Sicherheit durch Design in OTRS 8
11/05/2020 |

Sicherheit durch Design in OTRS 8

OTRS 8 wurde nach den Prinzipien von Security by Design entwickelt.
Lesen Sie, was sich in der neuen Version geändert hat.

Laptop shows OTRS screen on a desk with headline tech talk

Dieser Blog-Artikel untersucht sechs signifikante Verbesserungen in der Softwaresicherheit von OTRS 8 gegenüber früheren Versionen. Wir werden uns ansehen, wie sie sich auf Entwickler, Administratoren und Benutzer auswirken.
Das Prinzip „Security by Design“ betrifft verschiedene Aspekte der OTRS Software. Es:

  • sichert die Software-Architektur,
  • hilft Entwicklern beim Schreiben von sicherem Code,
  • ermutigt die Benutzer, verantwortungsbewusst mit ihrem System zu arbeiten und
  • unterstützt Administratoren bei der sicheren Konfiguration ihres Systems.

Im Folgenden betrachten wir sechs Beispiele für Security by Design in OTRS 8. Nachdem wir einige technische Details betrachtet haben, werden wir analysieren, wer auf welche Weise von den einzelnen Beispielen profitieren kann.

Richtlinie zur Inhaltssicherheit (Content Security Policy)

Content Security Policy (CSP) ist eine zusätzliche Sicherheitsebene, die dazu beiträgt, bestimmte Arten von Cyberattacken, einschließlich Cross Site Scripting (XSS) und Dateninjektionsangriffe, zu erkennen und abzuschwächen. Diese Angriffe werden für alles Mögliche verwendet, vom Datendiebstahl über die Verunstaltung von Websites bis hin zur Verbreitung von Malware.

Man kann einen CSP nutzen, um dem Webbrowser Anweisungen zu geben, welche Ressourcen (Bilder, Videos usw.) zur Benutzung erlaubt sind und welche verboten werden sollten. Das ist wichtig, um andere daran zu hindern, Code auszuführen oder externe Ressourcen auf Ihre Website zu laden.

Benutzer können darauf vertrauen, dass OTRS mit ihrem Browser zusammenarbeitet, um sie vor den üblichen Cyberattacken zu schützen.

Mit OTRS 8 wird auf der OTRS Frontend Anwendung eine Content Security Policy eingerichtet, die nur Zugriff auf den aktuellen Server ermöglicht. Alle Ressourcen werden so weit wie möglich eingeschränkt. Beispiele:

  1. JavaScript kann nur aus dem Server-Ordner geladen werden, in dem die Anwendung gespeichert ist. Andere Skripte werden verworfen. Dies ist eine wesentliche Verbesserung gegenüber ((OTRS)) Community Edition 6, in der Inline-Skripte aus technischen Gründen zugelassen werden mussten.
  2. Externe Bilder können innerhalb der Anwendung nicht geladen werden. Wenn ein Benutzer oder Angreifer versucht, externe Bilder zu verwenden, wird der Browser diese Anfrage ablehnen und den Fehler protokollieren.

Wie wirkt sich das aus auf:

  • Benutzer: Sie können darauf vertrauen, dass OTRS mit ihrem Browser zusammenarbeitet, um sie vor den üblichen Cyberattacken zu schützen.
  • Administratoren: Sie müssen möglicherweise die Konfiguration des Systems aktualisieren, um externe Inhalte zuzulassen, falls diese in die Anwendung integriert werden müssen.
  • Entwickler: Sie müssen sich nicht darum kümmern – es ist standardmäßig aktiviert.

 

JSON Web Tokens

JSON Web Tokens sind eine offene, dem Industriestandard entsprechende Technologie, die eine sichere Kommunikation zwischen zwei Parteien ermöglicht. Es ist wie die Verwendung einer digitalen Signatur, so dass Sie darauf vertrauen können, dass Sie sichere Informationen erhalten. In OTRS 8 werden JSON Web Tokens verwendet, um Benutzer auf sichere Weise zu identifizieren.
Wesentliche Vorteile gegenüber den bisher verwendeten Cookies sind:

  • Die Tokens sind für den Benutzer nicht sichtbar (z. B. über die URL).
  • Sie werden nicht automatisch vom Browser gesendet.
  • Ihre eingebaute kryptographische Signatur verhindert eine Manipulation der Tokens durch den Benutzer.
  • Die Tokens können vom Administrator auf dem Server überprüft oder entfernt werden.
  • Wie bisher sind die Tokens standardmäßig auf die entfernte IP-Adresse beschränkt (dies ist jedoch konfigurierbar).

Wie wirkt sich das aus auf:

  • Benutzer und Administratoren: Das System arbeitet weiterhin auf bequemste, aber sicherere Weise.
  • Entwickler: Die Anforderung eines gültigen Tokens ist einfach.

 

Eingeschränkte Cookie-Verwendung

Leider gibt es immer noch einige Komponenten von webbasierten Anwendungen, die Cookies erfordern. Zum Beispiel sind das Laden von Inline-Bildern und das Laden eines iFrames immer noch auf eingebaute Browser-Mechanismen angewiesen, um zu überprüfen, ob die Quelle vertrauenswürdig ist. Dies ist nicht so sicher wie die oben erwähnten JSON Web Tokens.
Um die möglichen negativen Folgen der Verwendung von Cookies abzuschwächen, wurden also folgende Änderungen vorgenommen:

  • Cookies enthalten das gleiche sichere JSON Web Token, um Manipulationen zu verhindern.
  • Cookies sind jetzt so weit wie möglich eingeschränkt, um vor Fälschungen von Cross-Site-Anfragen zu schützen, d. h. wenn zum Beispiel jemand versucht, Zugang zu Ihrer Website zu erlangen und Sie dazu zwingt unbeabsichtigte Aktionen (wie das Senden von Geld oder das Hochladen von Inhalten) auszuführen.
Validierung von Eingabedaten macht doch noch Spaß!

