Zumal ihr wie der IP-Scan zeigt ein Vhost benutzt. Und ein vhost ist grundsätzlich vom Serveradmin einsehbar. Incl aller Daten. Selbst Passwörter kann er einfach mitloogen am Host. Sowas macht niemand der wirklich seriös arbeiten will.
Mal etwas off topic. Das mit dem Vhost kapiere ich jetzt nicht ganz.
Unsere Websites laufen auch über Vhosts, wo ist jetzt das Problem?
Ich denke Du meinst Admin Server != Admin Vhost oder?
Wenn ich als Anbieter auch der Owner des / der Server bin, wer soll ausser dem Server Admin dann noch was sehen?
Irgend einer hat immer root und so lange ein SSH Login nur per private key mit Keypasswort zugelassen und die Rechte des Indianers und der Webroots sauber gesetzt sind, kann der root Admin genau nachvollziehen, wer da was tut und sieht. Ausserdem, wer sicherheitsrelevante Datenbanken auf den Webservern laufen lässt, ist selbst Schuld. Doch auch wenn es jetzt jemand wirklich schafft sich durch alle Sicherheitsmaßnahmen bis zur DB durch zu hacken, was nutzt es dann, wenn der potentielle Angreifer auf lauter AES256 verschlüsselte DB Felder schaut, die zudem noch mit weiteren, dem Angreifer nicht bekannten, Sicherheitsmaßnahmen gegen Manipulation geschützt sind? Wobei die gefährlichsten Angriffe meist von innen, also von eigenen Mitarbeitern, kommen. Schon deshalb sollte klar festgelegt sein, wer, was, wo darf und wie das nachvollziehbar protokolliert wird. Z.B. kann der DB Admin ruhig wissen, dass bestimmte Tabellen mit einem Manipulationsschutz versehen sind, da er nicht weiss, wie dieser funktioniert und aufgebaut ist, hat das eher abschreckende Wirkung.
Ein Vhost heist, das eine physikalische Maschinen mehrere Kunden hat. Die Hardware wird also aufgeteilt. Es gibt den sogenannten Host, das ist der Unterbau der Maschine. Und dann einige abgeteilte bereiche. Das könnte sogar nur mehrere Apache-Instanzen sein. Aber auch seperate virtuelle Maschinen. Sind es nur Webserverinstanzen wäre es möglich, über Bugs von einer zu nächsten Instanz seine rechte zu erweitern. Jetzt kann einer der anderen Kunden alle laufenden Webserver ausspähen und missbrauchen. Bei virtuellen Maschinen ist das nicht so einfach. Aber dort kann es zumindest der Serverbetreiber, der an seine Kunden den Vhost vermietet. Man kann jederzeit das Festplattenimage kopieren und dann dieses Image seperat im Host mounten um reinzuschauen. Ist dann etwas verschlüsselt, wird am Host mittels zusätzlicher Software der Datenverkehr mitgeschnitten. Das kann soweit gehen das man als Man in the middle agiert auf dem Host und man kann sich auch nicht auf Zertifikate verlassen. Im Falle das ein VHost benutzer sich wirklich anstrengt und alles lückenlos dicht macht, gibt es immer noch debug-modus im VM-Manager. Damit ist es möglich von aussen in den Speicher der VM zu schauen um fehlerhafte Zustände zu analysieren. Oder das gerade entschlüsselte Zertifikat zu kopieren. Also sind letztendlich alle Anstrengungen eines Benutzers von vhost umsonst, wenn der Serverbesitzer Informationen rausholen will oder MUSS!
Anders sieht das aus, wenn man einen sogenannten Rootserver besitzt. Dort ist kein Zugriff von Administratoren im Rechenzentrum mehr möglich. Deren einzige Manipulationsmöglichkeit besteht darin, den Rechner auszuschalten oder resetknopf zu drücken. Eventuell neues Image aufzuspielen. Sie können höchsten am Switch oder Router wohin das Netzwerkkabel des Servers geht sich einklinken. Aber bereits am Server selbst erstellte Zertifikate sind ein wirksamer Schutz gegen solche Attacken. Es ist nun auch der Datenverkehr verschlüsselt und keiner kann den Inhalt des Hauptspeichers einfach so auslesen.
Vhost ist also ungeeignet, um sicher und Bulletproof zu sein. Unter Bulletproof versteht man Kugelsicher gegenüber Behördenschnellschüssen wie Abusemeldungen und Datenmanipulationen im Rechenzentrum auf Behördenanweisung. Im Grundprinzip kannst du dir das so vorstellen, als wenn du auf Windows oder Linux 4 Benutzer einrichtest die sich nicht Gegenseitig in die Karten schauen können. Du als Admin oder Root hingegen kannst in jeden Ordner schauen. Ist aber jetzt wirklich grob vereinfacht dargestellt, nicht auf den Details rumhacken, die nicht passen.
