15. März 2010

Extension „be_secure_pw“

in Extension, Security, Tutorial, TYPO3

Das Thema Sicherheit ist in TYPO3 immer ein Thema, da das CMS im Gegensatz zu anderen zu den sichersten gehört. Doch das Thema Sicherheit ist nicht nur Sache der Programmierer und Administratoren, sondern auch der Redakteure. Ein Redakteur kann mithilfe eines sehr schwachen Passworts den Backend-Zugang für potentielle Angreifer bieten. Im Backend von TYPO3 gibt es dann natürlich neue Möglichkeiten, sich Zugang zu weiteren Bereichen des Systems zu machen. Dazu kommt noch, dass es seit einiger Zeit die sog. „Rainbow Tables“ gibt und auch einen Online-Checks für MD5-Hashes. Dies ist eine Sammlung von allem Passwortkombinationen bis zu 8 Zeichen inkl. dem dazugehörigen MD5-Hash. Den MD5-Hash bekommt man „relativ“ leicht bei einer Sicherheitslücke wie einer SQL-Injection. Diese „Lücke“ will ich mit meiner TYPO3-Extension „be_secure_pw“ schließen!

In der Extension hat man die Möglichkeit, gewisse Parameter für die Vorgabe eines Benutzerpassworts zu setzen. Einerseits kann man die Mindestlänge des Passworts bestimmen, man kann aber auch auf die „Stärke“ des Passworts Einfluss nehmen. Durch die Bedingungen (Kleinbuchstaben, Großbuchstaben, Zahlen und Sonderzeichen) kann man dem Redakteur ein „starkes“ Passwort erzwingen. Bevorzugt sollte das Passwort natürlich mehr als 8 Zeichen haben, um den „Rainbow Tables“ schon mal den Schlüssel aus der Hand zu nehmen. Stärkend kommt hinzu, wenn man eine Kombination aus Klein-, Großbuchstaben und Zahlen erzwingt. Die Vorgabe von Sonderzeichen ist natürlich noch sicherer. In der Extension kann man alle 4 Prüfungen aktivieren, der Redakteur kann sich aber auch zwischen 3 der 4 Vorgaben entscheiden (z.B. Groß-/Kleinbuchstaben/Zahl oder Kleinbuchstabe/Zahl/Sonderzeichen).

Diese Extension ist auch mit Version TYPO3 4.3 nutzbar und zudem mit der Erweiterung t3sec_saltedpw bzw. saltedpasswords kompatibel. Ihr finde die Extension natürlich im TER. Feedback ist herzlich Willkommen.

Dies ist ein Gastbeitrag von Thomas Löffler.

9 Reaktionen zu “Extension „be_secure_pw“”

Kommentare abonnieren (RSS) oder TrackBack URL

Hey Thomas, super Idee die Extension! Werd ich mir mal anschauen und evtl. als Standard-Ext mit aufnehmen. Danke schon mal für die Mühe!

Holger Weis am 16. März 2010 um 10:11

gibt es das auch für das FE?
eine Passwort-ändern Extension wäre cool

es wäre cool, wenn dies standardmäßig in TYPO3 eingebaut werden würde…

Phil am 16. März 2010 um 12:57

Das gilt leider nicht fürs FE, da man dort verschiedene Extensions nutzen kann für die FE-User Anmeldung.
Geplant ist für die nächsten Monate ein Hinweis beim Login, dass das PW unsicher ist und vllt. auch ein „Zeitraum“, in dem ein PW abläuft und erneuert werden muss.

Thomas Löffler am 16. März 2010 um 13:00

Was ich so von dieser Extension lese, gefällt mir sehr. Als Fernziel würde ich die Integration in TYPO3 Core ansehen. 😉

Aus aktuellen Anlass habe ich gerade selbst über Password Policies gebloggt:
http://secure.t3sec.info/blog/permalink/39/
Ich hoffe, wir haben irgendwann ein TYPO3 das per default sichere Passwörter und den richtigen Umgang mit Ihnen implementiert hat.

@Nachfrage Passwort ändern Extension
Es gibt seit kurzem die Extension „changepassword“ fürs FE. Diese kann mit plain-text, kb_md5fepw und saltedpasswords umgehen. Bei saltedpasswords werden zwar noch nicht alle salt-Methoden unterstützt. Das ist nach Aussage des Autors aber in Arbeit. Anschauen lohnt sich!

Marcus am 18. März 2010 um 06:40

sehr gute Seite, gefällt mir

Alexander am 09. August 2010 um 16:18

Hi,
wo ist denn die Extension „be_secure_pw“ hin? Vor ein paar Tagen war sie noch im TER und nun als ich sie testen will ist sie weg.
Ist das gewollt?

Sven am 19. August 2011 um 16:35

Mit einer neuen Version (< 3.0.0) gibt es nun einen Passwortreminder.
Sprich, man kann einstellen, wann ein Passwort abläuft und beim Login erscheint ein Hinweis, dass man es doch bitte ändern soll.

Thomas am 05. Februar 2012 um 22:21
Trackbacks & Pingbacks

[…] TYPO3-Extension “be_secure_pw” Backend-Benutzern sichere Kennwörter “aufzwingen” […]

Pingback von Links 10 | WoWa's-Webdesign Blog am 22. März 2010 um 12:01

[…] es hier und hier schon zu Fragen kam, ob einige Extensions nicht mehr im TER sein, kurz die Info. Vorweg, […]

Pingback von TER schlecht erreichbar | TYPO3 Blogger am 19. August 2011 um 19:26

Kategorien

Archiv