Odoo 19 Sécherheetsarchitektur: Firewall, 2FA, Berechtegungen a Web RBL richteg kombinéieren

Odoo ass op eise fënnef Websäiten aus dem oppenen Internet erreechbar, an dat ass keng Ausnam, mä de Normalfall: Wien en Ugebot, e Shop oder eng Clientenumeldung bedreift, huet ëffentleche Server. Een eenzegt verwonnbart Passwuert, eng vergiessen Konfiguratiounsdatei oder eng ze generéis Berechtegung geneegt, fir aus engem ëffentleche Server en oppene Server ze maachen.

Dëse Bäitrag weist, wéi Dir Odoo 19 richteg absécheren — net mat enger eenzeger Moossnam, mä mat méi Schichten, déi sech géigesäiteg ergänzen: Firewall a Reverse Proxy, eise Open-Source-Modul Web RBL, Zwee-Faktor-Authentifizéierung, Passwuertrichtlinn a Berechtegungen — a wéi eng Ugrëffsversich all dovunner tatsächlech offänkt. Um Enn steet eng Schrëtt-fir-Schrëtt-Uleedung, mat där sech all eege Odoo-Installatioun nozéie léisst.

Verteidegung an der Déift: firwat eng Moossnam ni duergeet

All eenzel Sécherheetsmoossnam huet eng Lück. Eng Firewall gesäit net, wat an enger Odoo-Umeldemask geschitt. E staarkt Passwuert schützt net, wann et anzwousch anescht scho geklaut gouf. Eng Berechtegungsstruktur hëlleft näischt géint en Ugräifer, deen sech nach guer net ugemellt huet. D'Prinzip, dat dës Lücke schléisst, heescht Verteidegung an der Déift (defense in depth): méi onofhängeg Schichten, vun deenen all eenzel fir sech ze émgoen wier — mä all zesumme just net.

Véier Schichte sinn et bei eis, all mat enger aner Aufgab:

• Firewall / Reverse Proxy — hält offensichtlech Béisaartegt of, ier et de Server iwwerhaapt erreecht
• Web RBL — verbënnt béid Säiten: Odoo léiert aus dem eegene Applikatiounsprotokoll, wat d'Firewall guer net gesinn ka, a späist et un si zréck
• Odoo selwer — Zwee-Faktor-Authentifizéierung, Passwuertrichtlinn, Berechtegungen, Sëtzungsverwaltung
• Datebank & Betrib — Sécherung, Zougrëffsschutz op d'Verwaltung, Geheimnisser ausserhalb vun all Protokoll

Déi folgend Abschnitter ginn all Schicht eenzel duerch.

Schicht 1: Firewall a Reverse Proxy

D'Firewall ass déi éischt Instanz, déi eng Ufro gesäit, an déi eenzeg, déi en Ugräifer vun all Déngscht um Server ofhale kann — net nëmmen vun der Websäit, mä och vum Mailserver, vum VPN-Zougang a vun der eegener Verwaltungsuewerfläch. Wat un dëser Stell sënnvoll aktivéiert gëtt, hänkt vum Hiersteller of, awer d'Bauforme si bei OPNsense, pfSense, HAProxy, FortiGate, Sophos oder Check Point déiselwecht:

RBL-Lëschten: de Standardwee, op deem Reputatioun ausgeliwwert gëtt

RBL steet fir Real-time Blackhole List, e Begrëff aus der Mailwelt: eng Adress pro Zeil, iwwer HTTP ofruffbar, regelméisseg nei gelueden. Praktesch all Firewall kann esou eng Lëscht aliesen an doraus Reegele bauen — OPNsense a pfSense als URL Table Alias, HAProxy als ACL-Datei, FortiGate als External Block List, Palo Alto als External Dynamic List, Cisco, Sophos, Juniper a MikroTik mat eegenen Nimm fir datselwecht Prinzip.

Genau hei setzt eise eegene Modul un — a genau hei fänkt déi zweet Schicht un.

Schicht 2: Web RBL — d'Bréck tëscht Applikatioun a Firewall

Eng Firewall gesäit Paketer, keng Applikatiounslogik. Si weess net, datt eng Ufro no /xmlrpc/2/common e Umeldeversuch ass, datt zwanzeg verschidde Pied a véierzéng Sekonnen e Scanner sinn, oder datt eng Adress grad erfollegräich e Passwuert geroden huet. All dat weess just Odoo selwer. Web RBL, eise eegene Open-Source-Modul (AGPL-3), mécht dëst Wëssen notzbar — fir Odoo selwer an, als RBL-Lëscht ausgeliwwert, och fir d'Firewall dervir.

