Project

General

Profile

Actions

Sikkerhedsopdateringer i Drupal og DDB CMS

Opretholdelsen af et højt sikkerhedsniveau i DDB CMS er en løbende opgave som DDB varetager via et tæt samarbejde med DBC, som er vores drifts- og hostingpartner og Core team der rådgiver os omkring arkitekturen og kvalitetssikringen af koden samt varetager det parktiske arbejde omkring blandt andet udrulning af sikkerhedsopdateringer.

Core team overvåger løbende udmeldinger fra Drupal organisationen om sikkerhedsopdateringer og DBC holder løbende hostingplatformen for redaktør- og webmasterhostingplansbibliotekerne opdateret med de seneste stabile versioner af den software DDB CMS hostes på.

Sikkerhedsopdatering af Drupal platformen

DDB CMS er baseret på CMS’et Drupal samt en række moduler udviklet af tredjeparter. Sikkerheden af disse elementer håndteres af Drupals security team.

Hver onsdag udsendes notifikationer (@drupalsecurity) om identificerede sikkerhedshuller og tilhørende sikkerhedsopdateringer til tredjepartsmoduler og den tredje onsdag i hver måned for Drupal kernen. Konsekvenserne af hvert sikkerhedshul vurderes ud fra en skala fra Not Critical til Highly Critical.

Core team modtager løbende notifikationer fra Drupals security team. Hvis der er sikkerhedshuller identificeret i forhold til Drupal kernen eller tredjepartsmoduler, foretager Core teamet en vurdering om, hvorvidt det er relevant at opdatere DDB CMS og indenfor hvilken tidsramme.

Sikkerhedshuller, der kompromitterer sikkerheden for DDB CMS, vil blive rettet hurtigst muligt. Alle sikkerhedsopdateringer vil dog ikke automatisk blive gennemført

En opdatering medfører en opdatering af hele kodebasen for det påvirkede modul og dette kan skabe problemer i forhold til kompatibiliteten med andre moduler, hvilket i sidste ende fører til fejl i DDB CMS. Derfor vurderes relevansen af hver sikkerhedsopdatering. Dette kan eksempelvis være hvis sikkerhedshullet eksponerer potentielt skadelig funktionalitet for redaktionelle brugere i ét modul, men hvor denne funktionalitet allerede er tilgængelige for brugerne i andre moduler i kraft af systemets design. Dette gælder eksempel cross-site scripting angreb. I dette tilfælde vil sikkerhedshullet først blive rettet med næste opdatering af modulet foretaget som en del af det løbende udviklingsarbejde med DDB CMS.

Sikkerhedshuller i DDB CMS platformen

Hvis en person finder en sårbarhed i DDB CMS kodebasen kan dette rapporteres til Core team ved at sende en email til dingcore@ting.dk.

Information om kritiske sikkerhedshuller bør IKKE oprettes som et åbent issue i DDB CMS issue trackeren, da den er offentlig og derfor kan eksponere sårbarheden for IT-kriminelle.

Ved henvendelser vil Core team undersøge sårbarheden i forhold til hvorvidt den specifikt gælder DDB CMS, den underliggende Drupal platform eller kode der specifikt er i anvendelse på det konkrete site.

Hvis der er tale om et generelt sikkerhedshul vurderer Core team konsekvenserne af sikkerhedshullet. Herefter koordinerer Core team, DDB CMS support teamet og personen, der har henvendt sig, arbejdet i forhold til hvordan hullet kan blive rettet.

Rettelser til sikkerhedshuller i DDB CMS udrulles typisk som en del af de fire årlige releases, med mindre der er tale om tidskritiske rettelser der skal udrulles uden for den planlagte releaseplan.

Proces for udrulning af tidskritiske sikkerhedsopdateringer

Hvis en sikkerhedsopdatering vurderes som værende kritisk DDB CMS uden for den planlagte releaseplan, og vurderes inden for kort tid at kunne udnyttes af IT-kriminelle, patches produktionsmiljøerne hurtigst muligt via følgende proces:

  1. Core team klargør den nødvendige patch af DDB CMS kodebasen, således at sikkerhedshullet lukkes, og tagger en ny version af DDB CMS.
  2. DDB CMS driftsleverandøren opdaterer produktionsmiljøerne for biblioteker på redaktør- og webmasterhostingplanen med den nye patch/version.
  3. Biblioteker på programmørhostingplanerne kontaktes af DDB om sikkerhedsopdateringen så snart en patch er klar, men de er selv ansvarlige for at opdatere og teste deres site.
  4. Biblioteker på webmasterhostingplanen orienteres om sikkerhedsopdateringen via DDB nyhedsbrevet, men bør teste deres site efter sikkerhedsopdateringer udført af DDB CMS driftsleverandøren og er grundlæggende selv ansvarlig for sikkerhedsopdateringer og test af installerede 3.-partsmoduler og øvrige lokale tilpasninger til DDB CMS.

Kommunikation ift. sikkerhedsopdateringer

Sikkerhedsopdateringer vil fremgå af DDBs releasenote for pågældende release. Oversigt over releasenotes fremgår af http://platform.dandigbib.org/projects/ddb-cms/wiki/DDBCMSstatus

Core Team orienterer løbende DDB ift. sikkerhedsarbejdet.

DDB informerer bibliotekerne via DDB CMS nyhedsbrevet.

Updated by Rolf Madsen over 3 years ago · 5 revisions