By\u0107 mo\u017ce dotychczas s\u0105dzi\u0142e\u015b, \u017ce zapewnienie bezpiecze\u0144stwa Twojej strony internetowej przez firm\u0119 hostinguj\u0105c\u0105 to kwestia raczej drugorz\u0119dna, znajduj\u0105ca si\u0119 daleko w tyle za p\u0142ynno\u015bci\u0105 i szybko\u015bci\u0105 przep\u0142ywu danych, czy za oferowanymi technologiami, jak MySQL. Warto jednak przez moment pochyli\u0107 si\u0119 nad t\u0105 kwesti\u0105 i pomy\u015ble\u0107: firma hostingowa, przechowuj\u0105c informacje i udost\u0119pniaj\u0105c je w sieci, ma wszystkie dane samej witryny, a tym samym Twoje dane, ale i dane wra\u017cliwe Twoich Klient\u00f3w. Je\u015bli jest to sklep internetowy, to poza adresem e-mail w gr\u0119 wchodz\u0105 numery telefon\u00f3w, nazwiska i adresy zamieszkania, przez co sprawa si\u0119 nieco komplikuje, gdy dojdzie do cyberataku na stron\u0119 i dane \u2014 niedostatecznie chronione \u2014 po prostu z niej wyciekn\u0105.<\/p>\n
Bior\u0105c pod uwag\u0119 zwi\u0119kszaj\u0105c\u0105 si\u0119 ilo\u015b\u0107 takich atak\u00f3w na poufne informacje o klientach, przebieg\u0142o\u015b\u0107 haker\u00f3w oraz ich zwi\u0119kszaj\u0105ce si\u0119 mo\u017cliwo\u015bci i umiej\u0119tno\u015bci, chc\u0105c prowadzi\u0107 stron\u0119 www, trzeba rozs\u0105dnie podej\u015b\u0107 r\u00f3wnie\u017c do zagadnienia bezpiecznego hostingu.<\/strong><\/p>\n Aby mo\u017cna w og\u00f3le zacz\u0105\u0107 m\u00f3wi\u0107 o bezpiecznym hostingu plik\u00f3w<\/strong>, trzeba wiedzie\u0107, jakie g\u0142\u00f3wne obszary trzeba zabezpiecza\u0107 oraz w jaki spos\u00f3b robi\u0107 to najlepiej. T\u0119 ostatni\u0105 kwesti\u0119 oczywi\u015bcie mo\u017cna pozostawi\u0107 specjalistom od zabezpiecze\u0144, kt\u00f3rych zatrudniaj\u0105 wszystkie szanuj\u0105ce si\u0119 firmy hostingowe.<\/p>\n Strona internetowa jako taka sk\u0142ada si\u0119 z wielu element\u00f3w i ka\u017cdy z nich wymaga pod wzgl\u0119dem bezpiecze\u0144stwa innego potraktowania. Chodzi tu mi\u0119dzy innymi o zabezpieczenie poczty e-mail, a wi\u0119c ca\u0142ej poufnej korespondencji z klientami, niezak\u0142\u00f3cony niczym transfer plik\u00f3w na serwer, panel steruj\u0105cy, no i oczywi\u015bcie prawnie wymagana zgodno\u015b\u0107 z europejskim RODO. To jednak dopiero czubek g\u00f3ry lodowej, je\u015bli chodzi o ochron\u0119, jakiej wymaga dzisiaj ka\u017cda podstawowa strona www.<\/p>\n Korzystanie z niekt\u00f3rych rozwi\u0105za\u0144 i technologii jest dzisiaj rozumiane jako standard, o wszystkich innych musisz pomy\u015ble\u0107 samodzielnie lub znale\u017a\u0107 firm\u0119 hostingow\u0105, kt\u00f3ra zadba o odpowiedni poziom zabezpiecze\u0144 i zaproponuje optymalne rozwi\u0105zania. Rozmawiaj\u0105c o formach zabezpieczenia hosting\u00f3w,<\/strong> warto zacz\u0105\u0107 od najbardziej oczywistych i og\u00f3lnych kwestii.