Bedrohungslëschte lafend ofgeglach, all mat eegener Stuf.

Kuerz zesummegefaasst, wat am virege Bäitrag ausféierlech beschriwwe ass:

• Mustererkennung a Pied: .env-Dateien, .git-Verzeechnisser, Konfiguratiounsdateien, WordPress- a PHP-Sonden, Pfad-Traversal, Befehlsausféierung iwwer nei KI-Schnëttstellen
• Umeldeofwier, déi iwwer Neistarte weider zielt — anescht wéi dem Odoo säin eegene Compteur, deen am Aarbechtsspäicher lieft
• Bewäertung vun all Adress vun 0 bis 100, mat Begrënnung am Klartext
• Fehlkonfiguratiounen (QNAP, Autodiscover, Synology) ginn erkannt a ni gespaart, well eng Spär den Defekt net behebt, mä just verstoppt
• Främ Bedrohungslëschten wéi Spamhaus, FireHOL an Tor-Ausgangsknoten, lafend ofgeglach
• Fräilëscht fir Adressen, déi ni gespaart solle ginn

Fir dëse Bäitrag si zwou Eegeschafte besonnesch wichteg, well se direkt mat der Firewall an der Umeldung zesummenhänken.

Eng roueg Lëscht ass eng Lëscht, där ee vertrauen kann

D'Fräilëscht — Adressen, déi ni gespaart ginn, zum Beispill eege Standuertuschlëss — ännert sech normalerweis selten. Genau dat ass hire Wäert, net hire Mangel: Wann sech eng roueg Lëscht iwwer Deeg kaum beweegt, fällt all seltenen Ännerung direkt op. Déi deeglech automatesch Nofierung gëtt et net, well sech vill géif änneren, mä fir datt déi seltenen Ännerung net vun Hand muss nogedroen ginn — an genau dat ass de Punkt, un deem ee se vergëss. Eng vun eise eegene Fehlkonfiguratioune vum leschte Mount ass genau esou opgefall: net duerch vill Evenementer, mä duerch dat eent, dat keen kannt huet, bis d'QNAP-Web-API vun engem Client fälschlecherweis gespaart gouf. Zënterdeem steet QNAP op der Lëscht vun de Fehlkonfiguratiounen, déi ni gespaart, mä just gemellt ginn.

D'Umeldung ass d'Plaz, déi eng Firewall net gesäit

Eng Firewall kann eng Adress spären. Si ka net wëssen, ob eng Umeldung gelongen ass, a scho guer net, ob se vun enger Adress koum, déi kuerz virdrun nach no Zougangsdaten gesicht huet. Web RBL scho: Eng Bewäertung ab engem astellbare Schwellewäert verbitt d'Umeldung ganz, an eng gelongen Umeldung vun enger opfällegen Adress gëtt gemellt — dat ass d'Bindeglied zur nächster Schicht.

Schicht 3: Odoo selwer absécheren

Zwee-Faktor-Authentifizéierung: en zweet Geheimnis, dat net widderbenotzbar ass

Dat gréisst Problem vu Passwierder ass net hir Qualitéit, mä hir Widderbenotzung. E Passwuert, dat bei engem aneren Déngscht geklaut gouf, funktionéiert bei eis genau esou, soulaang et datselwecht ass. D'Zwee-Faktor-Authentifizéierung (2FA, och TOTP genannt) stellt him en zweet Geheimnis entgéint: e sechsstellege Code, deen all drësseg Sekonnen änneren a aus engem Geheimnis berechent gëtt, dat just dat eegent Smartphone kennt. E geklaut Passwuert eleng geneegt doduerch net méi.

Odoo 19 Community bréngt dat agebaut mat — als installéierbare Modul Two-Factor Authentication (TOTP), ergänzt duerch eng E-Mail-Réckfalloptioun. All Benotzer riicht et fir sech selwer an, per QR-Code, mat all gängeger Authenticator-App:

D'Arichtung: QR-Code scannen, sechsstelleg Code eemol bestätegen, fäerdeg.

