Software - Sicherheit und Zuverlässigkeit

Hier erklären wir Ihnen die konzeptionellen Grundlagen der BlueSpice Softwareentwicklung und erläutern zentrale Verfahren, mit denen Hallo Welt! Sicherheit und Zuverlässigkeit in der Softwareentwicklung gewährleistet.

Prinzipien der Softwareentwicklung

Die Softwareentwicklung von BlueSpice basiert auf einer Reihe wichtiger Prinzipien:

• Cloud-First-Ansatz: Die Software wird für den Einsatz in unserem Cloud-Angebot entwickelt und regelmäßig auch für On-Premises-Installationen veröffentlicht.
• Security-by-Default: Alle relevanten Sicherheitseinstellungen sind bereits in der Grundkonfiguration der Software und unserer Services aktiviert.
• Herstellerunabhängigkeit durch Open-Source-Entwicklung: Hallo Welt! ist zwar alleiniger Hersteller der Softwaredistribution BlueSpice, der von Hallo Welt! produzierte Code wird jedoch unter aktiver Beteiligung der der MediaWiki-Community in den öffentlichen Repositories der Wikimedia Foundation entwickelt und ist somit frei zugänglich. Damit ist sichergestellt, dass der Support für die Nutzer der Software nicht nur durch Hallo Welt!, sondern auch durch andere Dienstleister geleistet werden kann (Vermeidung eines Lock-in-Effekts).
• Verwendung quelloffener Standards, Technologien und Formate: Hallo Welt! setzt auf offene Standards, die besonders leicht zugänglich, erweiterbar und einsetzbar sind. Die notwendige Server-Infrastruktur kann vollständig mit Open-Source-Software bereitgestellt werden (z.B. Linux-Betriebssysteme oder MariaDB als Datenbanksystem). Die Software BlueSpice basiert auf und nutzt verschiedene offene Standards (z.B. TLS, TCP/IP, IPv6 als Netzwerkprotokoll für die Kommunikation, sowie HTML, JavaScript, CSS und XML für die Darstellung und Funktion).
  Es verwendet standardisierte Zeichensätze und Kodierungen und unterstützt die Verwendung offener Formate wie PNG, Ogg, SVG, CSV oder MathML. Und natürlich unterstützt BlueSpice einheitliche Standards zur Beschreibung von Metadaten wie RDF.
• Sichere Verschlüsselungsverfahren auf Basis von Industriestandards: Hier wird z.B. die Kommunikation zwischen Anwendung und Benutzer durch TLS abgesichert und Passwörter durch Hashing sicher in der Datenbank gespeichert. Für die Benutzerauthentifizierung kann auf bewährte Standards wie SAML oder OpenID Connect zurückgegriffen werden.
• Modularität: Die Software ist modular und objektorientiert aufgebaut. Einzelne Funktionen können bei Bedarf deaktiviert und individuelle Anforderungen einfach umgesetzt werden. Auch kompatible Erweiterungen aus dem MediaWiki-Ökosystem, die nicht direkt Bestandteil von BlueSpice sind, können bei Bedarf nachinstalliert werden (On Premises).
• Interoperabilität: BlueSpice stellt verschiedene Schnittstellen sowie Import- und Exportfunktionen zur Verfügung, um die Wiki-Software mit anderen Systemen zu verbinden. Über eine gut dokumentierte Web API (u.a. REST) können Aufgaben automatisiert und der Datenaustausch zwischen verschiedenen internen IT-Systemen realisiert werden. Ein einfaches XML-basiertes Datenformat ermöglicht den Im- und Export von Wiki-Seiteninhalten und eignet sich z.B. für die Migration bestehender Dokumentenbestände. Darüber hinaus stehen verschiedene Authentifizierungssysteme (Active Directory/LDAP, SAML, Open ID Connect) zur Auswahl, die eine nahtlose Integration von BlueSpice in die eigene IT-Infrastruktur ermöglichen.

Siehe auch:

• Verena Hösl: BlueSpice Produktentwicklung –von der Planung bis zur Dokumentation, BlueSpice Summit 2022.
• Open Source Business Alliance: Sicherheit: Open Source Software und proprietäre Software im Vergleich, 21. Juni 2022.

Kontinuierliche Dokumentation

Eine gute Dokumentation ist für die Nutzung und Weiterentwicklung einer Software essentiell. Der zentrale Ort für die Dokumentation der Software und ihrer Anwendung ist das BlueSpice Helpdesk-Wiki, in dem Sie sich gerade befinden. Es ist die zentrale Anlaufstelle für Anwender, Administratoren und Entwickler. Dort stellen wir zentral und immer aktuell folgende Dokumente bereit:

• Systemanforderungen
• Installationsanleitung
• Softwarekatalog: Umfang des aktuellen Releases
• Releasehistorie: Beschreibung und Release Notes der verschiedenen BlueSpice Versionen
• Die Referenzen aller Erweiterungen: Beschreibung der Funktion, technische Informationen (z.B. Abhängigkeiten, Konfigurationsmöglichkeiten, API Modules und Hooks)
• Ferner findet man dort auch Anwenderhandbücher:
  • Benutzerhandbuch
  • Adminhandbuch

• BlueSpice Betriebshandbuch u.a. mit Diagrammen zur Architektur.

