@martinp
das problem liegt meist nicht am webserver. bzw wenn da was entdeckt wird, wird das auch schnell behoben.
Das Problem liegt an der "anderen" Applikation, die durch den Reverse Proxy ins Internet stellst.
Da haben wir dann bei iobroker 2 Spieler: einmal node und einmal iobroker selbst.
Wenn du dir sicher bist, das es da keine Probleme gibt, dann alles gut.
Wie gesagt jede einzelne Maßnahme mindert die Chance, das jemand zugriefen kann.
Also:
reverse Proxy, sorgt dafür, das nur ein ganz bestimmter Ausschnit einer Applikation überhaupt im Internet vereitsteht
Irgendeine Authentifizierung am reverse Proxy
zufällige Subdomain oder Pfad (also ggfs mit gewürfelten ascii-Zeichen)(erhöht die Chance, das jemand den Zugriffspunkt überhaupt findet.(Hatte ich bisher selbst noch nicht daran gedacht)
keine Standardports
Fail2Ban (minimiert die Anzahl der fehlerhaften Versuche, bis eine IP gebannt wird.
Erst jetzt sind wir überhaupt an der Stufe das ein request an die Applikation weitergeleitet wird.
Optionale Authentifizierung an der Applikation (ff. hab ich jetzt auch nicht)
separater Nutzer
maximale Einschränkung des Applikationsusers / Betriebssystemusers
für iobroker ggfs auch über iobroker slave-Installation, die nur genau die Funktionen/Daten anbietet die notwendig sein sollten.
Auch muss man immer mal sehen wie interessant aktuell die Umgebung für jemanden ist.
Problem wird der weitere Einsatz von KI. Damit werden dann vollautomatisiert Angriffe auf individuellere Infrastrukturen möglich und wenn auch nur als Spam-Mail-relay,DDos-Client, aber auch ein im Netz erreichbarer Mail-Server zum durchsuchen von Account-Informationen oder ein nachgeladenes wirkeshark zum aufzeichnen der netzwerkaktivität (der traffik kann per arp spoofing über das eroberte gerät umgeleitet werden)
node und iobroker sieht jetzt in der cve datenbank nicht so schlecht da.
https://www.cvedetails.com/vendor/22054/
https://www.cvedetails.com/vendor/12113/Nodejs.html