Nachdem ich immer wieder mal an meiner .htaccess-Datei rumgeschraubt habe, will ich hier mal den aktuellen Stand zum Thema Sicherheit teilen. Zuerst mal ein paar gute Seiten, auf denen ich schöne Tips, Anregungen und Erläuterungen fand:

• https://perishablepress.com/stupid-htaccess-tricks - dort gibt es eine Unmenge an wirklich brauchbaren und teilweise auch cleveren Tricks
• https://httpd.apache.org/docs/2.2/howto/htaccess.html - natürlich darf die Apache-Dokumentation nicht fehlen!
• https://wiki.selfhtml.org/wiki/Webserver/htaccess - selfHTML. Immer eine gute Adresse!

Vor einiger Zeit gab es im OSBN ein paar Artikel, in denen es um Sicherheitstest und insbesondere um die Apache-Konfiguration ging. Daraus entsponn sich eine kleine Diskussion. Ein paar Schnipsel unserer .htacces Dateinen wurden unter die Lupe genommen und wir versuchten unsere Server sicherer zu machen. Im Sicherheitstest habe ich nun ein A+ erreicht. So sieht in meinem Falle die Konfiguration aus:

Header always set X-Frame-Options "SAMEORIGIN"
Header always set X-Xss-Protection "1; mode=block"
Header always set X-Content-Type-Options "nosniff"
Header always set Content-Security-Policy "default-src 'self';"
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
Header always set X-Powered-By "42"
Header always set Server "depressed robot"

Diese paar Zeilen reichen, um den Apache, bzw seine Antworten so zu ändern, daß viele Probleme nicht mehr greifen. CrossSiteScripting wird unterbunden, bzw, der Browser wird angewiesen keine Inline-Scripte auszuführen. Nichtmal inline-CSS wird zugelassen. Nachdem ich diese Einstellung eingeführt hatte, mußte ich zwar erstmal meine Seite neu schreiben, weil ich natürlich bequemerweise überall onclick='alert(Hallo Welt!);' drinstehen hatte. Das mußte alles in eine externe .js-Datei ausgelagert, und durch EventListener ersetzt werden. Das war ne harte Nummer, aber es fühlt sich natürlich viel besser an, einen sicheren Server zu haben, als jeden Tag damit zu leben, daß meine Besucher eventuellen Attacken ausgesetzt sein können.

Also, die Optionen X-Xss-Protection und Content-Security-Policy erzwingen in dieser Konfiguration, alles JavaScript und CSS in eine eigene Datei auszulagern. Z.Bsp. scripts.js und style.css

Was eigentlich Standard sein sollte: Alle Anfragen auf https umbiegen:

# Redirect all requests to https!
<ifmodule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTPS} off
  RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</ifmodule>

Ich halte es für eine regelrechte Sicherheitslücke im Apache, daß die .htpasswd direkt ausgelesen werden kann! Die kann man sich dann speichern und in aller Ruhe zuhause eine Brute-Force-Attacke auf die Hashes fahren, um dann mit dem passenden Passwort sich an der Seite anzumelden. *kopfschüttel*

Naja, unterbinden läßt sich das ganz einfach so hier: (Gefunden bei be-jo.net.) Sollte in keinem Apachen fehlen.

# Stop Apache from serving .ht* files
<Files ~ "^\.ht">
 Order allow,deny
 Deny from all
 Satisfy All
</Files>

So, ich hoffe, jemand konnte vielleicht was Neues lernen, was er noch nicht kannte. Vielleicht hat jemand noch mehr gute Tips, so daß ich vllt was Neues lernen kann... Laßt gerne einen Kommentar da!