Hallintaosien suojaus IP-osoitteella, VPN:llä tai lisäsuojalla

Lyhyesti: Hallintaosan suojaatte tehokkaimmin avaamalla sen vain tunnetuille verkoille: verkkopalvelimen IP-rajauksella, VPN:llä kiinteällä lähtöosoitteella tai toisella, ennakkoon asetetulla tunnistautumisella. Tärkeää on täydellinen luettelo kaikista hallintaosoitteista, välityspalvelinten ja CDN:ien oikea käsittely sekä testi ulkopuolelta. Suojaus täydentää kaksivaiheista tunnistautumista ja päivityksiä, mutta ei korvaa niitä.

Miksi hallintaosa on ylipäätään auki?

Monessa yrityksessä ylläpitäjät päivittivät viime viikolla PHP:n ja käynnistivät workerit uudelleen. Kun sen jälkeen katsoo käyttölokeja, huomaa usein jotain muuta: CMS:n kirjautumissivua, tietokantatyökalua ja hosting-paneelia kutsutaan ympäri vuorokauden kaikkialta maailmasta. Niitä tarvitsee kuitenkin vain kourallinen ihmisiä omassa tiimissä.

Jokainen näistä osoitteista on hyökkäyspinta. Kirjautumislomakkeita yritetään arvaamalla, hallintatyökaluissa on omia aukkoja, ja hallintaosan laajennukset on usein tarkistettu huonommin kuin CMS:n ydin. Kun ulkopuoliset eivät pääse näille alueille lainkaan, monet hyökkäykset kaatuvat jo ennen alkamistaan.

Rehellisesti arvioiden: PHP2Shelliä vastaan tämä auttaa vain vähän. Aukot ovat tulkissa, ja php.netin mukaan ne voidaan laukaista ilman kirjautumista julkisten PHP-sivujen kautta. Hallintaosan suojaus on pysyvää koventamista, ei hätäkorjaus.

Hallintaosan suojaus IP-osoitteella, VPN:llä tai toisella tunnistautumisella

Yhtä oikeaa menetelmää ei ole. Ratkaisevaa on, miten tiiminne työskentelee ja missä verkkosivusto toimii.

Käytännössä yhdistelmä on osoittautunut hyväksi: rajaus vain VPN:lle tai yrityksen verkolle ja lisäksi toinen tunnistautuminen varatasona. Varsinainen kirjautuminen CMS:ssä säilyy kaksivaiheisena, kuten oppaassa Kaksivaiheinen tunnistautuminen ylläpitäjien tunnuksille kuvataan.

Mitkä osoitteet kuuluvat oikeastaan hallintaosaan?

Yleisin heikkous ei ole tekniikka vaan puutteellinen luettelo. Edetkää siksi tässä järjestyksessä:

1. Kartoittakaa CMS:n tai verkkokaupan kirjautumissivut, mukaan lukien vaihtoehtoiset kirjautumisosoitteet, joita laajennukset luovat.
2. Etsikää hallintatyökalut: tietokantakäyttöliittymät, tiedostonhallinnat, asennusskriptit, tila- ja valvontasivut.
3. Sisällyttäkää hosting- ja palvelinpaneelit, jotka toimivat usein omilla porteillaan.
4. Tarkistakaa testi- ja staging-ympäristöt, jotka käyttävät usein samoja tunnuksia kuin live-sivusto.
5. Rajatkaa rajapinnat: Jotkin hallintapolut ovat myös julkisen käyttöliittymän kutsumia, esimerkiksi Ajax-pyyntöjä varten. Niitä ei saa sokkona estää, muuten lomakkeet tai ostoskorit lakkaavat toimimasta.

Viides kohta on syy, miksi suojaus on aina testattava. WordPressissä esimerkiksi hallintakansion yksi tiedosto on myös julkisten toimintojen käytössä.

Asetukset: IP-rajaus ja toinen tunnistautuminen

Nginxissä molemmat ehdot voi yhdistää. Asetuksella satisfy all pyynnön on tultava sallitusta verkosta ja läpäistävä lisäksi toinen tunnistautuminen. Polku, osoitteet ja PHP-välitys ovat paikkamerkkejä:

location ^~ /backend/ {
    satisfy all;

    allow 192.0.2.0/24;      # yrityksen verkko (paikkamerkki)
    allow 198.51.100.10;     # VPN:n lähtöosoite (paikkamerkki)
    deny  all;

    auth_basic           "Interner Bereich";
    auth_basic_user_file /etc/nginx/htpasswd-backend;