<\/p>\n Coraz wi\u0119cej firm hostingowych umo\u017cliwia swoim klientom korzystanie z darmowych certyfikat\u00f3w Let’s Encrypt. Szyfrowane po\u0142\u0105czenie, jakie kryje si\u0119 pod nazw\u0105 \u201ecertyfikat SSL\u201d, w praktyce oznacza, \u017ce w czasie przesy\u0142u danych z serwera do serwisu i mi\u0119dzy serwisem a przegl\u0105dark\u0105 go\u015bci strony www, tre\u015bci zamieszczone na niej nie b\u0119d\u0105 mog\u0142y zosta\u0107 zmienione ani wykradzione. Ka\u017cda szyfrowana za pomoc\u0105 certyfikatu SSL strona w pasku przegl\u0105darki b\u0119dzie si\u0119 zaczyna\u0107 od: https:\/\/<\/i>. Czy warto decydowa\u0107 si\u0119 na ten krok? W dobie rosn\u0105cej \u015bwiadomo\u015bci konsument\u00f3w dotycz\u0105cej bezpiecze\u0144stwa danych mo\u017ce by\u0107 to niezb\u0119dne, aby w og\u00f3le funkcjonowa\u0107 w sieci \u2013 szczeg\u00f3lnie dlatego, \u017ce przed wej\u015bciem na niezabezpieczone certyfikatem strony wy\u015bwietla si\u0119 informuj\u0105cy o tym fakcie komunikat. To punkt, w kt\u00f3rym pewnie cz\u0119\u015b\u0107 przegl\u0105daj\u0105cych w og\u00f3le zrezygnuje z zajrzenia na stron\u0119. <\/p>\n Domain Name System<\/i>, czyli w skr\u00f3cie DNS, pozwala korzystaj\u0105cemu z sieci u\u017cytkownikowi znale\u017a\u0107 si\u0119 na konkretnej stronie dzi\u0119ki wpisaniu w pasku przegl\u0105darki konkretnej nazwy, a nie IP witryny, co znacznie u\u0142atwia i przyspiesza poruszanie si\u0119 po internecie. Przeci\u0119tnemu u\u017cytkownikowi pewnie nawet trudno sobie wyobrazi\u0107 konieczno\u015b\u0107 pami\u0119tania IP stron, kt\u00f3re chce odwiedzi\u0107. <\/p>\n Co jednak trzeba rozumie\u0107 pod poj\u0119ciem zabezpieczenia domeny DNS, oferowanej dzisiaj przez firmy hostingowe g\u0142\u00f3wnie w dw\u00f3ch wariantach? Jedn\u0105 z metod zabezpieczenia jest ochrona DNSSEC, wykorzystywana w przewa\u017caj\u0105cej ilo\u015bci przypadk\u00f3w. Celem jest uniemo\u017cliwienie przekierowania strony na inn\u0105, na przyk\u0142ad fa\u0142szyw\u0105, co cz\u0119sto si\u0119 dzieje w przypadku stron bank\u00f3w. Dzia\u0142a to na zasadzie uwierzytelnienia, czyli DNSSEC \u2014 zanim pozwoli na przekierowanie do wpisanego adresu, upewnia si\u0119, \u017ce IP strony si\u0119 zgadza i jest poprawnie zlokalizowane. Druga mo\u017cliwo\u015b\u0107 dzia\u0142a bardziej globalnie \u2013 DNS Anycast gwarantuje nieprzerwany dost\u0119p do tre\u015bci na stronie nawet w chwili, gdy jeden z serwer\u00f3w ulegnie awarii, inny natychmiast przejmuje jego rol\u0119.<\/p>\n Do ochrony witryny mo\u017cna wykorzysta\u0107 jeszcze dwa inne narz\u0119dzia, w tym ochron\u0119 Web Application Firewall<\/i>, polegaj\u0105c\u0105 na blokowaniu nieodpowiednich tre\u015bci. Nieodpowiednich, czyli tak zwanych niepo\u017c\u0105danych, rozsy\u0142anych za pomoc\u0105 nieszyfrowanego protoko\u0142u HTTP, ale czasem i HTTPS. Zadaniem takich zabezpiecze\u0144 jest niedopuszczenie do wykradzenia danych, czy wykorzystania Twojej strony do dzia\u0142a\u0144 przest\u0119pczych dzi\u0119ki filtrowaniu, a nast\u0119pnie blokowaniu z\u0142o\u015bliwych zapyta\u0144, kt\u00f3re trafiaj\u0105 pod Tw\u00f3j adres www. Ochrona ta jest skuteczna w przypadku takich atak\u00f3w, jak SQL Injection, Cross Site Scripting czy Directory Traversal.