TROYgate Appliance System

Transkript

1 Release Note TROYgate-System-Software März 2006 Einleitung Dieses Dokument beschreibt neue Funktionen, Änderungen, behobene- und bekannte Fehler der System- Software Technische Unterstützung Um technische Unterstützung zu erhalten können Sie den TROYgate Support via Telefon oder erreichen. Wenn Sie den technischen Support kontaktieren, halten Sie bitte folgende Informationen bereit: verwendete System-Software Version Geräte-ID TROYgate Support IP-Adresse Diese Informationen können Sie über den Menüpunkt»Home Systeminformation«in der TROYgate Konfigurationsoberfläche auslesen. So erreichen Sie den technischen Support: TROYgate Endkunden : TROYgate Fachhändler : Installation Wichtig: Dieses Release kann nur auf einem TROYgate mit der installierten System-Software Version oder höher installiert werden. Haben Sie einen älteren Firmwarestand, bitte installieren Sie vorher alle notwendigen Updates der Reihenfolge nach. Beispiel: Ihr TROYgate hat die System-Software Version installiert. Um jetzt auf die System-Software Version updaten zu können, müssen Sie zuvor mindestens die Version installieren. In diesem Beispiel zuerst folgende Versionen: Basis: Seite 1 von 12

2 Auch für zukünftige Updates behalten Sie dieses Verfahren bitte bei. Sollte sich diesbezüglich eine Änderung ergeben, dann werden wir dieses explizit in der jeweiligen Release Note erwähnen. Zur Installation: Erstellen Sie bitte zu Ihrer eigenen Sicherheit ein System-, Benutzer- und ggf. auch ein Mailbackup. Downloaden Sie die Update-Software Version von der TROYgate Update-Webseite. Diese erreichen Sie unter Führen Sie über den Menüpunkt»Administration Update«ein interaktives Update durch. Wählen Sie dazu die Option»Das Update interaktiv durchführen.«aus und folgen Sie den Anweisungen auf dem Bildschirm. Klicken Sie im Folgenden auf»weiter«um das Update automatisch installieren zu lassen. Über den Fortgang des Updates und ggf. einen Reboot des TROYgate werden Sie im interaktiven Update-Log informiert. Sie haben zusätzlich die Möglichkeit ein manuelles Update durchzuführen. Wählen Sie dazu bitte im Menü die Option»Eine vorhandene Update-Datei manuell einspielen«. Folgen Sie dann den Anweisungen auf dem Bildschirm. Neue Funktionen dieser Version Sicherheitspatch: Mailserver Im Mail-Server wurde ein kritisches Sicherheitsproblem entdeckt. Ein Angreifer benötigt direkten SMTP-Zugriff um das System kompromitieren zu können. Systeme die den SMTP- Port zum Internet hin nicht geöffnet haben können daher auch nicht aus dem Internet angegriffen werden. Neu: Anti-Spyware Konzept Ergänzend zur bereits enthaltenen Proxylisten-Kategorie besteht nun auf weiteren Ebenen die Möglichkeit Maßnahmen gegen Ad- und Spyware zu treffen. Die Optionen im Einzelnen: Im Web-Proxy kann ein User-Agent-Filter aktiviert werden. Der Schwerpunkt dieser Funktion ist die Aufdeckung von Spyware-Programmen die, als nützliches Werkzeug getarnt, als Browser-Erweiterung installiert wurden. Ferner sollen Spyware-Programme daran gehindert werden, Daten "nach Hause" zu übermitteln. Aus technischer Sicht vergleicht der Web-Proxy bei jeder Anfrage den Inhalt des User-Agent-Headers mit einer integrierten Liste bekannter Ad- und Spyware. Blackhole DNS richtet sich ebenfalls in erster Linie an bereits lokal installierte Ad- und Spyware. Versucht diese in Kontakt mir ihrem Hersteller zu treten, wird häufig zunächst eine DNS-Anfrage gestellt. Bei aktiviertem Blackhole DNS werden Anfragen für einschlägig bekannte Domains nicht mit der echten IP-Adresse sondern mit beantwortet. Diese spezielle IP ist im Firewall gesperrt, so dass der Verbindungsaufbau verhindert und mit Hilfe des Firewall-Logs eine Identifikation des betroffenen Clients möglich wird. Der Firewall kann mit Hilfe einer integrierten Liste den Zugriff auf IP-Adressen sperren, die mit Ad- oder Spyware assoziiert werden. Mit dieser Maßnahme wird sowohl das Herunterladen der entsprechenden Software als auch der Verbindungsaufbau von bereits installierter Spyware verhindert. Beachten Sie bitte, dass die Klassifizierung von Software als Ad- bzw. Spyware zum Teil heftig umstritten ist. Auch augenscheinlich nützliche Software kann Merkmale einer Ad- oder Spyware aufweisen. Aktivieren Sie die entsprechenden Funktionen nur, wenn Sie und die betroffenen Nutzer mit eventuellen Einschränkungen einverstanden sind. Seite 2 von 12

