Menjünk lépésről lépésre. Előszőr is, ha egy Magento áruháznak vagyunk a tulajdonosai, érdemes kereskedőként és fejesztőként is regisztrálni a Magento.com-on, így feliratkozhatunk a hivatalos Magento hírlevélre - a regisztráció természetesen ingyenes. Fontos tudni, hogy a hírlevél nem csak a Magento hírekről értesít, hanem értesítőt küld a kritikus biztonsági jelentésekről is, amelyet egyébként nem publikál a Magento a saját blogján vagy RSS csatornáján.

Magento shop biztonsági elemzés készítése néhány kattintással

És akkor most ellenőrizzük le az áruházat. Ahhoz, hogy megállapítható legyen, hogy az áruházunk milyen biztonsági frissítéseket tartalmaz - vagy nem tartalmaz - a szerveren kellene körülnéznünk a kódbázisban, viszont a szerver oldali kód egyfajta ujjlenyomata a frontend, amit bárki láthat a böngészőjében. Ezt a lehetőséget használja ki a Byte cég által fejlesztett Magereport elnevezésű webes program. Tehát nyissuk meg a Magereport.com oldalt és gépeljük be az áruházunk linkjét, pl. http://www.sajat-aruhazam.hu.

Látni fogjuk, hogy a Magereport felsorolja a biztonsági frissítéseket és kielemzi, hogy azok telepítésre kerültek e, illetve még számos biztonsági tényezőt megvizsgál, mint például az SSL tanúsítványt, amellyel nem feltétlen kell, hogy rendelkezzen a Magento áruházunk.

...a Magereport még azt is kijelzi, hogy az áruházat feltörték

A zölddel jelölt safe és protected blokkok magukért beszélnek, míg a szürke unknow blokkok gyakorlatilag azt jelentik, hogy a Magento core olyan módosításokat tartalmaz, amely miatt a Magereport nem tudja megállípítani, hogy az adott biztonsági csomag telepítve van e vagy sem. A narancssárga blokkok jelentik azon biztonsági csomagok hiányát, amelyeknek nem sűrgős a telepítésük vagy ideig-óráig akár nélkülözhetők is. A vörös blokkok egyértelműen a súlyos biztonsági réseket jelzik. Bizonyos esetekben a Magereport még azt is kijelzi, hogy az áruházat feltörték. Ha ilyen vörös blokkat listáz a Magereport, ráadásul a hacked címkét használja, akkor sűrgősen keressük fel az áruház karbantartóját/fejlesztőjét a frissítésért.

Megbízhatunk a Magento biztonsági elemzésekben?

Lehet, hogy elsőre sokkoló a jelentés, amit a Magereport készít, így védekezésképpen felmerül bennünk a kérdés: Hiteles információkat közöl a Magereport.com? A generált jelentés nem 100%-os főleg, ha szűrke színű blokkokba került besorolásra a hiba, azonban a piros jelzések egyértelműek. Ráadásul a Magereport fejlesztője - a Byte - készíti a Hypernode-ot, egy dedikált Magento hosting rendszert.

Egy másik kérdés, amely most felmerülhet bennünk: Mit tegyünk ha nem szeretnénk, hogy bárki láthassa áruházunk biztonsági állapotát? Ehhez már fejlesztőre vagy üzemeltetőre lesz szükség. A Magereport foglalkozik az adatvédelemmel, így elegendő ha a magereport robot agentet tiltjuk. Ez esetben a Magereport nem fogja vizsgálni a webshopunk sem a mi kérésünkre, sem mások kérésére. Ez persze nem oldja meg a hibákat és nem akadályoz meg másokat abban, hogy egyéb szoftvereket vagy eszközöket felhasználva, biztonsági rések után kutasson áruházunk felületén.

Egyéb biztonsági lépések a webshop védelméhez

Ha belevágunk a biztonsági hibák javíttatásába, érdemes megkérni még a fejlesztőket vagy az üzemeltetőket, hogy tiltsák le a Magento Connect Downloader elérhetőségét áruházunkban, vagy ha használjuk ezt a funkciót, akkor htaccess jelszó védelmet tegyenek rá - ugyanis a leggyakoribb és legegyszerűbb támadási felület a Downloader. Szintén érdemes jelszóval, IP szűrővel vagy egyedi URL-lel elrejteni az admin felület belépési pontját.

A fentebb leírtak a Magento ismert hibáira terjednek ki. Az áruház tartalmazhat olyan egyedi fejlesztéseket, amelyek biztonsági állapotát nem vizsgálhatja a Magereport. Az ilyen nem ismert és egyedi biztonsági résekre nehezebb rátalálni, valamint fejlesztőre van szükség már a probléma felkutatásának folyamán is.