Dat hëlleft awer nëmmen deenen, déi et sech selwer ariichten — an d'Erfahrung weist, datt dat ouni Zwang d'Minoritéit bleift. Odoo kennt dofir eng Erzwéngungsrichtlinn: entweder just fir Mataarbechter (intern Benotzer) oder fir all, Portalbenotzer abegraff. Ouni en ageriichten zweet Geheimnis kënnt keen méi un der Umeldemask laanscht, ouni et op d'mannst per E-Mail-Code ze bestätegen.

Passwuertrichtlinn: eng Mindestlängt ass keng Selbstverständlechkeet

Ouni Zousatzmodul kennt Odoo Community keng Mindestlängt fir Passwierder — e Benotzer ka e Passwuert aus dräi Zeechen festleeën, wann en dran keen hënnert. De Password Policy-Modul schléisst genau dës Lück: eng Mindestlängt, déi serverséiteg duerchgesat gëtt, net nëmmen am Browser virgeschloen. Wien méi wëll — eng erzwongen Oflafzäit, eng Historie géint Widderbenotzung — brauch dofir en OCA- oder Drëttmodul; dat ass an der Community-Versioun bewosst schlank gehalen.

Berechtegungen: nëmmen deen, deen et brauch, kritt Zougrëff

Odoo trennt vun Haus aus dräi Niveauen: Portalbenotzer (nëmmen dat eegent Clienten- oder Lieferantenportal), intern Benotzer (de Backend, mat Rechter pro Applikatioun) an Administrateuren (onageschränkten Zougrëff mat technesche Astellungen). Dee heefegste Feeler ass net e ze schwaacht Passwuert, mä eng ze generéis zougewisen Administrateursroll: Wien just Rechnunge soll erstellen, brauch keen Zougrëff op d'Systemastellungen.

Zwee Grondsätz droen déi meescht Laascht:

Béides léisst sech an der selwechter Usiicht préiwen, an där och d'Zwee-Faktor-Authentifizéierung ageriicht gëtt:

Eng Iwwersiicht, véier Hiewel: Passwuert, zweete Faktor, API-Schlëssel, ugemellt Geräter.

Sëtzungen a Geräter: wien ass grad ugemellt

Déiselwecht Usiicht weist och, vu wéi engem Gerät aus e Kont grad ugemellt ass — an erlaabt, een eenzelt oder all op eemol ofzemellen. No engem verluerene Laptop oder dem Verdacht op e kompromittéiert Passwuert ass dat de schnellste wierksame Schrëtt: D'Sëtzung ass direkt eriwwer, onofhängeg dovun, ob d'Passwuert schonn geännert gouf.

Schicht 4: Datebank a Betrib

Déi véiert Schicht ass déi, déi am mannsten ze gesi ass, an zugläich déi onverzeihlechst, well e Feeler hei alles virdrun Opgebaut zunichte maache kann.

• Regelméisseg, gepréift Sécherungen, getrennt vum Server selwer gespäichert. Eng Sécherung, déi ni zeréckgespillt gouf, ass eng Vermutung, keng Sécherung.
• Geheimnisser gehéieren a keng Protokolldatei. Passwierder, API-Schlësselen, Lizenzdaten — wien eege Erweiderunge schreift, soll se esou behandelen wéi d'Haaptpasswuert selwer: nirgendwou matschreiwen, och net „just zum Debuggen“.
• Moduler aktuell halen, och a grad Drëttmoduler. Fräi Zousatzmoduler (OCA an anerer) hänke neien Odoo-Versioune vun Natur aus hannendrun; virun all Installatioun lount e Bléck, wéi eng Ofhängegkeeten automatesch mat kommen.

De Umeldewee am Ganze

Déi véier Schichte wierken net nuenee a getrennte Réim, mä un där selwechter Ufro, Stuf fir Stuf. Um Beispill vun enger Umeldung gëtt dat am däitlechsten:

Fënnef Stelle, un deenen eng béisaarteg Ufro ka ophalen, ier se um eigentlechen Zil ukënnt — an nëmmen eng eenzeg, un där e berechtegte Benotzer se all besteet.