    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php-fpm.sock;
    }
}

Sisäkkäinen PHP-location on tärkeä: ^~ estää muiden .php-sääntöjen arvioinnin. Apachessa saavutatte saman lohkolla, jossa molempien ehtojen on täytyttävä:

<Location "/backend">
    AuthType Basic
    AuthName "Interner Bereich"
    AuthUserFile /etc/apache2/htpasswd-backend
    <RequireAll>
        Require ip 192.0.2.0/24 198.51.100.10
        Require valid-user
    </RequireAll>
</Location>

Salasanatiedoston paikka on verkkojuuren ulkopuolella. Toinen tunnistautuminen lähettää tunnukset jokaisessa pyynnössä, joten käyttäkää sitä vain HTTPS:n kautta.

Sudenkuopat: CDN, välityspalvelin, IPv6 ja kotitoimisto

Jos verkkosivustonne on CDN:n kuten Cloudflaren tai kuormantasaajan takana, verkkopalvelin näkee aluksi vain niiden osoitteet. IP-rajaus joko estäisi silloin kaikki tai päästäisi kaikki läpi. Verkkopalvelimen on otettava todellinen osoite otsikosta: Nginxissä asetuksilla set_real_ip_from ja real_ip_header, Apachessa moduulilla mod_remoteip.

Tällöin pätee: hyväksykää otsikko vain omilta välityspalvelinosoitteiltanne. Muuten jokainen kävijä voi teeskennellä mitä tahansa alkuperää. Yhtä tärkeää on, ettei alkuperäpalvelin ole suoraan saavutettavissa, sillä muuten välityspalvelin sääntöineen voidaan kiertää. Aiheesta kertoo kirjoitus Palomuuri verkkopalvelimelle.

Kaksi muuta kohtaa jää usein huomaamatta. Jos palvelin on saavutettavissa IPv6:lla, myös verkkonne IPv6-osoitteet tarvitsevat merkinnän, muuten IPv6:ta käyttävät ylläpitäjät jäävät esteen taakse. Ja yksityiset internetliittymät vaihtavat osoitettaan säännöllisesti. Kotitoimistolle ja ulkopuolisille palveluntarjoajille VPN on siksi yleensä vakaampi ratkaisu.

Näin tarkistatte, toimiiko suojaus

Sääntöä, jota ei ole testattu, ei voi pitää toteutettuna. Tarkistakaa yrityksen verkon ulkopuolelta, esimerkiksi matkapuhelinverkon kautta:

# Odotettu tulos: 403 (estetty) tai 401 (toista tunnistautumista vaaditaan)
curl -s -o /dev/null -w "%{http_code}\n" https://www.example.de/backend/
# Tarkistakaa myös PHP-tiedostot suoraan, ei vain hakemistoa
curl -s -o /dev/null -w "%{http_code}\n" https://www.example.de/backend/index.php

Toistakaa samat kutsut sen jälkeen yrityksen verkosta tai VPN:stä: siellä sivun on oltava saavutettavissa. Tarkistakaa sitten julkinen käyttöliittymä eli lomakkeet, haku ja ostoskori. Seuraavien päivien lokeissa hallintaosoitteiden käyttö tulisi näkyä lähes vain tilakoodeilla 401 tai 403.

Jos alue on tähän asti ollut auki, kannattaa katsoa olemassa olevia tilejä. Miten tuntemattomat ylläpitäjät löydetään, kuvaa Vieraiden ylläpitäjätilien löytäminen CMS:stä ja palvelimelta. Lisäksi massayritykset hidastava suoja auttaa, katso Ylläpitäjien kirjautumisten suojaus raa'alta voimalta.

Miten PHP SOS auttaa konkreettisesti?

• Kartoitamme verkkosivustojenne, paneelienne ja työkalujenne kaikki hallintaosoitteet ja erotamme ne julkisesti tarvittavista poluista.
• Valitsemme kanssanne sopivan menetelmän tiimin koon, kotitoimiston ja hostingin mukaan.
• Toteutamme säännöt verkkopalvelimessa, huomioimme CDN:n, välityspalvelimen ja IPv6:n ja pidämme samalla paluutien auki.
• Testaamme ulkopuolelta ja sisältä ja luovutamme lyhyen dokumentaation sallituista verkoista.

Hallintaosien suojaus kuuluu PHP-verkkopalvelinten koventamiseen.

Usein kysytyt kysymykset

Lähteet

• OWASP Cheat Sheet Series
• Nginx-dokumentaatio
• Apache HTTP Server: dokumentaatio