Ein öffentlicher Stream braucht keine öffentlich zugängliche Verwaltung. Schützen Sie Konfigurationsdateien, Zugangsdaten und administrative Schnittstellen getrennt vom Hörerzugriff. Geben Sie dem Icecast-Prozess und angebundenen Diensten nur die Rechte, die sie benötigen.
Identitäten und Speicherorte trennen
Verwenden Sie unterschiedliche zufällige Geheimnisse für Quelle, Relay und Verwaltung. Begrenzen Sie Mountrechte passend und prüfen Sie, dass Hörerkonten keine Verwaltungsaktionen ausführen können. Benutzerdateien, Konfigurationssicherungen, private Schlüssel und Logs gehören außerhalb des ausgelieferten Webroots. Das Prozesskonto soll nur benötigte Dateien lesen und nur vorgesehene Betriebsverzeichnisse beschreiben.
Bevorzugen Sie ein eigenes unprivilegiertes Dienstkonto und für Tests einen nicht privilegierten Port. Die dokumentierten Einstellungen für changeowner und chroot besitzen Plattform- und Startvoraussetzungen. Kopieren Sie keine auf dem Zielsystem unbekannten Benutzer- oder Gruppennamen. chroot verändert außerdem die Pfadauflösung und kann bei ungeprüfter Einrichtung Zertifikats- oder Logzugriffe verhindern.
Transport und Verwaltung begrenzen
Verwenden Sie TLS, wenn Zugangsdaten ein Netzwerk durchlaufen, und prüfen Sie die Zertifikatsidentität. HTTP Basic verschlüsselt nicht selbst. Wählen Sie Listen-Adressen bewusst und begrenzen Sie die Verwaltung über die umgebende Netzwerkkonfiguration. Öffentliche Statusseite und Verwaltungs-API zeigen unterschiedliche Daten. Prüfen Sie jede eigene Transformation vor der Veröffentlichung.
hidden betrifft die Darstellung, public die Verzeichnismeldung und CORS den Browserzugriff zwischen Herkünften. Keine dieser Einstellungen ersetzt Authentifizierung. Ein ausgelisteter Stream kann direkt weiter erreichbar bleiben.
Anbindungen begrenzen
Behandeln Sie Quellmetadaten, Mountnamen, User-Agents und Callback-Felder als nicht vertrauenswürdige Daten. Maskieren Sie sie in HTML und setzen Sie daraus keine Shell-Befehle zusammen. Ereignisprogramme dürfen keinen Weg zu höheren Rechten öffnen. URL-Authentifizierung benötigt eine klare Fehlerregel und ein Backend, das gefälschte Anfragen ablehnt. Vermeiden Sie Kennwörter und unnötige Hörerdaten in Protokollen.
Eine begrenzte Regel prüfen
Prüfen Sie erlaubte und verweigerte Konten, unerwartete Methoden, die öffentliche Ansicht ohne Quelle und den Zugriff auf private Dateien in einer entbehrlichen Umgebung. Übernehmen Sie unterstützte Software- und Bibliotheksupdates nach Prüfung der Release-Hinweise. Syntaxprüfung, Website-Build und erfolgreiche Anmeldung sind unterschiedliche Beobachtungen. Keine davon belegt allein die Sicherheit des Servers.