wieder geöffnet? Was fehlt noch bzw was soll geändert werden?

from tricks.

ich möchte es für Ergänzungen gerne offen lassen. Das Thema ist immer aktuell :-)

from tricks.