Sikkerhetstips for installasjon

Generelt

Merk at vi tar sikkerhetsproblemer svært alvorlig og reagerer raskt. Hvis du kjenner til sikkerhetsproblemer i LimeSurvey, ber vi deg derfor si fra ved å opprette en feilrapport i vår feilsporing (merk feilen med alvorlighetsgrad eller kategori 'security').

For flere detaljer, se vår sikkerhetspolicy for rapportering av sikkerhetsproblemer/sårbarheter.

Begrensning av webserver

Hvis du bruker Apache, inneholder LimeSurvey flere htaccess-filer for begrensning av tilgang. Kontroller at du tillater de medfølgende htaccess-filene med AllowOverride.

Med en annen webserver, eller hvis du vil bruke AllowOverride None, må du:

• (valgfritt) deaktivere tilgang til alle filer i application, protected, framework og themes/*/views
• deaktivere tilgang til filer som er lastet opp av brukere i /upload/surveys/.*/fu_[a-z0-9]
• (valgfritt) deaktivere tilgang til kjørbare filer i opplastingsmappen

Du finner et eksempel for nginx i våre generelle vanlige spørsmål

Filrettigheter i Linux

Hvis du bruker en Linux-server, er det nødvendig å sette filrettigheter riktig for å sikre LimeSurvey-installasjonen din.

Grunnleggende fakta om filrettigheter i Linux/*nix

Et Linux/*nix-operativsystem er flerbruker. Det betyr at det, i tillegg til din personlige konto, kan finnes andre brukerkontoer på systemet, og du bør være nøye med hvilke rettigheter du gir til andre brukere.

Tips: Det er spesielt viktig å sette filrettigheter for å beskytte konfigurasjonsfiler som inneholder kritiske data, for eksempel passord.

Husk at kontoen 'root' alltid vil ha tilgang til filene dine (uansett hvilke filrettigheter du setter), siden det er superadministrator-brukeren.

Webserveren (som kjører LimeSurvey) kjører også under en bestemt identitet (bruker). På Linux er dette vanligvis brukeren 'www', 'www-data' (på Debian/Ubuntu), 'apache' eller 'nobody'. Noen nettverter bruker imidlertid systemer (som suexec) som gjør det mulig å kjøre LimeSurvey-skript med din personlige bruker. Webserver-brukeren må selvsagt ha rett til å lese LimeSurvey-filene. Det er imidlertid bare et lite utvalg av LimeSurveys undermapper som må kunne skrives til av webserver-brukeren.

Tips: Det er svært nyttig å fjerne skriverettigheten for webserver-brukeren på de undermappene i LimeSurvey som ikke trenger den. Selv om det skulle bli oppdaget en sårbarhet i LimeSurvey, vil hovedfilene fortsatt være beskyttet mot uautorisert endring takket være rettighetene i filsystemet.

Sette filrettigheter på et selvadministrert Linux-system

Hvis du selv administrerer konfigurasjonen av webserveren og operativsystemet (du eier den fysiske serveren eller leier en virtuell server der du har root-tilgang), kan du vurdere anbefalingene nedenfor.

Du kan først sette eier og gruppe for LimeSurvey-filene, slik at det blir enklere å sette opp filrettighetene. En mulig strategi er å sette eieren av LimeSurvey-filene til ditt personlige brukernavn, og gruppen til webserverens gruppe. Vanligvis inneholder denne gruppen bare webserverens konto (og eventuelt en annen webmaster-konto). Hvis for eksempel brukernavnet ditt er 'myaccount' og webserver-brukeren er 'apache' i gruppen 'apache', kan du bruke følgende kommando fra et skall: $ chown -R myaccount:apache limesurvey/. Sett deretter rettighetene for filer og undermapper.

For at skriptet skal fungere som det skal, kreves skrivetilgang til enkelte mapper:

• Mappen /limesurvey/application/config krever Les og skriv for å kunne lagre innstillingene for applikasjonen
• Mappen /limesurvey/tmp og undermappene brukes til import/opplasting og bør settes til Les og skriv for webserveren din
• Mappen upload/ og alle undermappene må også ha rettighetene Les og skriv for å kunne laste opp bilder og mediefiler
• Alle andre mapper og filer kan settes til Skrivebeskyttet

Sette filrettigheter på en nettvertsbasert webserver

Det er vanskelig å beskrive en standard fremgangsmåte for å sikre en webapplikasjon i et driftsmiljø hos en nettvert, siden slike miljøer er forskjellige på mange måter.

