Theoretische Überlegung: Hochladen von lokalen Dateien ohne Nachfrage

[Eye-Q]

Mahlzeit,

ich bin eigentlich nicht in der Webentwicklung, sondern bei der Serveradministration angesiedelt, mein Chef kam mit einem Kollegen aber gerade mit einer Frage um die Ecke...

Ein Kunde hat angefragt, möglichst einfach einen Dateiaustausch (PDF-Dateien) mit mehreren Geschäftspartnern einzurichten. Cheffe und mein Kollege hatten die Idee, eine Website zu erstellen, die dann beim Kunden im Haus gehostet wird (natürlich SSL-verschlüsselt und in einer DMZ hinter einer Firewall), wo sich die Geschäftspartner dann anmelden und einen großen Button "Jetzt die Dateien herunter- und hochladen" haben. Es soll sich allerdings kein weiteres Fenster öffnen, wo die hochzuladenden Dateien ausgewählt werden sollen, das wäre natürlich zu umständlich... :beagolisc

Abgesehen davon, dass in dem Ordner auch andere Daten liegen könnten, die eigentlich nicht hochgeladen werden sollen, sehe ich hier ein viel größeres Problem, falls das so funktionieren würde: man könnte als Angreifer eine Website präparieren, wo ein unsichtbarer Button eingebettet ist, der automatisch Dateien aus einem bestimmten Pfad (z.B. %userprofile%\Eigene Dateien) ohne Nachfrage zum Webserver hochlädt.

Sehe ich das zu eng oder sehen nur mein Cheffe und mein Kollege die implizierten Sicherheitslücken nicht?

[carstenj]

Hi,

geht es dir jetzt um die Beantwortung der Frage oder um das Finden einer Lösung? Ersteres kann ich nicht liefern, wobei ich bei selbstgeschriebenen Applikationen immer Bauchschmerzen hätte, gerade wenn man die beteiligten Parteien nicht einschätzen kann. Irgendeiner wird irgendwas tun was die Applikation an ihre Grenzen zwingt.

Eine Alternative wäre wohl eher eine Cloudlösung. Falls es selber gehostet werden soll, bietet sich Owncloud an: ownCloud.org | Your Cloud, Your Data, Your Way!

[Eye-Q]

Ursprünglich ging es mir um die Beantwortung der Frage und nicht um das Finden einer Lösung, aber Lösungsansätze sind natürlich auch sehr gerne gesehen.

Mit Owncloud habe ich mich noch nie beschäftigt, aber ich gehe stark davon aus, dass man mehrere Benutzerkonten einrichten kann, die dann mit unterschiedlichen Verzeichnissen auf dem Owncloud-Server synchronisieren, richtig? Gibt es dann auch die Möglichkeit, dass ein Benutzerkonto (in diesem Falle der Kunde selbst, der die Lösung hostet) dementsprechend auf mehrere Verzeichnisse Zugriff erhält, damit der demensprechend alle seine Geschäftspartner in einer Ansicht hat?

[carstenj]

Hi,

soweit ich mich richtig erinnere (ist etwas her als ich das installiert habe) ging das alles. Für die Endbenutzer ist es quasi nicht mehr Aufwand als eine Datei in einen Ordner zu verschieben.

[Eye-Q]

OK, da werde ich mich mal informieren, vielen Dank.