Forum - co i jak ?

[For Technology]

Witam, od dawna zamierzam założyć forum ( nie będę pisał o czym itp. bo to nie temat na to ), przypuszczam że będę używał skryptu MyBB lub phpbb3. Także od jakiegoś czasu czytam o zabezpieczeniach żeby nikt mi się nie włamał na to forum oraz żeby dane użytkowników były bezpieczne. Jakieś podstawowe informacje na ten temat już mam, lecz to mi nie wystarcza . Więc proszę żeby jakaś kompetentna i doświadczona osoba mi napisała na co bardziej zwrócić uwagę, co ukryć itp.

Jeżeli chodzi o opcje szukaj to powiem że szukałem i wszystko co było to przeczytałem. Na pewno ten temat przyda się innym użytkownikom których nurtuje ten obszerny temat !

Pozdrawiam !

[For Technology]

Nikt nie pomoże w tym temacie ? Może nikt nie posiada takiej wiedzy ?

[TQM]

Chcesz aby bylo bezpiecznie to:
1. nie uzywaj PHP
2. przejrzyj dokladnie kod zrodlowy i sam sprawdz czy nie ma bledow

Re #1 - nie mowie bez powodu, PHP pozwala userowi strony na zbyt wiele i nie da sie tego dokladnie ograniczyc, bo nawet jesli ograniczysz to co niebezpieczne (wylaczysz funkcje itp) to sie okaze ze kod forum uzywa wlasnie tej funkcji i dupa. Robilismy niedawno analize u nas w firmie i wnioski byly takie ze PHP trzeba unikac (my nie mozemy sobie pozwolic na wpadke) a jesli juz musimy to osobne serwery na osobnej sieci z osobnymi firewall'ami, bez dostepu do czegokolwiek innego...

Jesli juz musisz uzywac PHP to podstawowe zasady wzmacniania serwera:
1. Wywalic wszelkie uslugi ktore nie sa potrzebne - trzymac ilosc sluchajacych portow na totalnym minimum
2. Zablokowac na firewallu wszelkie polaczenia wychodzace do adresow innych niz:
- 127.0.0.1
- serwery DNS ktorych uzywasz
- serwer aktualizacji twojej dystrybucji linuxa
3. Wyciac wszelkie polaczenia przychodzace poza portem 80 i 22 z ograniczeniem do Twojego IP
4. Regularnie aktualizowac oprogramowanie
5. Zmienic konfiguracje SSH aby zezwalala tylko i wylacznie na logowanie z autoryzacja kluczem ssh
6. Monitorowac logi - warto zainstalowac jakis HIDS

Takie cos uniemozliwia wiekszosc zagran na serwerze, dalej oczywiscie bezpieczenstwo aplikacji samej w sobie - jak dla mnie w PHP sprawa generalnie przegrana - nie spotkalem od 10 lat praktycznie hosta do ktorego by sie wlamano przez cokolwiek innego niz cos co dzialalo w oparciu o PHP... ale to tylko moje 2gr.