Eingaben, Uploads und Importe
Worum geht es?
Alles, was von außen kommt, wird geprüft, bevor Illumentis es verarbeitet: Texte aus dem Editor, hochgeladene Dateien und Importe. Wir erlauben nur, was wir ausdrücklich kennen, und lehnen alles andere ab, statt es still zu verändern. Das verringert das Risiko, aber kein Prüfverfahren findet alles.
Schutzziel
Eine präparierte Eingabe, Datei oder ein Import soll weder Daten fremder Nutzer erreichen noch Schadcode einschleusen noch den Dienst lahmlegen.
Funktionsprinzip
- Erlaubtliste statt Sperrliste: Der Text im Editor ist ein strukturierter Baum. Jede Art von Baustein, jede Auszeichnung und jedes Attribut steht auf einer Erlaubtliste. Ein unbekannter Baustein lässt die ganze Anfrage scheitern, er wird nicht stillschweigend entfernt.
- Grenzen: Größe und Verschachtelung von Inhalten sowie die Länge von Eingaben sind begrenzt, damit präparierte Eingaben den Dienst nicht überlasten.
- Mehrfach prüfen: Beim Anzeigen im Browser wird der Text noch einmal bereinigt, falls trotzdem etwas durchrutscht.
- Dateien: Der Typ einer Datei richtet sich nach ihrem Inhalt, nicht nach der Endung. Dateinamen können nicht auf fremde Verzeichnisse zeigen. Uploads werden auf Schadsoftware geprüft, und ist die Prüfung nicht möglich, wird der Upload abgelehnt.
- Importe: Archive werden geprüft, bevor sie entpackt werden. Beim Lesen von XML werden keine externen Ressourcen nachgeladen. Importierte Daten landen nur im eigenen Projekt.
- Export: Die Erzeugung von Dokumenten hat keinen Zugriff auf das Netzwerk, und Verweise werden direkt davor noch einmal geprüft.
Maßnahmen
- Wir setzen eine Erlaubtliste ein, um unbekannte und neue Angriffsformen auszuschließen, statt nur bekannte zu sperren.
- Wir lehnen ab statt zu reparieren, damit keine halb bereinigte Eingabe gespeichert wird.
- Eingaben werden nicht blind in Datenobjekte übernommen. Nur Felder, die ausdrücklich vorgesehen sind, kommen an.
- Uploads, Importe und Exporte sind in der Häufigkeit begrenzt, damit sie sich nicht zur Überlastung nutzen lassen.
- Wichtige Prüfmuster werden darauf geprüft, dass präparierte Eingaben sie nicht ausbremsen.
Was wir nicht versprechen
- Kein Prüfverfahren erkennt jede Schadsoftware, vor allem neue nicht.
- Dateien aus unbekannter Quelle bleiben ein Risiko, auch wenn Illumentis sie prüft. Das gilt besonders, wenn du sie außerhalb von Illumentis öffnest.
- Die Prüfung kann ungewöhnliche, aber harmlose Eingaben ablehnen. Das nehmen wir in Kauf.
- Konkrete Grenzwerte nennen wir bewusst nicht.
Wie wir das prüfen
Die Schutzmaßnahmen haben automatisierte Tests, die die Tabelle unten nennt. Das Szenario „API Manipulation“ steht im Monatsbericht.
Nachweis-Tests
| Test | Das belegt der Test |
|---|---|
ChapterContentAstSecurityTest |
Präparierte Texte, zu tiefe oder zu große Inhalte und kaputte Bausteine werden abgelehnt, ohne Spuren zu hinterlassen. |
ChapterContentSanitizerTest |
Die Erlaubtliste für Bausteine, Auszeichnungen und Attribute des Editor-Texts greift. |
ExternalManuscriptImportSecurityTest |
Importierte Manuskriptdateien werden nach Inhalt, Größe und Dateiname geprüft. |
JsonImportSecurityTest |
Ein Projektimport schreibt nur in das eigene Projekt und lehnt Überlastung durch präparierte Dateien ab. |
ExportRenderingHasNoNetworkAccessTest |
Der Dokumenten-Export greift nicht auf das Netzwerk zu. |
MediaAssetMalwareScanTest |
Hochgeladene Dateien werden auf Schadsoftware geprüft. |
AvatarUploadTest |
Hochgeladene Profilbilder werden geprüft, bevor sie angenommen werden. |
MassAssignmentProtectionTest |
Eingaben werden nicht blind in Datenobjekte übernommen. |
RegexTimeoutGuardTest |
Wichtige Prüfmuster lassen sich nicht durch präparierte Eingaben ausbremsen. |
Änderungsverlauf
- : Erste Fassung.