Schützen Sie die Verwaltung und Zugangsdaten unabhängig davon, ob der Stream öffentlich ist. Sources, Hörer, Authentifizierungs-Backends und Administratoren haben unterschiedliche Aufgaben und brauchen entsprechend unterschiedliche Rechte. Auch eine private Installation kann durch kompromittierte Clients oder versehentlich freigegebene Dateien gefährdet werden.
Rechte und öffentliche Oberflächen reduzieren
Verwenden Sie eine eigene Dienstidentität mit Schreibrechten nur für benötigte Laufzeit- und Logpfade. Konfiguration, Benutzerdateien, private Schlüssel und Sicherungen gehören außerhalb aller ausgelieferten Verzeichnisse. Verwenden Sie keine Beispielkennwörter. Erzeugen Sie unterschiedliche Geheimnisse für Source, Relay und Administration und wechseln Sie diese geplant.
Begrenzen Sie Verwaltungszugriffe am Netzwerkübergang und schützen Sie den Transport. Administrationszugänge gehören nicht in JavaScript, Playlists, Player oder Monitoring-URLs. Administrative GET-Anfragen können Zustände verändern. Öffnen Sie während einer angemeldeten Verwaltungssitzung keine fremden Inhalte.
Proxy- und Callback-Vertrauen festlegen
KH kann Weiterleitungsinformationen einschließlich konfigurierter x-forwarded-for-Behandlung verwenden. Vertrauen Sie nur einem bekannten Proxyweg, der vom Client gelieferte Forwarding-Header ersetzt. Direkte Hörer dürfen weder fremde Adressen vortäuschen noch damit Regeln umgehen oder Auswertungen verfälschen.
URL-Authentifizierung ruft einen Dienst mit Verbindungsdaten auf. Begrenzen Sie Zielzugriffe, behalten Sie die Zertifikatsprüfung bei und halten Sie Ergebnisse aus öffentlichen Logs heraus. Testen Sie fehlende Freigabeheader, Zeitüberschreitung und Backendfehler. Ein optionaler Command-Authentifizierer im Code macht das Ausführen clientgesteuerter Befehle nicht sicher. Falls benötigt, kommen nur geprüfte feste Programme innerhalb einer isolierten Dienstgrenze infrage.
Aktualisierung und Wiederherstellung planen
Dokumentieren Sie Binärherkunft, Commit, eingebundene Bibliotheken und Konfigurationsrevision. Der hier behandelte Master-Stand ist trotz gleicher Versionskennung jünger als das kh22-Release. Eine Versionszeichenfolge allein belegt weder enthaltene Korrekturen noch aktuellen Support.
Sichern Sie geschützt und testen Sie Wiederherstellung isoliert. Prüfen Sie verweigerte Hörerzugriffe, falsche Source-Zugänge, abgelehnte Callbacks, Zertifikatsablauf und Rückkehr mit kompatibler Konfiguration. Ein Penetrationstest oder eine aktuelle Sicherheitsfreigabe wird hier nicht behauptet. Versionsgrenzen erklärt das Updateverfahren.