Quelltext der Seite Sicherheitsempfehlungen

{{Sicherheit}}

Jede Web-Applikation-Software ist hoch komplex, und jede Software hat Sicherheitsrisiken bzw. -lücken, die von Zeit zu Zeit entdeckt werden. Häufig ist das der Fall, wenn bei der Programmierung bestimmte Eingabemöglichkeiten nicht berücksichtigt wurden. Im Moodle-Projek wird das Thema [[Sicherheit]] sehr ernst genommen, und identifizierte Sicherheitslücken werden so schnell wie möglich geschlossen.


==Einführung==

*Dieser Artikel enthält wichtige Sicherheitshinweise für Ihre Moodle-Installation.
*Sicherheitsprobleme sollten Sie im [http://tracker.moodle.org/secure/CreateIssue!default.jspa  Moodle tracker] melden und als "Security issue" kennzeichnen, damit die Moodle-Entwickler/innen es schnell beheben können und registrierte Moodle-Administrator/innen entsprechend informieren können.
*Sie sollten keine Exploits in Foren auf moodle.org oder sonstwo im Web posten, um Moodle-Administrator/innen bzw. deren Installationen zu schützen, die nicht rechtzeitig aktualisiert haben bzw. wurden.

==Einfache Sicherheitsmaßnahmen==
*Die beste Sicherheitsstrategie ist ein gutes [[Sicherung der Moodle-Installation|Backup]]. 
:'''Wichtig''': Ein Backup ist erst dann "gut", wenn Sie es wiederherstellen können. Testen Sie also, ob Sie die Sicherung Ihrer Moodle-Installation auch wiederherstellen können!
*Installieren Sie nur Software, die Sie auch wirklich benötigen und nutzen.
*Führen Sie regelmäßig Updates durch.
*Kümmern Sie sich um die Sicherheit auf verschiedenen Ebenen (Betriebssystem/Server, Webserver, Datenbankserver, Moodle).

==Grundlegende Empfehlungen==
*[[Aktualisierung von Moodle|Aktualisieren]] Sie Ihre Moodle-Installation regelmäßig und verwenden Sie möglichst immer die aktuellste Version.
:Veröffentlichte Sicherheitslücken ziehen die Aufmerksamkeit von Hacker/innen auf sich! Je älter Ihre Moodle-Version ist, um so mehr Schwachstellen kann sie enthalten. 
*Die Einstellung ''register_globals'' in der PHP-Konfigurationsdatei ''php.ini'' '''muss deaktiviert''' sein!
:Das hilft, XSS-Probleme durch Skripte von Dritten zu vermeiden.
*Verwenden Sie starke Passwörter für Administrator/innen und Trainer/innen!
:Die Verwendung von "schwierigen" Passwörtern ist die beste Maßnahme gegen das Knacken von Nutzerkonten ("brute force" Attacken).
*Vergeben Sie die [[Trainer-Rolle]] nur an vertrauenswürdige Nutzer/innen. Vermeiden Sie freie Trainer-Nutzerkonten auf produktiven Moodle-Servern.
:Nutzer/innen in der [[Trainer-Rolle]] haben weitreichende [[Rechte]], so dass hier viel schneller Situationen entstehen können, die zum Missbrauch von Daten führen.
*Separieren Sie Ihr System so weit wie möglich von anderen Systemen und Anwendungen.
:Eine grundlegende Sicherheitsvorkehrung ist die Verwendung von verschiedenen Passwörtern auf verschiedenen Systemen und die Nutzung von verschiedenen Rechnern für verschiedene Anwendungen und Dienste. Dadurch verhindern Sie die Ausbreitung des Schadens im Fall, dass ein System oder Nutzerkonto kompromittiert wurde.

==Regelmäßige Aktualisierungen durchführen==
*Verwenden Sie automatische Update-Systeme.
*Windows Update 
*Linux: up2date, yum, apt-get
:Eine Möglichkeit ist die Durchführung automatischer Aktualisierungen per Skript und Cron-Job. 
*Mac OS X Update-System
*Verwenden Sie aktuelle Versionen von PHP, Apache, MySQL und Moodle.