Benutzerauthentifizierung, Verschlüsselung und kryptografische Verfahren

Der Schutz von Datenbeständen, Nachrichten oder Übertragungskanälen ist angesichts der verschärften Bedrohungslage durch Cyber-Angriffe eine zentrale Aufgabe für Softwarehersteller. BlueSpice unterstützt den Datenschutz und die Informationssicherheit durch entsprechende Funktionen. Dazu gehören Standardfunktionen wie das Authentifizierungsverfahren, ein anpassbares Rechtemanagement oder die Stand-alone-Fähigkeit der Software (siehe auch Datenschutz und Informationssicherheit

Darüber hinaus erschweren die folgenden Funktionen den Erfolg eines externen Angriffs erheblich:

• Single Sign-on-Protokolle (SSO) - BlueSpice verwendet zur Absicherung der Authentifizierung Standard-Verfahren:
  • SAML 2.0 und OAuth 2.0 Bearer Token werden vollständig unterstützt.
  • Open ID Connect (OIDC) kann unterstützt werden.
  • Alternativ ist auch der verteilte Authentifizierungsdienst Kerberos möglich.
• Passwort Policy - In BlueSpice ist eine Passwort-Policy eingerichtet, die angepasst werden kann. Die wichtigsten Funktionen und Möglichkeiten sind:
  • Passwörter werden bei der Eingabe verborgen.
  • Die Mindestlänge der Passwörter ist konfigurierbar (Standard: 10 Zeichen).
  • Die Zusammensetzung der Passwörter (Großbuchstaben, Kleinbuchstaben, numerische Zeichen und Symbole) ist konfigurierbar.
  • Die Anzahl der maximal ungültigen Versuche ist konfigurierbar (Standard: 5 Versuche).
  • Die Dauer der Dauer der Sperre ist konfigurierbar (Standard: 5 min).
  • Ein Passwortänderungsintervall (Anzahl der Tage, bevor das System den Nutzer zwingt, das Passwort zu ändern) kann eingestellt werden.
  • Das Sperren inaktiver Kennungen ist möglich (über den UserManager).
  • Löschen inaktiver IDs ist über ein Serverskript möglich.
• Multifaktor- / Zwei-Faktor-Authentifizierung (MFA/2FA) - In BlueSpice kann eine Multifaktor-Authentifizierung für die Endbenutzer-Identifikation aktiviert werden.
  • Es werden zwei Verfahren angeboten:
    • OATHAuth ermöglicht 2FA über Einmalpasswort (TOTP, Time-based One-time Password Algorithm), z.B. über den Google Authenticator.
    • WebAuthn ermöglicht 2FA über FIDO-Sticks, Windows Hello! etc.
  • Die Funktionen für 2FA / MFA sind im Auslieferungszustand deaktiviert und müssen aktiviert werden.
  • Zu beachten ist, dass nach Aktivierung einer Multifaktor-Authentifizierung kein Single Sign-On mehr möglich ist.

• Verschlüsselung bei der Übertragung über das öffentliche Internet sowie bei der Übertragung von Dateien oder Daten über Netzwerke:
  • In BlueSpice-Cloud-Systemen ist der Zugang über HTTPS (mit TLS) ein Standard. Der Kunde kann hier sein eigenes Zertifikat verwenden.
  • Bei der Installation vor Ort (On Premises) wird die Infrastruktur des Kunden genutzt. Die gesamte Kommunikation lässt sich für einen sicheren Transport einrichten.
• Verschlüsselung zum Schutz von Daten im Ruhezustand (Datenbank, Dateien, Sicherungsmedien) ist grundsätzlich möglich.
  • Die Verschlüsselung der On-Premise-Systeme muss vom Kunden oder seinem Dienstleister eingerichtet und gewartet werden.
  • In der BlueSpice Cloud findet keine Verschlüsselung statt.

Bitte beachten Sie, dass BlueSpice free einen reduzierten Funktionsumfang hat. So werden die Erweiterungen für das Single Sign-on und die Zwei-Faktor-Authentifizierung nicht mit BlueSpice free ausgeliefert.

Cascading Style Sheets. Eine Computersprache für die Gestaltung digitaler, vorwiegend webbasierter Dokumente.

Der Quelltext eines Programmes ist frei verfügbar und darf von jedem verändert und weitergegeben werden.