Bron bekijken

Webapplicaties zijn complex en er steken van tijd tot tijd wel eens beveiligingskwesties de kop op. Vaak gaat het dan om combinaties van input die de programmeurs niet hadden voorzien. Binnen het Moodle project wordt veiligheid serieus genomen en worden dergelijke issues direct verholpen zodra ze worden gevonden.

==Woord vooraf==
*In dit artikel vindt u belangrijke maatregelen voor de beveiliging van uw Moodle installatie.
*Vriendelijk verzoek om veiligheidsproblemen direct te melden op http://security.moodle.org. Ontwikkelaars kunnen deze namelijk altijd over het hoofd zien en om aanvallen te voorkomen dienen deze problemen te zijn opgelost voordat ze naar het brede publiek worden gepuliceerd.
*Plaats aub om dezelfde reden geen exploits op forums of in de bugtracker.

==Eenvoudige veiligheidsmaatregelen==
*De beste beveiligingsstrategie is een goede backup! Maar u heeft geen goede backup als u deze niet daadwerkelijk kunt herstellen. Test daarom uw herstel procedures!
*Start alleen software en services op die u daadwerkelijk gebruikt
*Voer regelmatig updates uit
*Bouw de beveiliging van uw Moodle site op in lagen, zoals de kleding die u draagt op een koude winterdag.

==Basale maatregelen==
*Update Moodle regelmatig na elke release
:Gepuliceerde zwakke plekken trekken de aandacht van hackers na een release. Hoe ouder de versie, des te meer zwakke plekken deze waarschijnlijk zal bevatten.
*zet ''register globals'' uit
:hiermee voorkomt u mogelijke XSS problemen in scripts van derden. 
*Gebruik "sterke" wachtwoorden voor administrators en docenten
:Met moeilijke wachtwoorden voorkomt u "brute kracht" pogingen om accounts te kraken.
*Verleen alleen docentenaccounts aan gebruikers die u vertrouwt en vermijd pulieke sandboxes met docentenaccounts op productie servers.
:Met docentenpermissies kunnnen makkelijker situaties ontstaan waarin gegevens worden misbruikt of gestolen.
*Breng zo veel mogelijk scheiding aan in uw systemen. 
:Een andere basismaatregel is het gebruiken van verschillende wahtwoorden op verschillende systemen, verschillende machines voor verschillende services enz.  Zo voorkomt u wijdverspreide schade als de beveiliging van een enkele account of server is doorbroken.

==Verricht regelmatig updates==
*Gebruik automatische update systemen
:Windows Update 
:Linux: up2date, yum, apt-get
:Mac OSX update systeem
*Automatiseer updates met behulp van het cron script 
*Blijf bij met php, apache en moodle versies

==Gebruik mailings lijsten om bij te blijven==
*CERT - http://www.us-cert.gov/cas/signup.html
*PHP - http://www.php.net/mailing-lists.php - meld u aan voor de Announcements list
*MySQL - http://lists.mysql.com - meld u aan voor MySQL Announcements

==Firewalls==
*Beveiligingsexperts raden dubbele firewalls aan
:Verschillende hard- en software combinaties 
*Uitzetten van ongebruikte services is vaak net zo effectief als een firewall
*Gebruik netstat -a om open network poorten te bekijken
:Biedt geen garantie voor bescherming
*Zet de volgende poorten open: 
:80, 443(ssl), en 9111 (chat), 
:Remote admin: ssh 22, of rpd 3389

==Bereid u voor op het ergste==
*Houd backups gereed
*Oefen alvast met de herstel procedures
*gebruik regelmatig een rootkit detector
**Linux/MacOSX - http://www.chkrootkit.org/ 
**Windows - http://www.sysinternals.com/Utilities/RootkitRevealer.html

==Moodle veiligheidsmeldingen==
*Registreer uw Moodle site op Moodle.org
:Geregistreerde gebruikers ontvangen email waarschuwingen
*Veiligheidsmeldingen worden ook online gepubliceerd
:Web - http://security.moodle.org/ 
:RSS feed - http://security.moodle.org/rss/file.php/1/1/forum/1/rss.xml

==Overig==
Onderstaand nog een aantal zaken die de algemene veiligheid van uw Moodle installatie beinvloeden:
*Zet uit: opentogoogle
*Gebruik SSL, httpslogins=yes
*Zet uit: guest access
*Gebruik sleutels voor alle cursussen 
*Gebruik goede wachtwoorden
*Gebruik de secure forms setting
*Set het mysql root user wachtwoord
*Zet mysql netwerk toegang uit

==Bestandenpermissies voor optimale veiligheid==
Aangenomen dat uw Moodle installatie op een sealed server draait, (dwz geen gebruiker logins toegestaan op de machine) en dat de root user verantwoordelijk is voor aanpassingen aan de moodle code en configuratie (config.php), dan zijn dit de veiligste instellingen:

1. moodledata map en alle inhoud (submappen, inclusief sessies):
 owner: apache user (apache, httpd, www-data, whatever)
 group: apache group (apache, httpd, www-data, whatever)
 perms: 700 on directories, 600 on files

2. moodle map, alle inhoud en submappen (inclusief config.php):
 owner: root
 group: root
 perms: 755 on directories, 644 on files.

Als u lokale logins toestaat, moet 2 zijn:
 owner: root
 group: apache group
 perms: 750 on directories, 640 on files

NB. Deze instellingen zijn het meest vergaand wat betreft beveiliging. U kunt met minder strikte permissies redelijk beveiligd zijn voor de mappen moodledata en moodle (inclusief submappen).

==Zie ook==
* de Using Moodle forum discussie [http://moodle.org/mod/forum/discuss.php?d=39404 Guide to Securing your Moodle Server]

[[Category:Beheerder]]