==Mailinglisten verwenden==
Nutzen Sie Mailinglisten, um auf aktuellem Stand zu bleiben:
*CERT - http://www.us-cert.gov/cas/signup.html
*PHP - http://www.php.net/mailing-lists.php - abonnieren Sie die '''PHP Announcements''' 
*MySQL - http://lists.mysql.com - abonnieren Sie die '''MySQL Announcements'''

==Firewall==
*Sicherheitsexperten empfehlen eine duale Firewall.
:Unterschiedliche Hardware- und Software-Kombinationen 
*Das Deaktivieren von Diensten, die nicht benötigt werden, ist häufig genau so effektiv wie eine Firewall.
:Verwenden Sie den Befehl <code>netstat -a</code>, um offene Ports zu prüfen.
*Eine Firewall allein bietet keine Garantie auf Schutz!
*Erlaubte Ports: 
:80 (http), 443(ssl) und 9111 (für Chat), 
:Remote Admin: 22 (ssh) oder 3389 (rdp)

==Kennwortregeln==
Sie können auf der Seite ''[[Einstellungen-Block|Einstellungen]] > Website-Administration > Sicherheit > [[Website-Rechte]]'' Kennwortregeln festlegen.  Wenn Sie auf dieser Seite die Checkbox ''Kennwortregeln'' aktivieren, dann prüft Moodle die Kennwörter der Nutzer hinsichtlich der nachsteheneden Kennwortregeln:
* ''Kennwortlänge'' legt die minimale Anzahl von Zeichen im Kennwort fest.
* ''Ziffern'' legt die minimale Anzahl von Ziffern fest, die ein Kennwort enthalten muss.
* ''Kleinbuchstaben'' legt die minimale Anzahl von Kleinbuchstaben fest, die ein Kennwort enthalten muss.
* ''Großbuchstaben'' legt die minimale Anzahl von Großbuchstaben fest, die ein Kennwort enthalten muss.
* ''Sonderzeichen'' legt die minimale Anzahl von Sonderzeichen fest, die ein Kennwort enthalten muss.
Wenn Nutzer/innen ein Kennwort eingeben, dass diesen Regeln nicht genügt, erscheint eine entsprechende Fehlermeldung.

Wenn Sie diese Kennwortregeln aktivieren und Ihre Nutzer/innen anhalten, ihr Anfangskennwort beim erstmaligen Login zu ändern, dann sind Sie auf einem guten Weg hin zur Nutzung von "starken" Passwörtern. Doch Achtung: Wenn Sie die Regeln zu strikt wählen, können sich die Nutzer/innen ihre Kennwörter nicht merken und schreiben sie einfach auf einen Zettel!

==Kennwortverschlüsselung (Salt)==
Kennwörter werden als MD5 Hashwerte in der Moodle-Datenbank gespeichert. Es ist relativ einfach, einfache Passörter aus einem einfachen Hashwert zu entschlüsseln. Um dies zu verhindern, verwendet Moodle eine [[Kennwortverschlüsselung (Salt)]].

==Seien Sie auf das Schlimmste vorbereitet!==
*Halten Sie Ihre [[Sicherung der Moodle-Installation|Backups]] bereit.
*Testen Sie, ob Sie Ihre Backups wiederherstellen können. 
*Nutzen Sie in regelmäßigen Abständen einen Rootkit Detector, z.B. 
**Linux /Mac OS X - http://www.chkrootkit.org/ 
**Windows - http://www.sysinternals.com/Utilities/RootkitRevealer.html

==Moodle Sicherheitwarnungen==
*Registrieren Sie Ihre Moodle-Installation auf moodle.org.
:Administrator/innen registrierter Moodle-Installationen erhalten E-Mail-Benachrichtigungen, wenn Sicherheitslücken in Moodle entdeckt wurden.
*Sicherheitswarnungen werden auch online herausgegeben:
**Web - http://moodle.org/security
**RSS feed - http://moodle.org/rss/file.php/1/1/forum/996/rss.xml

