Immer wieder, kommt das Thema „Security by obscurity“ in den Joomla!-Foren auf. Aus diesem Grund bieten wir hier mehr Informationen zu diesem Thema.
Was ist „Security by obscurity“?
Stellen Sie sich vor, Sie verstecken einen Haustürschlüssel in der Blumenvase vor Ihrem Haus oder einen Schlüssel unter der Fußmatte. Denn wenn Sie sich versehentlich ausgesperrt haben, können Sie so ohne Kosten für einen Schlüsseldienst wieder ins Haus.
Dieses Versteck ist aber nur solange sicher, wie keiner es durch Zufall findet oder Sie beobachtet. Sobald jemand den Schlüssel findet kann er ohne einzubrechen in Ihr Haus.
„Sicherheit durch Verschleierung“ ist ein Extra!
Genau so ist das auch bei einer Website, wenn Sie die „Verschleierung“ als einzige Maßnahme zum vermeintlichen Schutz treffen, haben Sie keine Sicherheit geschaffen. Wenn Sie mehr Sicherheit schaffen wollen, dürfen Verschleierungsmaßnahmen nur zusätzlich zum vorhandenen Schutz ergänzt werden.
Joomla!-Erweiterungen
Gerade Entwicklungen von Drittanbietern, also nicht vom Joomla!-Core-Team, sind besonders anfällig für Sicherheitslücken, wie unsere Liste mit unsicheren Erweiterungen zeigt.
Sicherheit bei Software kann nur durch sichere Programmierung geschaffen werden und nicht durch alleinige Verschleierung!
Nun gibt es mehrere Wege gegen diese unsicheren Joomla!-Erweiterungen. Die erste und sicherste Vorgehensweise wäre, eine gefährdete Erweiterung nicht einzusetzen. Sofern dies möglich ist, ist das unsere Empfehlung. Man könnte aber auch durch eine Htaccess-Datei bestimmte mögliche Sicherheitslücken abfangen und den Angreifer im Dunkeln tappen lassen. Dies ist aber riskant, da man nie alle Lücken kennt und auch mit einer Htaccess-Datei schließen kann.
Nachfolgend einige Fälle der „Verschleierung“, die zur zusätzlichen Sicherheit beitragen können, wenn sogenannte „Script Kiddies“ die Internetseite angreifen. Sollte ein „richtiger“ Hacker Ihre Website angreifen, findet er die Information definitiv, es ist nur alles eine Frage der Zeit.
Umso weniger Informationen die Angreifer erhalten, über die Website, desto schwieriger wird es für den Angreifer und unrentabler. In der heutigen Zeit werden die Angriffe automatisiert. Schlägt dieses fehl, wird der Versuch abgebrochen und es geht zur nächsten Website. Ein gezielter Angriff auf der Website hat meist wirtschaftliche oder politische Interessen und kommt daher nur „vereinzelt“ vor.