Ugrëffsszenarien an hir Géigewier

Déi folgend Iwwersiicht ordent reell Ugrëffsmuster de Schichten zou, déi se tatsächlech stoppen. Méi dovun sinn keng Theorie, mä eege Beobachtunge vu siwwenzéng Deeg Echtverkéier op eise fënnef Websäiten.

Schrëtt fir Schrëtt: déi eege Odoo-Installatioun absécheren

Déi folgend Reiefolleg ass déi, an där mir selwer virgoe géifen — vun der gréisster Wierkung bis zur fënnster Astellung.

1. Zwee-Faktor-Authentifizéierung erzwéngen

1. Falls nach net installéiert: Apps opmaachen, no „Two-Factor Authentication“ sichen an installéieren (bei méi Websäite recommandéiert sech zousätzlech „Two-Factor Authentication by Mail“ als Réckfalloptioun).
2. Astellungen → Allgemeng Astellungen → Berechtegungen opmaachen.
3. „Zwee-Faktor-Authentifizéierung erzwéngen“ aktivéieren.
4. Richtlinn wielen: „Nëmme Mataarbechter“ fir intern Benotzer, „All Benotzer“, wann och Portalbenotzer (Clienten mat Zougang) abezu solle ginn.
5. Späicheren. Vum nächste Umeldeversuch un verlaangt Odoo vun all Benotzer ouni ageriichten zweet Geheimnis op d'mannst den E-Mail-Code, bis en d'Authenticator-App ageriicht huet.

2. Eng Mindestlängt fir Passwierder festleeën

1. Apps opmaachen, no „Password Policy“ sichen an installéieren.
2. Astellungen → Allgemeng Astellungen → Berechtegungen opmaachen.
3. „Mindestlängt vum Passwuert“ setzen — zwielef Zeechen si e vernünftegen Ausgangswäert.
4. Späicheren. D'Regel gëllt ab direkt fir all nei oder geännert Passwuertfestleeung, net rückwierkend fir bestoend Passwierder.

3. Berechtegungen duerchgoen

1. Astellungen → Benotzer & Entreprise → Benotzer opmaachen.
2. All Benotzer eenzel opmaachen an de Reider mat de Zougrëffsrechter pro Applikatioun préiwen: Brauch dës Persoun wierklech „Manager“ oder „Administrateur“, oder geneegt „Benotzer“?
3. Besonnesch préiwen: Wien huet Zougrëff op „Astellungen“ selwer? Dat soll eng ganz kleng Grupp sinn.
4. Fir all extern Ubannung (Buchhaltung, eege Skripter, Zäiterfaassung) am Reider „Kontosécherheet“ vum jeweilegen techneschen Benotzer en eegene API-Schlëssel uleeën, amplaz d'Benotzerpasswuert weiderzeginn.

4. Web RBL installéieren a beobachten, ier scharf geschalt gëtt

1. Modul vu github.com/Alex0176/odoo-web-rbl an den Addon-Pad leeën an installéieren.
2. E puer Deeg beobachten: Menü Web RBL → Auswäertung weist, wéi eng Muster tatsächlech grëffen.
3. Eréischt duerno web_rbl.sperren_aktiv aschalten (Astellungen → Technesch → Systemparameter) — vun hei un ginn erkannt Sonden tatsächlech ofgewisen.
4. D'Spär-Lëscht ënner der am Modul ugebuedener, mat Token geschützter Adress an d'Firewall als RBL-Lëscht abannen (bei OPNsense/pfSense als URL Table Alias, bei HAProxy als ACL-Datei).

5. D'Firewall selwer absécheren

1. Verwaltungsuewerfläch vun der Firewall ausschliesslech aus dem internen Netz erreechbar maachen, ni iwwer déiselwecht ëffentlech Adress wéi d'Websäit.
2. Automatesch Sécherheetsupdates fir d'Firewall-Software aktivéieren, souwäit den Hiersteller dat ubitt.
3. TLS-Konfiguratioun préiwen: nëmmen aktuell Protokollversiounen, veraltet Verschlësselungsverfahren deaktivéieren.
4. Falls verfügbar: eng bekannte Reputatiounslëscht (zum Beispill Spamhaus DROP) direkt op der Firewall abannen — onofhängeg vu Web RBL, well d'Firewall doduerch och Verkéier zu Déngschter gesäit, déi Odoo ni erreecht.