<\/p>\n R\u00f3wnie wa\u017cna jest separacja stron. Je\u015bli dojdzie ju\u017c do zainfekowania z\u0142o\u015bliwym oprogramowaniem przez niezaktualizowan\u0105 wtyczk\u0119, czy stary szablon, \u201einfekcja\u201d nie rozniesie si\u0119 na ca\u0142\u0105 stron\u0119. Jest to mo\u017cliwe dzi\u0119ki indywidualnemu, separatystycznemu traktowaniu ka\u017cdego katalogu, jaki przynale\u017cy do danej domeny. Trzeba jedynie pami\u0119ta\u0107, \u017ce podczas wykonywania aktualizacji, czy przy wszelkiego rodzaju instalacjach, konieczne b\u0119dzie wy\u0142\u0105czenie tej bariery ochronnej.<\/p>\n Ta kwestia jest szczeg\u00f3lnie wa\u017cna dla sklep\u00f3w internetowych oraz firm, dla kt\u00f3rych wirtualna skrzynka pocztowa jest baz\u0105 utrzymywania kontaktu z klientami. To podstawowe miejsce \u201epracy\u201d haker\u00f3w, wykorzystuj\u0105cych poczt\u0119 do atak\u00f3w phishingowych. Wysy\u0142ane przez nich wiadomo\u015bci trafiaj\u0105ce do skrzynek Twoich klient\u00f3w do z\u0142udzenia przypominaj\u0105 te autentyczne, rozsy\u0142ane przez powszechnie znane, du\u017ce przedsi\u0119biorstwa, np. dystrybuuj\u0105ce pr\u0105d lub gaz. Bardziej z\u0142o\u015bliwym rodzajem dzia\u0142ania ze strony przest\u0119pc\u00f3w b\u0119dzie podszywanie si\u0119 pod Tw\u00f3j w\u0142asny adres pocztowy i rozsy\u0142anie z niego fa\u0142szywych wiadomo\u015bci. <\/p>\n W\u0142a\u015bnie dlatego witryna musi mie\u0107 zabezpieczenia. Do popularnie stosowanych nale\u017cy Sender Policy Framework<\/i>, czyli bardzo konkretny i specyficzny wpis w systemie DNS. Wykorzysta\u0107 mo\u017cna te\u017c DomainKeys Identified Mail<\/i>, dzi\u0119ki kt\u00f3remu wiadomo\u015bci wysy\u0142ane przez Ciebie b\u0119d\u0105 cyfrowo podpisywane i niemo\u017cliwe do podrobienia. Sum\u0105 dw\u00f3ch wcze\u015bniejszych rozwi\u0105za\u0144 jest Domain-based Message Authentication, Reporting and Conformance<\/i> \u2013 po wpisaniu odpowiednich komend narz\u0119dzie b\u0119dzie decydowa\u0142o, co zrobi\u0107 z konkretnymi wiadomo\u015bciami e-mail \u2013 na przyk\u0142ad tymi, pod kt\u00f3rymi nie widnieje Tw\u00f3j cyfrowy podpis.<\/p>\n Je\u015bli korzystasz z opcji zbierania danych od swoich klient\u00f3w czy u\u017cytkownik\u00f3w strony, automatycznie musisz zadba\u0107 te\u017c o zgodno\u015b\u0107 hostingu z wymaganiami narzuconymi przez RODO. W telegraficznym skr\u00f3cie to wszystkie okienka, jakie pojawiaj\u0105 si\u0119 zaraz po wej\u015bciu na wybran\u0105 stron\u0119 internetow\u0105. Je\u015bli przetwarzasz dane osobowe, Twoim obowi\u0105zkiem jest podpisanie umowy o powierzeniu przetwarzanych danych.<\/p>\n Je\u015bli jeste\u015bmy ju\u017c przy kwestii zapewnienia ochrony danych, nie mo\u017cna pomin\u0105\u0107 bezpiecznego transferu plik\u00f3w na hosting.