CMS Sicherheit

[ex-sys]

Hallo zusammen,

Open Source Projekte wie Joomla, Typo3, Nuke und Co. bieten mit ihrer Vielzahl an PlugIns jede Menge Angriffsmöglichkeiten.

Kennt jemand ein CMS das nicht nach seiner Funktionsvielfalt, sondern nach sicherheitstechnischen Aspekten entwickelt wird?

Gruss
Michael

[jengelh]

http://nxsystems.org/ ?

[ex-sys]

Danke für den Link. . .
in der Feature List findet sich zum Thema Safety and Security folgendes:
* IP-Locking: Each user-session is optionally locked to a certain IP-Address. So no other user can take a valid session-id and login to the system.
* Type Check: Of course all the data posted through the webbrowser runs through a type check before it is used. This minimizes the risc of code intrusion or s.th. similar.
* Intrusion detection: N/X WCMS applies a filter to all varialbes which are send from a webbrowser to the system to find any kinds of known attacks and modifies this queries.
* Security Tracker: All security violations are logged in the database and can be browsed for analysis by the Administrator.
* Backup: N/X allows to generate backups of your website and your database automatically. Backups can be stored on the webserver or can be send to another computer with ftp.

Bringt also auch nicht wirklich neue Funktionen mit.

Ich suche eher ein cms das internationale Standards erfüllt.
In Sachen kryptographischer Module ist alles ganz schnell erklärrt.

Die Qualität der Verschlüsselung hängt neben dem gewählten mathematischen Verfahren zusätzlich von der Vertrauenswürdigkeit der Technologie ab, auf der die Verfahren implementiert sind, sowie von der sicheren Aufbewahrung der verwendeten Schlüssel.
Während die Stärke von Standardverfahren im Allgemeinen bekannt ist, muss die Technologie nach geeigneten Kriterien untersucht werden. Neben Evaluationen z.B. nach den internationalen Common Criteria (ISO 15408) bieten sich hierzu auch die in den USA entwickelten Security Requirements for Cryptographic Modules (FIPS PUB 140-1/140-2) an.
Die FIPS 140-1/140-2 legen vier mögliche Stufen von ansteigenden Sicherheitsanforderungen hinsichtlich des Designs und der Implementierung von kryptographischen Produkten fest.
Validierungen nach FIPS 140-1/140-2 werden explizit vom Markt gefordert. Beispielsweise sind US-amerikanische und kanadische Behörden verpflichtet, ausschließlich kryptographische Produkte einzusetzen, die eine FIPS 140-1/140-2 Validierung erfolgreich durchlaufen haben.


In diese Richtung geht meine Suche. . .

[Klaus-D. Wenger]

Kennt jemand ein CMS das nicht nach seiner Funktionsvielfalt, sondern nach sicherheitstechnischen Aspekten entwickelt wird?

Es gibt da welche die auf einem Zope-Server, den man zusätzlich installieren muss, auf Python-Basis laufen - also braucht man einen ISP der sowas hat und da gibt es bestimmt nicht viele .
CMS wäre z.B.
ZMS von www.zms-publishing.com
und andere

[Clubber]

Kennt jemand ein CMS das nicht nach seiner Funktionsvielfalt, sondern nach sicherheitstechnischen Aspekten entwickelt wird?

Bei Geeklog.de und Xoops gibt es eine mehr als brauchbare Rechtevergabe. Das ist bei anderen Systemen meist völlig unterbelichtet. Geeklog ist sehr sicher und sauber programmiert.

Wo soll denn kryptographiert werden? Damit kenne ich mich nicht aus. Die Rechtevergabe ist ja personenbezogen.

[useher]

Kennt jemand ein CMS das nicht nach seiner Funktionsvielfalt, sondern nach sicherheitstechnischen Aspekten entwickelt wird?

Ob es da welche gibt weiß ich nicht. Aber mit Zope haben wir bisher recht gute Erfahrungen gemacht. Sowohl was Funktionalität angeht, als auch Sicherheit und Stabilität.

GRuß Uwe

[ms0]

Es gibt genügend sichere Content Management Systeme.
Leider gibt es genausoviele offene Server.

Sollte dein Server gut gewartet sein, würde ich dir aufjedenfall ein CMS empfehlen welches in direkter Verbindung mit deinem Server steht. Also mit Perl und Shells zusammenarbeitet.