På en administrert server trenger serveren skrivetilgang til enkelte mapper for at skriptet skal fungere som det skal:

• Mappen /limesurvey/tmp brukes til import/opplasting og bør settes til Les og skriv for webserveren din
• Mappen upload/ og alle undermappene må også ha Les og skriv for webserveren din for å kunne laste opp bilder og mediefiler
• De andre mappene og filene bør settes til Skrivebeskyttet

Tips:

• Avhengig av konfigurasjonen av webserveren må du bruke chmod på de skrivbare mappene og sette rettighetene til 755 eller 777 for at webserveren skal kunne skrive til dem. Prøv 755 først, og hvis det ikke fungerer, 'oppgrader' til 777
• Du kan også prøve å fjerne lesetilgangen for andre brukere til config.php ved å sette rettighetene for denne filen til 750 - hvis det ikke fungerer, 'oppgrader' til 755

Filrettigheter i Windows

Hvis du bruker en Windows-server, bør du sørge for at admin-mappen lar eieren av webserver-prosessen skrive filer til denne mappen. Resten av filene kan settes til skrivebeskyttet og kjørbar.

Andre sikkerhetsspørsmål

Følgende er kun anbefalinger. LimeSurvey er generelt svært sikker uten disse ekstra tiltakene. Hvis du imidlertid samler inn ekstremt sensitive data, kan litt ekstra sikkerhet hjelpe:

Bruk av SSL

Vi anbefaler generelt bruk av SSL for sensitive undersøkelsesdata. Du aktiverer vanligvis SSL ved å konfigurere webserveren riktig og bruke et SSL-sertifikat. Hvis du har aktivert SSL, bør du tvinge bruk av SSL hele tiden fra LimeSurveys globale innstillinger. I tillegg kan du velge å bare bruke 'secure'-informasjonskapsler ved å redigere det aktuelle alternativet i config.php.

Tilgang til filen config.php

  Du må kun oppdatere application/config/config.php etter at den første installasjonen er fullført og fungerer.

Filen /application/config/config.php inneholder et brukernavn og et passord for databaseserveren din. Dette medfører visse sikkerhetsrisikoer, særlig hvis du bruker en pålogging med administratortilgang på høyt nivå til databasen. Hvis en feil skulle føre til at innholdet i denne PHP-filen sendes til en brukers nettleser, kan databasepassordet ditt og andre detaljer bli kompromittert (dette er imidlertid et svært usannsynlig scenario). Den beste måten å minimere risikoen på er å opprette en egen pålogging som kun har spesifikke rettigheter til LimeSurvey-databasen din.

En annen måte å sikre denne informasjonen på er å flytte informasjonen fra filen /application/config/config.php til en mappe utenfor weboversikten, det vil si for Apache-brukere mappen over htdocs-mappen (også kjent som public_html eller www). I praksis bruker du fortsatt config.php, men den inneholder bare én linje – en linje som inkluderer filen med den FAKTISKE konfigurasjonsinformasjonen (f.eks.: <?php return include("/home/hostfolder/safedata/configreal.php"); ?>). Fjern all faktisk konfigurasjonsinformasjon fra /application/config/config.php og lim den inn i den andre filen (configreal.php) som er nevnt i filen /application/config/config.php. Denne andre filen bør ligge i en mappe utenfor weboversikten. Da vil /application/config/config.php ikke inneholde databasepassord osv. – bare navnet på filen som FAKTISK inneholder databaseinformasjonen.

Dette gjør at du slipper å endre alle de andre filene som inkluderer /application/config/config.php, siden config.php «videresender dem» til konfigurasjonsfilen som ligger i en mappe utenfor weboversikten og som inneholder all den faktiske konfigurasjonsinformasjonen.

Dessuten bør du ikke bruke «admin» eller «administrator» som standardbruker. Gå til MySQL-databasen din (eller den du installerte LimeSurvey i) og endre standard brukernavn «admin» til det du foretrekker (f.eks. «admin_xyz»). Det blir nå mye vanskeligere å gjette administratorens nye brukernavn. Husk at dette er en av de to variablene inntrengere kan bruke for å skaffe seg tilgang. Administratorpassordet er den andre variabelen. Velg derfor begge med ytterste forsiktighet.

Content Security Policy (CSP)

MERK – CSP-en som vises her er kun et eksempel og er ikke ment å brukes uendret. Den er ment som et utgangspunkt, og du MÅ tilpasse den til dine behov og teste den grundig.

<IfModule mod_headers.c>
        Header always set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; base-uri 'none'; form-action 'self'; frame-ancestors 'self'; upgrade-insecure-requests" "expr=%{CONTENT_TYPE} =~ m#text\/(html|javascript)|application\/pdf|xml#i"
</IfModule>