<\/strong> Popularnie stosowanym protoko\u0142em s\u0142u\u017c\u0105cym przesy\u0142owi danych jest File Transfer Protocol<\/i>. Trzeba si\u0119 jednak dwa razy zastanowi\u0107 przed wybraniem tej opcji, zamiast SFTP, <\/i>czyli SSH File Transfer Protocol<\/i>. R\u00f3\u017cnica niby niewielka, ale w praktyce pierwsze rozwi\u0105zanie oznacza nieszyfrowane przesy\u0142anie wszystkich danych, w tym Twoich login\u00f3w, hase\u0142 i absolutnie wszystkich danych, jakie s\u0105 zwi\u0105zane z Twoj\u0105 domen\u0105. Druga opcja jest wi\u0119c wyj\u015bciem znacznie bezpieczniejszym, poniewa\u017c w pe\u0142ni szyfrowanym, a wi\u0119c niejawnym dla os\u00f3b postronnych. Aby korzysta\u0107 z bezpiecznego transferu plik\u00f3w na hosting,<\/strong> wystarczy, aby firma hostinguj\u0105ca udost\u0119pni\u0142a Ci lini\u0119 polece\u0144.<\/p>\n Warto pami\u0119ta\u0107 tak\u017ce o bezpiecze\u0144stwie panelu hostingowego<\/strong>. Znacznie pewniejsze i zmniejszaj\u0105ce ryzyko w\u0142amania do panelu s\u0105 dwupoziomowe uwierzytelnienia dost\u0119pu do panelu, czyli Two Factor Authentication<\/i>. Pierwszym poziomem zabezpieczenia jest standardowo login oraz has\u0142o, a drugim mo\u017ce by\u0107 wysy\u0142any na Tw\u00f3j numer telefonu kod SMS \u2014 zawsze jednorazowy, przekazywany za pomoc\u0105 stworzonej do tego aplikacji lub klucz U2F.<\/p>\n Pami\u0119tasz, aby regularnie wykonywa\u0107 kopi\u0119 zapasow\u0105 danych na swoim komputerze? To samo dotyczy Twojej domeny i gromadzonych za jej po\u015brednictwem danych. W przypadku profesjonalnych firm hostingowych takie sytuacje nie mog\u0105 mie\u0107 miejsca, ale je\u015bli dojdzie do \u2013 nawet przypadkowego \u2013 usuni\u0119cia danych z serwer\u00f3w przez firm\u0119 hostingujac\u0105, zostajesz dos\u0142ownie z niczym. Zadbanie o posiadanie aktualnej kopii zapasowej danych le\u017cy r\u00f3wnie\u017c w Twoim interesie, poniewa\u017c to Twoje zabezpieczenie na wszelkie bli\u017cej nieokre\u015blone ewentualno\u015bci. Backup mo\u017cesz wykona\u0107 samodzielnie i przechowywa\u0107 go na komputerze lub w chmurze. Musisz jedynie dowiedzie\u0107 si\u0119, czy firma hostinguj\u0105ca nie wskazuje konkretnej pory dnia, kiedy mo\u017cesz takiego zapisu dokona\u0107. Jak cz\u0119sto powinno si\u0119 przeprowadza\u0107 zapis kopii zapasowej? \u017beby m\u00f3c spa\u0107 spokojnie, musisz to robi\u0107 nie rzadziej, ni\u017c raz na dob\u0119, a firma hostinguj\u0105ca powinna takie dane przechowywa\u0107 przez okres minimum tygodnia.<\/p>\n\n\nCo nale\u017cy rozumie\u0107 przez poj\u0119cie \u201ebezpieczny hosting\u201d?<\/h2>\n
R\u00f3\u017cne formy zabezpieczenia hosting\u00f3w<\/h2>\n
Szyfrowane po\u0142\u0105czenia, czyli certyfikat SSL<\/h3>\n
Zabezpieczenia serwer\u00f3w DNS<\/h3>\n
Ochrona WAF i separacja stron<\/h3>\n
Bezpieczna poczta e-mail<\/h3>\n
Bezpieczny transfer plik\u00f3w na hosting i panel hostingowy<\/h3>\n
Ostatnie, ale nie najmniej wa\u017cne \u2013 kopia zapasowa<\/h2>\n