Seite 6 - Security/OWASP

Wer Drittanbieter-Repositories ungeprüft hinzufügt, gibt fremden Signierschlüsseln Root-Rechte auf dem eigenen Server. Dieser Artikel zeigt, wie GPG-Signaturen bei APT und DNF wirklich funktionieren, warum PPA-Installationsskripte vor dem Ausführen gelesen werden sollten und wie man bestehende Paketquellen systematisch auf Risiken prüft.

Clickjacking täuscht Nutzer mit einem unsichtbaren iframe über einer echten Seite und lässt sie unbemerkt kritische Aktionen wie Kontolöschung oder Überweisungsbestätigung auslösen. Klassisches JavaScript-Frame-Busting lässt sich umgehen, während X-Frame-Options und die CSP-Direktive frame-ancestors als HTTP-Header zuverlässig verhindern, dass eine Seite überhaupt gerahmt wird.

Container teilen sich den Kernel des Hosts und sind deshalb kein automatischer Sicherheitsgewinn gegenüber klassischen Servern. Dieser Artikel zeigt, wie minimale Base-Images, Non-Root-User, automatisiertes Vulnerability-Scanning in der CI-Pipeline, sichere Secrets-Verwaltung ohne Image-Layer-Leaks und eine gehärtete Runtime mit Read-Only-Filesystem und reduzierten Linux-Capabilities Docker-Deployments für Magento- und PHP-Projekte spürbar sicherer machen.

Wer Datenbankpasswörter oder API-Schlüssel direkt im Code speichert, schafft ein Risiko, das auch nach dem Löschen bestehen bleibt, weil Git jede Version dauerhaft aufbewahrt. Dieser Artikel zeigt, wie Magento-Teams Zugangsdaten sauber aus dem Code fernhalten, mit env.php Mustern, Umgebungsvariablen, dedizierten Secrets Managern wie Vault, konsequenter Rotation und automatisiertem Leak Scanning.

Ein Penetration Test deckt reale Angriffspfade auf, die automatisierte Scanner übersehen, erfordert aber vorab eine schriftliche Freigabe, einen klaren Scope und ein Team, das die Ergebnisse tatsächlich umsetzt. Dieser Artikel erklärt Testansätze, Autorisierungspflichten, die Vorbereitung von Entwickler-Teams und den Unterschied zwischen internem Security Review und externem Pentest anhand konkreter Praxisbeispiele.

rkhunter und chkrootkit vergleichen bekannte Rootkit-Signaturen, Dateiberechtigungen und Prozesslisten mit einem gespeicherten Referenzzustand des Systems. Dieser Leitfaden zeigt, wie beide Tools installiert, als wiederkehrender Baseline-Check per Cronjob eingerichtet und ein positiver Fund korrekt interpretiert wird, ohne eine trügerische Vollständigkeit der Erkennung vorzutäuschen.

Ein Bug-Bounty-Programm belohnt externe Sicherheitsforscher für das verantwortungsvolle Melden von Schwachstellen, funktioniert aber nur mit klar definiertem Scope, gestaffelten Prämien und einem reifen internen Prozess für Schwachstellenmanagement. Dieser Artikel erklärt, wie private und öffentliche Programme sich unterscheiden, wann ein Unternehmen tatsächlich bereit ist, welche Plattformen helfen, und wie die erste eingehende Meldung professionell bearbeitet wird.

GraphQL-Endpunkte in Magento-Shops öffnen Angreifern neue Wege: aktivierte Introspection legt das komplette Schema offen, tief verschachtelte Queries überlasten Datenbank und Server, und Alias-basiertes Batching ermöglicht Brute-Force-Angriffe auf Login-Formulare. Dieser Artikel zeigt, wie ihr Introspection in Produktion deaktiviert, Query-Tiefe und Komplexität begrenzt, Batching kontrolliert und Feld-Level-Autorisierung sauber implementiert, damit euer Magento-GraphQL-Endpunkt robust gegen gezielte Angriffe bleibt.

Ein zu freizügig gesetzter Access-Control-Allow-Origin-Header hebt genau den Browserschutz auf, den die Same-Origin Policy eigentlich garantiert. Dieser Artikel erklärt Preflight-Requests, die gefährliche Kombination aus Wildcard und Credentials, Origin-Reflection als häufigsten Fehler und wie eine saubere, server-seitige Allowlist für Magento-APIs hinter CDN und Varnish zuverlässig funktioniert.

Ein Cookie-Banner, der Tracking-Skripte weiterlaufen lässt, obwohl der Nutzer noch nicht eingewilligt hat, erfüllt weder ePrivacy noch DSGVO noch TTDSG. Dieser Artikel zeigt, wie Opt-in-Consent granular pro Zweck funktioniert, wie Skripte technisch bis zur Einwilligung blockiert werden, wie Google Consent Mode v2 und CMP-Plattformen korrekt eingebunden werden und wie man die eigene Implementierung im Network-Tab tatsächlich überprüft.