Eingabevalidierung
Der Swiss AI Hub implementiert eine Eingabevalidierung, um vor gängigen Angriffsvektoren wie Pfad-Traversal, MIME-Typ-Verwechslung und fehlerhaften Daten zu schützen.
Validierung von Datei-Uploads
Dateityp-Whitelist
Die Plattform beschränkt Uploads auf etwa 40 zugelassene Dateierweiterungen in verschiedenen Kategorien: Dokumentformate (PDF, Office, Text, Markdown), Bildformate (JPEG, PNG, TIFF, WebP), Audioformate (WAV, MP3) und strukturierte Daten (JSON, XML).
MIME-Typ-Validierung
Die Plattform validiert, dass der bereitgestellte Content-Typ mit dem erwarteten MIME-Typ für die Dateierweiterung übereinstimmt. Dies verhindert MIME-Typ-Verwechslungsangriffe, bei denen sich bösartige Dateien mit inkorrekten MIME-Typen tarnen.
Dateinamenvalidierung
Dateinamen müssen mit alphanumerischen Zeichen beginnen und werden validiert, um Folgendes zu blockieren:
- Pfad-Traversal-Versuche (
..,/,\, Null-Bytes) - Erweiterungs-Spoofing (maximal 3 durch Punkte getrennte Teile, 10-Zeichen-Erweiterungsbegrenzung)
Dateigrössenvalidierung
Dateien müssen grösser als 0 Bytes sein. Leere Dateien werden abgelehnt. Maximale Grössenbeschränkungen werden auf Anwendungs- oder Reverse-Proxy-Ebene erzwungen.
Validierung von Namespace- und Datenbanknamen
Datenbank- und Namespace-Namen folgen ähnlichen Validierungsregeln, um Pfad-Traversal in logischen Speicherpfaden zu verhindern.
Wovor die Eingabevalidierung schützt
- Pfad-Traversal-Angriffe
- MIME-Typ-Verwechslung
- Erweiterungs-Spoofing
- Null-Byte-Injection
- Uploads ausführbarer Dateien
- Ressourcenerschöpfung (mittels Grössenbegrenzungen)
Verwandte Dokumentation
- Authentifizierung & Autorisierung - Benutzeridentität und Zugriffssteuerung
- Container-Sicherheit - Isolierte Dateiverarbeitung
- RBAC - Berechtigungsbasierte Upload-Beschränkungen