limesurvey-gehaertet

🛠️🚧❓Security-Advice: Die Inhalte dieses Repositorys sind Ergebnisse und Gegenstand von Tests und Veränderungen. Sie können deshalb nur in diesem Sinne verwendet werden. Texte zwischen den Bot-Markern 🤖▶️ und 🤖◀️ können KI-generierte Bestandteile enthalten.

🤖▶️

Entstanden im ZKI-Arbeitskreis Informationssicherheit als Erprobungsfall dafür, wie sich Aussagen nach BSI Grundschutz++ an einem laufenden System nachprüfbar machen lassen.

Umfragen als Demonstrationsfall: eine gewoehnliche PHP-Anwendung mit Datenbank und Dateiablage, aber mit einer Lieferkette, die man pruefen kann. Das Image leitet sich vom gepflegten Community-Image ab und wird auf openCode gebaut, gescannt, signiert und attestiert. Davor steht das gehaertete nginx aus dem Verzeichnis der oeffentlichen Verwaltung (container.gov.de), dahinter ein eigenes PostgreSQL-Image aus derselben Kette.

Der Proxy ist ein eigener Pod und kein Sidecar: Er soll stehen bleiben, wenn die Anwendung neu startet, und er ist das Stueck, das bezogen und nicht selbst gebaut wird. Er setzt Sicherheitskopfzeilen, begrenzt Groesse und Rate, und der Administrationsbereich ist eine eigene Stelle in der Konfiguration — wer ihn auf bestimmte Netze begrenzen will, aendert nur diese Zeilen.

Im Cluster gilt: eigener Namensraum mit Default-Deny in beide Richtungen, Pod Security Standards restricted, Ressourcengrenzen, eigene Dienstekonten ohne Token, und eine Zulassungskontrolle, die nur startet, was per Digest festgelegt und mit dem erwarteten Schluessel signiert ist.

Was bewusst offen ist, steht im README: Das Wurzeldateisystem der Anwendung ist beschreibbar, weil das Einstiegsskript des Upstream-Images beim Start hineinschreibt. Statt das mit eingehaengten Volumes zu verstecken, ist es als Abwaegung aufgeschrieben. Der Aufbau wird gegen den Grundschutz++-Anwenderkatalog des BSI gemessen; die Ergebnisse liegen oeffentlich im Projekt it-grundschutz derselben Gruppe.

🤖◀️