==Weitere Maßnahmen==
Um die Gesamtsicherheit Ihres Systems zu verbessern, beachten Sie bitte folgende Hinweise:
*Alktivieren Sie die strenge Prüfung der Pflichtfelder in Formularen, siehe [[Website-Rechte]].
*Setzen Sie das MySQL Root Passwort.
*Deaktivieren Sie den MySQL Netzwerkzugriff.
*Verwenden Sie SSL, d.h. aktivieren Sie zumindest die [[HTTP-Sicherheit|Einstellung ''loginhttps'']].
*Verwenden Sie starke Passwörter und aktivieren Sie die [[Website-Rechte|Kennwortregeln]].
*Öffnen Sie Ihre Moodle-Installation '''nicht''' für Google, siehe [[Website-Rechte]].
*Schalten Sie das Gast-Login ab, siehe ''[[Einstellungen-Block|Einstellungen]] > Website-Administration > Plugins > Authentifizierung > Übersicht''.
*Verwenden Sie in allen Kursen [[Kursschlüssel]].
*Deaktivieren Sie den Hinweis zum Kursschlüssel.

==Die sichersten/paranoidesten Dateirechte==

'''Hinweis: Die folgenden Empfehlungen gelten nur für Linux-basierte Systeme. Dateirechte unter MS Windows funktionieren ganz anders!'''

Es gibt zwei verschiedene Szenarien für Ihre Serverkonstellation:
# Ihr Moodle läuft auf einem eigenen Server.
# Ihr Moodle läuft in einer Shared Hosting Umgebung.

In der nachfolgenden Beschreibung ist immer wieder vom Webserver-Nutzer und von der Webserver-Gruppe die Rede, für den Dateirechte gesetzt werden. Wie dieser Nutzer bzw. diese Gruppe heißt kann von System zu System variieren (z.B. ''apache'' oder ''www-data''). Um das herauszufinden, melden Sie sich in Ihrem Moodle-System als Administrator/in an und schauen dann unter ''[[Einstellungen-Block|Einstellungen]] > Website-Administration > Server > [[PHP-Informationen]]'' im Abschnitt ''apache2handler'', Einstellung ''User/Group'' nach.

=== Moodle auf einem eigenen Server ===
In diesem Fall gehen wir davon aus, dass 
*Ihr Moodle auf einem eigenen Server läuft, 
*auf diesem Server sind keine Anmeldungen von Nutzern erlaubt sind
*und Sie als Server-Administrator verantwortlich für Änderungen im Moodle-Code in der Moodle-Konfigurationsdatei ''config.php'' sind. 

Dann sind die striktesten Dateirechte folgende:
* Moodle-Datenverzeichnis und alle darin enthaltenen Unterverzeichnisse und Dateien:
  Besitzer (owner): apache user (apache, httpd, www-data, o.ä. - siehe oben)
  Gruppe (group): apache group (apache, httpd, www-data, o.ä. - siehe oben)
  Dateirechte (permissions): 700 für Verzeichnisse, 600 für Dateien

*Moodle-Verzeichnis und alle darin enthaltenen Unterverzeichnisse und Dateien (inclusive ''config.php''):
  Besitzer (owner): root
  Gruppe (group): root
  Dateirechte (permissions): 755 für Verzeichnisse, 644 für Dateien

Wenn Sie lokale Anmeldungen für "echte" Nutzer auf Ihrem Server zulassen, dann sollten Sie für das [[Moodle-Verzeichnis]] folgende Einstellungen wählen:
  Besitzer (owner): root
  Gruppe (group): apache group (apache, httpd, www-data, o.ä. - siehe oben)
  Dateirechte (permissions): 750 für Verzeichnisse, 640 für Dateien

Betrachten Sie diese Rechte als die "paranoidesten". Sie können Ihren Server auch mit weniger strengen Dateirechten für das Moodle-Verezichnis und das Moodle-Datenverzeichnis sicher betreiben.

