Open Source e-Learning
  • Login

Breadcrumb Navigation

Tabs

Functions

  • skaiser | skaiser | 04. Dec 2018, 13:56
    Whitelist für Dateien-Upload

    Hallo zusammen,

    dies ist eine Anfrage an alle ILIAS-Hochschuladmins:

    Wenn man versucht in ILIAS Dateien hochzuladen deren Dateiendungen nicht unter "Administration > Dateien > Upload-Einstellungen" auf der Whitelist stehen, werden diese mit dem Zusatz ".sec " und sind somit nicht zu öffnen. (Oder zumindest erst, wenn die Dateiendung lokal wieder zurückgeändert wird.

    Wie geht Ihr damit um, wenn Lehrende Dateien in ILIAS hochladen wollen, die sich nicht auf der Whitelist befinden und somit die Endung .sec bekommen. Unsere Lehrenden finden das jedenfalls unpraktikabel.

    Also die Frage ist nicht direkt technisch zu verstehen, sondern eher von der Haltung dazu.

    Tragt ihr einfach die evtl. gewünschte Dateiendung der Whitelist hinzu? Prüft Ihr die Dateiendungen irgendwie auf ein potentielles Sicherheitsrisiko?

    Gerne könnt ihr mir dazu auch eine Mail schreiben, falls das hier nicht im Forum stehen soll.

    Ich würde mich über Rückmeldungen freuen.

    Viele Grüße

    Sascha

  • bogen | bogen | 04. Dec 2018, 14:17
    Edited on: 04. Dec 2018, 14:20 - by bogen | bogen
    Re: Whitelist für Dateien-Upload
    Hallo Sascha,

    kann ruhig ins Forum, ist kein Geheimnis … :)

    Wir prüfen bzw. ich prüfen die Endungen, indem ich meinen Kollegen Pascal (Seeland) frage, ob er da ein potenzielles Risiko sieht. Sofern ich mir die Beturteilung nicht selbst zutraue – dass .php oder .py nicht erlaubt werden dürfen, ist ja klar. Es geht ja nicht (so sehr) um die Sicherheit der Endnutzer-Endgeräte, sondern (vor allem) darum, den/die Server vor möglichen Exploits durch dort ausführbaren Code zu schützen ... ((Sub)domain-Isolation kann ILIAS bislang halt leider nicht.)

    Wenn nichts dagegen spricht, die Endung zu erlauben, lege ich in unserem, vom offiziellen geforkten ILIAS-Repo einen Branch an und setze die Endungen dort dann in die class.ilFileUltils.php ein. Sieht dann z.B. so aus: https://github.com/TIK-NFL/ILIAS/tree/workaround/5-3/session-fix+stl+obj

    Im Nachgang stelle ich dann noch einen Pull-Request gegen das offizielle Repo, z.B. hier: https://github.com/ILIAS-eLearning/ILIAS/pull/1300

    Ich hoffe, das hilft dir weiter.

    Viele Grüße
    Christian
  • skaiser | skaiser | 07. Dec 2018, 09:55
    Re (2): Whitelist für Dateien-Upload
    Hallo Christian,

    danke für Deine ausführliche Antwort.

    Hat noch jemand festgelegte Herangehensweisen an dieses Thema? Oder ist es für Euch einfach kein Thema?
  • pascal.schmitt | pascal.schmitt | 07. Dec 2018, 10:12
    Re: Re (2): Whitelist für Dateien-Upload
    Hallo Sascha

    Bei uns entscheide ich ob die Dateiendung auf die Whitelist kommt oder nicht. Mir geht es dabei, wie Christian, um den Schutz des Servers und nicht der User.

    Wie haben vor kurzem zudem diskutiert, ob wir nicht auf eine Blacklist umstellen wollen da dies weniger Anfragen provozieren würde. Wir haben uns aber dagegen entschieden. Der Aufwand fürs Whitelisten ist nicht sehr gross, es ist sicherer und mit der Zeit ist wohl jede Dateiendung auch mal erfasst :)

    Grüsse Pascal
  • bogen | bogen | 07. Dec 2018, 10:18
    Re (2): Re (2): Whitelist für Dateien-Upload
    Hallo zusammen,

    ich kann Pascal  nur beipflichten – der Aufwand für Whitelist-Ergänzungen hält sich in Grenzen. Zumal seit deren Einführung ja auch im Core schon wieder eine ganze Reihe von „fehlenden“ Endungen dazugekommen sind (vgl. https://github.com/ILIAS-eLearning/ILIAS/commits/release_5-3/Services/Utilities/classes/class.ilFileUtils.php).

    Viele grüße
    Christian
  • fawinike | fawinike | 07. Dec 2018, 10:23
    Re: Re (2): Whitelist für Dateien-Upload
    Hallo Sascha
    Das ist bei uns durchaus auch ein grosses Thema und hat zu beginn für Unmut gesorgt.

    Wir haben es in einem ersten Versuch mit einem relativ strickten Ansatz versucht, d.h. wollten eigentlich mit einer möglichst "naturbelassesnen" Whitelist arbeiten, haben uns dann aber schnell umentschieden und aus der Datenbank eine Liste der am häufigsten Verwendeten Dateitypen gezogen. Wir sind diese dann durchgegangen und haben diejenigen, die wir ev. nach etwas Suche im Web und unter Rücksichtnahme auf unsere Servereinstellungen als unbedenklich eingestuft haben, der Whitelist in ILIAS hinzugefügt. Seit da kann man sich einfach bei uns melden, wenn einem ein Dateityp fehlt und wir erlauben diesen, wenn er wiederum einer Prüfung standhält. Denn Pull-Request gegen das Repo halte ich nicht in allen Fällen für sinnvoll, da es sich bei uns häufig um Dateitypen handelt, die in ganz spezifischen Kontexten verwendet werden (va. bei den Technikern gibt es eine Unmenge an verschiedenen Typen). Das Ziel ist es, diese Typen regelmässig zu überprüfen, so dass sich dann nicht plötzlich doch einer als kritisch herausstellt, aber da muss es sich noch weisen, wie gut dies funktionieren wird, ...dies ist Handarbeit, die dann halt doch dem Arbeitsaltag zum Opfer fallen kann.

    Auch bei uns hält sich der Aufwand in Grenzen, wobei es mir durchaus auch um den Schutz der User geht, d.h. Dateitypen einfach zuzulassen, die automatisch beim Download ausgeführt werden könnten, finde ich etwas schwierig (auch wenn es da immer auch eine Abwägungsfrage ist).

    Liebe Grüsse,
    Stephan
  • skaiser | skaiser | Yesterday, 11:31
    Re (2): Whitelist für Dateien-Upload
    Vielen Dank für Eure Antworten,

    ich werde diese hier mal hausintern mit in die Diskussion nehmen, um für uns das zukünftige Szenario zu besprechen.

    Thanks!
    Sascha

Functions