Tiefe Eingabe-Validierung

Die Eingabe-Validierung ist ein wichtiges Thema für die Anwendungssicherheit. Sie soll sicherstellen, dass Daten, die aus der Außenwelt in die Anwendung kommen, mit den Erwartungen übereinstimmen. In einem Sicherheitskontext geht es unter anderem darum, sicherzustellen, dass die Daten keinen versteckten Code enthalten, der wie eine Cyberangriff funktionieren könnte, wie z. B. eine SQL-Injektion, Cross Site Scripting und so weiter.
OTRS 8 enthält eine neue API, die zur tiefen Validierung von Eingabedaten verwendet werden kann. Sie ist sehr einfach zu bedienen:

  • Bestimmen Sie zunächst aus einer wachsenden Liste von 38 integrierten Datenvalidierungsmodulen die Art der Validierung, die Sie benötigen. Diese reichen von einfachen Validierungen, wie „dies ist eine positive ganze Zahl“, bis hin zu komplexeren, wie „gültige Ticketnummer, die in der Datenbank existiert“ oder „gültiges JSON-Dokument“.
  • Zweitens müssen API-Endpunkte nur angeben, welche Daten sie erwarten. Dann erfolgt die Validierung automatisch.

Wie wirkt sich das aus auf:

  • Entwickler: Validierung von Eingabedaten macht doch noch Spaß!

 

Erweiterte Passwort-Richtlinien

OTRS 8 verfügt über wesentlich effektivere Passwortrichtlinien als zuvor:

 

  1. Es können, wie in früheren Versionen, Regeln für die Komplexität von Passwörtern aufgestellt werden. Die philosophischere Frage „Was macht ein gutes Passwort aus“ überlassen wir dem Admin bei der Konfiguration seines Systems.
  2. Passwörter laufen nun standardmäßig automatisch nach 30 Tagen ab.
  3. Benutzer werden daran gehindert, ihre früheren Passwörter wieder zu verwenden.
  4. Nach der ersten Anmeldung müssen Benutzer ein neues Passwort wählen.

Natürlich sind alle konfigurierbar – einschließlich Ausnahmen für bestimmte Benutzer oder Gruppen.

Wie wirkt sich das aus auf:

  • Benutzer: Dies mag das Leben OTRS Agenten etwas erschweren, aber es wird ihnen hoffentlich helfen, mit ihren Zugangsdaten verantwortungsvoll umzugehen.
  • Admins: Die restriktive Standardkonfiguration hilft Admins, ihr System sicher zu betreiben und bietet gleichzeitig volle Flexibilität bei der Anpassung.

 

2-Faktor-Authentifizierung

OTRS 8 verfügt nun über eine moderne Unterstützung der 2-Faktor-Authentifizierung, die durch drei verschiedene Authentifizierungsmethoden ermöglicht wird:

  • Apps – verwenden Sie Ihre bevorzugte Anwendung wie Google Authenticator. Die Konfiguration ist einfach über QR-Code möglich.
  • SMS – bereitgestellt über den SMS-Cloud-Service der OTRS Group.
  • E-Mail – kann als Fallback-Option verwendet werden, da alle Agenten in der Regel über gültige E-Mail-Adressen verfügen. Verschlüsselung wird unterstützt.

In einem OTRS 8 System ist standardmäßig eine 2-Faktor-Authentifizierung erforderlich. Selbstverständlich kann sie für alle oder ausgewählte Benutzer optional oder ganz abgeschaltet werden. Sie kann sogar in Single-Sign-On-Szenarien verwendet werden, in denen Agenten einen zentralen Anmeldedienst verwenden: In einer solchen Situation müssten die Benutzer immer noch ein Token für die Anmeldung an OTRS zur Verfügung stellen.

 

Wie wirkt sich das aus auf:

  • Benutzer: Das Einloggen in das System erfordert etwas mehr Aufwand.
  • Admins: Die restriktive Standardkonfiguration hilft Admins, ihr System sicher zu betreiben und bietet gleichzeitig volle Flexibilität bei der Anpassung.

 

Fazit

Security by Design in OTRS 8 bedeutet:

  • Das System durch sein Design und seine Architektur sicherer zu machen.
  • Unterstützung der Entwickler beim Schreiben von sicherem Code mit geringem Aufwand.
  • Ermutigung der Benutzer zu verantwortungsbewusstem Arbeiten.
  • Unterstützung unerfahrener Admins beim sicheren Betrieb von OTRS durch eine restriktive Standardkonfiguration bei gleichzeitig hoher Anpassungsfähigkeit.

Sind Sie daran interessiert, mehr über OTRS 8 und wie diese Sicherheitsoptionen Ihr Unternehmen sicherer machen können, zu erfahren? Kontaktieren Sie uns noch heute.

Text:
Photos: Startup Stock Photos von Pexels; Screenshots von der OTRS Group

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Share the Story