Idee Ansatz für privates Forum

[feldmaus]

Guten Abend,

ich würde gerne für meinen Freundes-Kreis ein privates/sicheres Forum erstellen, auf einem kleinen Server. Betriebsystem natürlich debian-basiert, aber noch in der Mache. Da ich mittlerweile so viele negative Nachrichten bezüglich Sicherheit über Web-Server gehört habe, wollte ich mir von Euch eine Meinung einholen.

Habt ihr ein paar Empfehlungen auf die ich auf jeden Fall achten sollte? Spezielle Dienste?

Ich war am überlegen, ob man einen SSH-Server und einen nur lokal laufenden Web-Server einrichtet. Die Nutzer können sich dann per Terminal verbinden und eine Web-Software imTerminal starten. Was haltet ihr davon? Das mit den Bildern wäre halt ein wenig blöde.

Was haltet ihr davon?

Grüße

[TRex]

Ich halte den SSH-Zugriff für viel "gefährlicher".

so viele negative Nachrichten bezüglich Sicherheit über Web-Server

Siehst du das debianforum brennen? Also ich würde das nicht verkomplizieren. Spiel regelmäßig updates ein, auch von der Software, die ggf. nicht aus den debian-Repos installiert wird, und du hast wenig zu befürchten.

Wenn du nen Extra-Layer Security haben möchtest, häng Basic Auth davor.

Wenn dir das nicht genug ist, installier nen VPN-Server.

[Meillo]

Spiel regelmäßig updates ein, auch von der Software, die ggf. nicht aus den debian-Repos installiert wird, und du hast wenig zu befürchten.

Das regelmaessige Updaten, von den Bugfixes mitzubekommen und zeitnah zu reagieren kann nervig werden, wenn die Forensoftware nicht ueber die Paketverwaltung installiert wird.

Wenn du nen Extra-Layer Security haben möchtest, häng Basic Auth davor.

Das finde ich einen guten Vorschlag, weil man so die Sicherheitsluecken der Webanwendung (die vermutlich die meisten Luecken hat und deren Update-Prozess den groessten Aufwand erzeugt), aus dem Spiel nimmt.

[Korodny]

Da du "sicher" nicht definierst hast, kann man nur raten ob es um die Sicherheit des Servers geht, oder um die Sicherheit der Daten/Gespräche.

Billiger Webspace (nicht -server) bei irgendeinem Massenhoster, phpBB2 installieren, HTTP-Auth davor um Bot- und SPAM-Angriffe abzuwehren, außerdem täglich Backups per Cron-Job auf einen anderen Server - viel risikoärmer wird sich ein Forum kaum betreiben lassen. Und wenn wider Erwarten doch was passiert, ist in kürzester Zeit der Zustand vom Vortag wieder hergestellt.

Wenn du dagegen verhindern willst, dass jemand ungebeten mitliest oder Zugriff auf die Benutzerdaten bekommt oder überhaupt von der Existenz des Forums erfährt, wirst du deutlich mehr Aufwand treiben müssen.

[feldmaus]

Hängt "Basic Auth" mit Apache zusammen oder welchem Paket?

Bringt es was, wenn ich Zertifikate direkt auf den Clients installiere. Und nur mit diesen Zertifikaten kann man sich per https verbinden.

[TRex]

Hängt "Basic Auth" mit Apache zusammen oder welchem Paket?

Ja natürlich, https://de.wikipedia.org/wiki/HTTP-Auth ... entication

Bringt es was, wenn ich Zertifikate direkt auf den Clients installiere. Und nur mit diesen Zertifikaten kann man sich per https verbinden.

Das wäre ein deutliches Plus an Sicherheit. Interessant, dass du Client-Zertifikate kennst, aber bei Basic Auth nachfragen musstest.

[DeletedUserReAsG]

Ich möchte das mal auf das Wesentliche reduzieren: man kann ein Forum sicher betreiben, wenn man weiß, was man tut. Im Umkehrschluss kann man es nicht, wenn einem grundlegendes Verständnis von der Materie fehlt, und man die simpelsten Sachen nachfragen muss.

Wer es dennoch macht, und es vielleicht noch so darstellt, als ob er sich auskennen würde, und die User damit in falschen Sicherheit wiegt, handelt unmoralisch.