'/%3e%3cpath%20id='cross_2'%20data-name='cross%202'%20class='cls-2'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.193%200.007)%20rotate(90)'/%3e%3cpath%20id='cross_3'%20data-name='cross%203'%20class='cls-3'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.186%2067.041)%20rotate(180)'/%3e%3cpath%20id='cross_4'%20data-name='cross%204'%20class='cls-4'%20d='M20.6,30.5h0a5.361,5.361,0,1,0-10.723,0H0A33.71,33.71,0,0,1,30.56,0V9.818a5.361,5.361,0,1,1,0,10.723V30.5Z'%20transform='translate(0%2067.041)%20rotate(-90)'/%3e%3c/svg%3e)
Sicherheitsprüfungen und Update-Verfahren kennenlernen
SetFN SpaceBuilder ist ein Serverprodukt, das Kunden selbst installieren und für die interne Dokumentenverwaltung sowie den Betrieb von Websites (CMS) verwenden. Da auf einem Server die Dateien und Konten vieler Benutzer zusammenkommen, führt SetFN vor der Auslieferung eines Updates eine Sicherheitsprüfung durch und protokolliert das Ergebnis mit Datum in diesem Abschnitt.
Dieses Dokument erläutert die Arten der Prüfungen, die SetFN durchführt, die herangezogenen Sicherheitsstandards und wie Sie die Prüfprotokolle einsehen.
Prüfung vor der Auslieferung
Vor der Auslieferung eines Updates werden die folgenden Prüfungen durchgeführt.
| Prüfung | Inhalt |
|---|---|
| Automatisierte Tests | Es werden Funktionstests des Servers sowie Oberflächentests in einem echten Browser ausgeführt, die Anmeldung, Upload, Freigabe und Berechtigungen durchspielen. |
| Verifizierung auf einem isolierten Testserver | Ein von den Produktionsdaten getrennter Testserver wird separat gestartet; dort werden Konten angelegt und mit echten Anfragen die Grenzen von Berechtigungen, Freigaben und Authentifizierung sowie Überlastsituationen geprüft. |
| Schwachstellenprüfung der Abhängigkeiten | Die vom Server verwendeten Go-Bibliotheken werden mit der offiziellen Go-Schwachstellendatenbank geprüft, die Bibliotheken der Weboberfläche mit den npm-Sicherheitshinweisen. Schwachstellen in tatsächlich aufgerufenem Code werden auf die korrigierte Version angehoben. |
| KI-gestützte Code-Prüfung | Geänderter und bestehender Code wird mit Anthropic Claude und OpenAI Codex geprüft. Von der KI gefundene Probleme werden nur behoben, wenn sie anhand des Codes und des Laufzeitverhaltens bestätigt wurden. Korrekturen einer KI werden vor der Auslieferung von einer anderen KI (Codex) schreibgeschützt gegengeprüft. |
| Abgleich mit externen Sicherheitshinweisen | Die Sicherheitshinweise der KISA (Korea Internet & Security Agency, Portal Boho-nara) und die Sicherheitshinweise der einzelnen Komponenten werden geprüft und es wird beurteilt, ob sie SetFN betreffen. |
Regelmäßige Prüfung und Aktualisierung der Dokumentation
Unabhängig von der Prüfung vor der Auslieferung wird der gesamte Code regelmäßig gemeinsam mit KI (Claude, Codex) erneut geprüft. Werden neue Angriffsarten oder Sicherheitshinweise bekannt, wird geprüft, ob sie SetFN betreffen.
Bei jeder Prüfung werden die folgenden Dokumente aktualisiert.
- Protokoll der Sicherheitsprüfungen: Datum, Umfang, gefundene Probleme und Status der Maßnahmen jeder Prüfung, neueste zuerst.
- Prüfstatus wichtiger Schwachstellen: Tabellarische Übersicht, ob die seit 2025 veröffentlichten wichtigen Schwachstellen (CVE) und KISA-Sicherheitshinweise SetFN betreffen und ob Prüfung und Maßnahmen abgeschlossen sind.
Auf der Startseite der Docs zeigt die Karte Letzte Sicherheitsprüfung das Datum und die Zusammenfassung der jüngsten Prüfung.
Herangezogene Sicherheitsstandards
Die Prüfpunkte werden anhand der folgenden Standards festgelegt.
| Standard | Herausgeber | Herangezogener Inhalt |
|---|---|---|
| OWASP Top 10:2025 | OWASP | Die zehn wichtigsten Risiken für Webanwendungen (Zugriffskontrolle, Fehlkonfiguration, Lieferkette, Behandlung von Ausnahmesituationen usw.) |
| OWASP ASVS 5.0 | OWASP | Verifizierungsanforderungen für Authentifizierung, Sitzungen, Berechtigungen, Dateiverarbeitung, Konfiguration, Protokollierung und Fehlerbehandlung |
| CWE Top 25 (2025) | MITRE, CISA | Schwachstellentypen, die in realen Sicherheitslücken häufig auftreten (einschließlich unbegrenzter Ressourcenzuweisung) |
| NIST SP 800-63B-4 | National Institute of Standards and Technology (USA) | Vorgaben zur Verwaltung von Passwörtern und Authentifizierungsmitteln |
| Detaillierter Leitfaden zur Analyse und Bewertung technischer Schwachstellen kritischer Informations- und Kommunikationsinfrastrukturen | Korea Internet & Security Agency (KISA) | Prüfpunkte für Web-Schwachstellen |
Sicherheitsprobleme melden
Wenn Sie in SetFN ein Verhalten entdecken, das auf ein Sicherheitsproblem hindeutet, melden Sie es bitte über Kontakt. Wenn Sie die Schritte zur Reproduktion und die verwendete SetFN-Version angeben, geht die Prüfung schneller. Bitte veröffentlichen Sie die Reproduktionsschritte nicht, bevor die Prüfung abgeschlossen ist.
Hinweise
- Sicherheitsprüfungen dienen dazu, bekannte Risiken zu verringern. Sie garantieren nicht, dass keine Risiken bestehen.
- Das Betriebssystem des Servers, auf dem SetFN installiert ist, der Reverse-Proxy (z. B. nginx) und die Dokumentkonvertierungsprogramme (z. B. LibreOffice) werden vom Serverbetreiber aktualisiert. Die zu prüfenden Punkte finden Sie unter Sicherheitsupdates des Servers prüfen.
- Korrekturen werden als SetFN-Update ausgeliefert. Nur mit der aktuellen Version sind die Korrekturen wirksam.