6. D'Datebankverwaltung zoumaachen

1. Préiwen, ob /web/database/manager vu baussen erreechbar ass — wann jo, an der Odoo-Konfiguratioun list_db = False setzen oder de Pad op Firewall-Niveau spären.
2. D'Haaptpasswuert vun der Datebankverwaltung laang an zoufälleg setzen an un kenger Stell notéieren, déi iergendeen aneren ka liesen.

7. Sécherung préiwen, net just ariichten

1. Eng automatesch, regelméisseg Sécherung ariichten, getrennt vum Odoo-Server gespäichert.
2. Mindestens eemol tatsächlech zeréckspillen a préiwen, ob d'Restauratioun funktionéiert — eng net gepréift Sécherung ass eng Vermutung.

Kee vun dëse Schrëtt ersetzt een anere. Wien nëmmen een dovunner ëmsetzt, huet eng Dier verstäerkt an all aner oppe gelooss — wien all siwen ëmsetzt, huet eng Verteidegung, déi och dann nach hält, wann eng eenzel Schicht versot.

Wat dës Architektur net ersetzt

Keng vun de beschriwwene Moossnamen mécht Suergfalt iwwerflësseg. E Modul, dat .env-Sonden ofweist, mécht eng versehentlech verëffentlecht .env-Datei net ongeféierlech. Zwee-Faktor-Authentifizéierung schützt net virun engem Benotzer, deen säi Code engem Uruffer um Telefon virliest. An eng Firewall ersetzt keng Entscheedung driwwer, wien tatsächlech wéi eng Berechtegung brauch. Sécherheetsarchitektur schaaft d'Konditiounen, ënner deenen een eenzele Feeler net direkt zum Virfall gëtt — si hëlt kengem d'Suergfalt of.

Heefeg Froen

Geneegt e staarkt Passwuert, fir Odoo 19 ofzesécheren?

Neen. E Passwuert ka anzwousch anescht geklaut ginn, ganz onofhängeg vu senger Qualitéit, a funktionéiert dann bei all Déngscht, deen datselwecht Passwuert akzeptéiert. Eréischt d'Kombinatioun mat Zwee-Faktor-Authentifizéierung, enger Firewall dervir an enger sënnvoller Berechtegungsstruktur gëtt eng Absécherung, déi och no engem geklaute Passwuert nach hält.

Wéi aktivéieren ech d'Zwee-Faktor-Authentifizéierung an Odoo 19?

De Modul „Two-Factor Authentication (TOTP)“ iwwer d'Apps-Verwaltung installéieren, duerno ënner Astellungen → Allgemeng Astellungen → Berechtegungen d'Erzwéngung aktivéieren an tëscht „Nëmme Mataarbechter“ an „All Benotzer“ wielen. All Benotzer riicht duerno säin eegene zweete Faktor per QR-Code an.

Wat ass eng RBL-Lëscht, a firwat brauch Odoo eng?

RBL (Real-time Blackhole List) ass eng iwwer HTTP ofruffbar Adresslëscht, déi praktesch all Firewall kann aliesen. Odoo selwer liwwert keng sou Lëscht mat — eise Modul Web RBL schléisst dës Lück, andeems en Ugrëffsverkéier aus dem eegene Applikatiounsprotokoll erkennt an als RBL-Lëscht un déi viirgeschalte Firewall zréckgëtt.

Ass Odoo 19 Community ouni Zousatzmoduler duergeet ofgesécher?

Net vollstänneg. Ouni de Modul Password Policy gëtt et keng Mindestlängt fir Passwierder, ouni Two-Factor Authentication keen zweete Faktor, an ouni e Modul wéi Web RBL erkennt Odoo weder Sondéierungsversich nach widderholl Umeldeversich iwwer en Neistart ewech. All véier loossen sech gratis nodréinen.

Disponibilitéit

Web RBL steet ënner der AGPL-3 ëffentlech zur Verfügung a leeft bei eis produktiv op fënnef Websäiten:

github.com/Alex0176/odoo-web-rbl

Déi vollstänneg Funktiounsbeschreiwung mat alle Mustere, der Bewäertung an de Bedrohungslëschte steet am virege Bäitrag: Web RBL – Spär-Lëscht fir Ugrëffsverkéier op de eegene Websäiten.

Froen, Bemierkungen a Feelerberichter huele mir gär entgéint — am léifsten als Issue op GitHub.