Fremdpaket¶

Einfach zu installierende Fremdpakete für 32- und 64-bit-Systeme können heruntergeladen ⮷ 🇬🇧 und manuell installiert werden ^[1].

Update¶

Bei beiden Installationsvarianten müssen (Sicherheits-)Updates von Hand eingespielt werden. Wurde ein Fremdpaket verwendet, besteht der Update-Vorgang aus folgenden Schritten:

1. Beenden des Webservers:

   sudo /etc/init.d/hiawatha stop 

2. Sichern der Konfiguration:

   sudo cp /etc/hiawatha/hiawatha.conf /root/hiawatha_hiawatha.conf 

3. Deinstallation (inkl. Konfiguration):

   sudo dpkg -P hiawatha 

4. Herunterladen und Installieren eines neueren Fremdpakets (siehe oben)

5. Zurückspielen der Konfiguration:

   sudo cp /root/hiawatha_hiawatha.conf /etc/hiawatha/hiawatha.conf 

6. Anschließend prüft man, ob die bestehende Konfiguration mit der neuen Programmversion kompatibel ist:

   sudo hiawatha -k 

   Using /etc/hiawatha/hiawatha.conf
   Reading hiawatha.conf
   Configuration OK

7. Neustart des Webservers:

   sudo /etc/init.d/hiawatha restart 

Binding¶

Zuerst wird festgelegt, auf welchem Port der Webserver lauschen soll. Das folgende Beispiel nutzt Port 80 als Standard-Port für HTTP. Möchte man Hiawatha ohne Root-Rechte starten können, muss man einen Port größer als 1024 wählen. Oft wird z.B. auf Port 8080 ausgewichen.

Binding {
        Port = 80
}

Hierbei antwortet der Webserver auf Anfragen von allen Netzwerkkarten. Mit dem Schlüsselwort "Interface" kann man dies auf eine bestimmte Netzwerkschnittstelle begrenzen, etwa zum Testen, um den Webserver nur vom eigenen PC oder lokalen Netzwerk zu erreichen. Der eigene PC lauscht dabei immer auf 127.0.0.1, siehe localhost.

Binding {
        Port = 80
        Interface = 127.0.0.1 # Zugriff nur über eigenen PC
}
Binding {
        Port = 80
        Interface = 192.168.0.10 # Zugriffe aus dem lokalen Netzwerk 192.168.0.x
}

Möchte man mehrere Ports/Interfaces angeben, so erstellt man je eine neue Binding-Sektion.

Binding {
        Port = 443
        TLScertFile = Zertifikat.pem
}

Virtual Hosts¶

Wer Virtual Hosts nutzen möchte, kann dies auch zwei Arten umsetzen. Zum einen im entsprechenden Abschnitt:

VirtualHost {
        Hostname = www.meine-domain.de
        WebsiteRoot = /var/www/meine-domain/public
        StartFile = index.php
        AccessLogfile = /var/www/meine-domain/log/access.log
        ErrorLogfile = /var/www/meine-domain/log/error.log
        TimeForCGI = 5
        UseFastCGI = PHP5
}

oder mit externen Dateien in den Ordnern /etc/hiawatha/enable-sites/ bzw. /etc/hiawatha/disable-sites. Bevorzugt man die zweite Möglichkeit, benötigt es allerdings noch eine entsprechende Anweisung:

# DEFAULT WEBSITE
...
Include /etc/hiawatha/enable-sites/

Auf diesem Weg ist es möglich, einen bestimmten Host zeitweilig zu deaktivieren:

sudo mv /etc/hiawatha/enable-sites/meine-domain.de /etc/hiawatha/disable-sites/
sudo /etc/init.d/hiawatha restart 

SNI¶

Ein Beispiel für Server Name Indication:

Binding {
        Port = 443
        TLScertFile = Zertifikat.pem
}
VirtualHost {
        Hostname = www.meine-domain.de
        ...
        TLScertFile = Website_A.pem
}
VirtualHost {
        Hostname = www.meine-andere-domain.de
        ...
        TLScertFile = Website_B.pem
}

Prävention und Abwehr von Angriffen¶

Da immer mehr Webserver dem Cyber-Vandalismus oder anderen Angriffen zum Opfer fallen, zählen die integrierten Sicherheitsfunktionen zu den interessanten Argumenten pro Hiawatha. Ein kurzes Beispiel (weitere Optionen sind den nachfolgenden Tabellen zu entnehmen):

# BANNING SETTINGS
# Deny service to clients who misbehave.
#
BanOnGarbage = 300
BanOnInvalidURL = 60
BanOnMaxPerIP = 5
BanOnMaxReqSize = 300
BanOnWrongPassword = 6:900
BanOnSQLi = 900
KickOnBan = yes
RebanDuringBan = yes
BanlistMask = deny LOCALHOST, deny LAN, deny WLAN

Unter Linux besteht darüber hinaus die Möglichkeit, AppArmor oder Grsecurity 🇬🇧 als zusätzliche Sicherungsmaßnahmen einzusetzen (Quelle: Linux security patches 🇬🇧).

Anonymisierung der Logfiles¶

Datenschutzrechtlich ist es in Deutschland nicht erlaubt, ohne triftigen Grund (monetäre Abrechnungen, Server-Attacken, usw.) eine personenbezogene Protokollierung des Nutzungsverhaltens vorzunehmen. Das bedeutet, dass die Speicherung der vollständigen IP-Adressen nicht erlaubt ist. Deshalb sollte man in der Konfigurationsdatei /etc/hiawatha/hiawatha.conf folgende Zeile hinzufügen, um die IP-Adressen zu anonymisieren:

AnonymizeIP = yes

Anschließend muss man den Webserver neu starten, um die Änderung wirksam zu machen.