=== Moodle in einer Shared Hosting Umgebung ===
Wenn Ihr Moodle-System in einer Shared Hosting Umgebung läuft, dann sind die obigen Einstellungen wahrscheinlich nicht geeignet bzw. falsch. Wenn Sie nämlich die Dateirechte auf 700 für Verzeichnisse und 600 für Dateien setzen, dann hat der Webserver-Nutzer wahrscheinlich keinen Zugriff auf Ihre Verzeichnisse und Dateien. 

Wenn Sie Ihre Dateirechte dennoch so strikt wie möglich setzen möchten, benötigen Sie folgende Informationen:
*den Nutzer und die Gruppe des Webserver-Nutzers (siehe oben),
*den Besitzer der Verzeichnisse und Dateien im Moodle-Verzeichnis und im Moodle-Datenverzeichnis (normalerweise ist das der Nutzer, als der Sie bei Ihrem Provider registriert sind und als der Sie sich auf den Server des Providers anmelden) sowie die Gruppe dieser Verzeichnisse und Dateien. An diese Informationen gelangen Sie über den Dateimanager Ihres Hosting Control Panels: Wechseln Sie ins Moodle-Verzeichnis und versuchen Sie, dessen Besitzer/Gruppe/Dateirechte zu ändern. Dann erhalten Sie normalerweise die aktuellen Daten (Besitzer/Gruppe/Dateirechte) angezeigt. Tun Sie dasselbe mit dem Moodle-Datenverzeichnis.

In Abhängigkeit davon, wie Ihre Situation ist, setzen Sie für das Moodle-Datenverzeichnis folgende Dateirechte (die Auflistung erfolgt mit abnehmender Sicherheit, d.h. die strikteste Einstellung steht an erster Stelle in der Liste):
# Wenn der Webserver-Nutzer und der Besitzer der Dateien und Unterverzeichnisse im Moodle-Datenverzeichnis übereinstimmen, wählen Sie 700 für Verzeichnisse und 600 für Dateien.
# Wenn die Webserver-Gruppe und die Gruppe der Dateien und Unterverzeichnisse im Moodle-Datenverzeichnis übereinstimmen, wählen Sie 770 für Verzeichnisse und 660 für Dateien. 
# Wenn keine der beiden obigen Situationen vorliegt, können Sie nur die (unsichere) Einstellung 777 für Verzeichnisse und 666 für Dateien wählen. Die Einstellungen 707 für Verzeichnisse und 606 für Dateien wäre sicherer und kann funktionieren, muss aber nicht.

Tatsächlich müssen Sie die obigen Einstellungen nur für das Moodle-Datenverzeichnis vornehmen, da alle Dateien und Unterverzeichnisse innerhalb des Moodle-Datenverzeichnisses vom Webserver-Nutzer erzeugt werden und daher automatisch die richtigen Dateirechte haben.

Für das Moodle-Verzeichnis gilt folgendes: Solange der Webserver-Nutzer Dateien innerhalb des Verzeichnisses lesen und Unterverzeichnisse lesen und ausführen kann, genügt das. Einziger Nachteil ist, dass Sie die Moodle-Konfigurationsdatei ''config.php'' während der Installation manuell erstellen müssen, da Moodle (bzw. der Webserver-Nutzer) diese nicht erstellen kann (weil er keine Schreibrechte auf dem Moodle-Verzeichnis hat).

==Siehe auch==

*[[Sicherheit FAQ]]
Diskussionsbeiträge im Kurs ''Using Moodle'' auf moodle.org:
*[http://moodle.org/mod/forum/discuss.php?d=39404 Guide to Securing your Moodle Server]
*[http://moodle.org/mod/forum/discuss.php?d=93561 How to secure Moodle website from hacking] - Empfehlungen für den Ernstfall


[[en:Security recommendations]]