3 Neu: Web-Proxy Filter für Peer-to-Peer und Instant Messenger Entsprechend dem zuvor beschriebenen User-Agent-Filter für Ad- und Spyware können weitere Filter für Peer-to-Peer Software und Instant Messenger aktiviert werden. Sofern anhand des User-Agents-Headers erkennbar, verweigert der Web-Proxy dann den Zugriff für entsprechende Software. Neu: spezifische Proxies je Ziel-Domain im Web-Proxy Bislang konnte im Web-Proxy nur ein übergeordneter Proxy für alle Ziel-Adressen sowie eine Ausnahmeliste für direkten Zugriff konfiguriert werden. Es ist nun auch möglich für bestimmte Ziel-Adressen einen spezifischen Proxy einzustellen. Neu: benutzerbezogene IP-Adressen für RAS-Verbindungen incl. IPSec over L2TP Einzelnen RAS-Benutzern kann ab sofort eine persönliche IP-Adresse für den RAS-Zugriff zugeordnet werden. Dazu gehören L2TP/IPSec-VPN, ISDN-PPP-Einwahl und die Einwahl über analoges Modem. Mit Hilfe der persönlichen IP wird es möglich, für bestimmte Benutzer eigene Firewall-Regeln zu definieren. In Kombination mit den persönlichen IPs kann nun auch je Benutzer festgelegt werden, welchen der RAS-Dienste er überhaupt verwenden darf. Bislang war ein Benutzer stets entweder für alle oder für keinen RAS-Dienst zugelassen. Neu: Mail-Routing für einzelne Mail-Adressen Bisher konnten nur ganze -Domains an einen bestimmten (z.b. internen) Mail-Server weitergeleitet werden. Eine Weiterleitung ist nun auch für einzelne Empfänger-Adressen möglich. Typischer Anwendungsfall hier: Weiterleitung einzelner Adressen der lokalen E- Mail-Domain in das Internet, damit externe Mitarbeiter ihre s beim POP-Server des Providers abholen können. Neu: automatische Archiv-Funktion Um eine zentrale Archivierung des gesamten Datenverkehrs zu ermöglichen, besteht die Möglichkeit jeder automatisch einen zusätzlichen Empfänger hinzuzufügen. Diese ist für ein- und ausgehende s getrennt konfigurierbar. Der Empfänger kann sowohl ein lokales Postfach als auch eine externe Adresse sein. Diese Funktion dient der einfachen Anbindung an ein Archiv-System. Sie soll und kann ein vollwertiges Archiv-System nicht ersetzen. Beachten Sie bitte ferner, dass die Aktivierung dieser Funktion in der Regel mit datenschutzrechtlichen Auflagen verbunden ist. Neu: Mail-Server Statistik Seite 3 von 12

4 Der Statistik-Bereich wurde um eine teilgraphische -Statistik erweitert. Neu: Einspielen der Kaspersky Virenscanner Lizenz bei zentral gemanagten Systemen Änderung: Geändertes Datei Format für Backups Änderung: Verbesserte Integration des F-Secure Virenscanner Update: Neue Version des HTTP/HTTPS-Servers Update: Neue Version der OpenSSL Krypto-Bibliothek Bugfix: Fehler in Statistik zum Datenvolumen der Internet-Schnittstelle War die Internet-Schnittstelle längere Zeit deaktiviert, so wurden die Werte in der Statistik falsch berechnet. Bugfix: korrupte Signaturen beim Kaspersky Virenscanner Mit der neuen Version wird zum Download der Signatur-Dateien nun ein Programm von Kaspersky verwendet. Bei der bisher verwendeten Methode konnte es zu Inkonsistenzen innerhalb der Signatur-Datenbank kommen. Der Kaspersky-Server von dem die Signaturen geladen werden kann wie bisher fest eingestellt werden. Alternativ kann sich das Update- Programm eigenständig den am Besten geeigneten Server auswählen. Bugfix: Mail-Backups über 2 GB Das Mail-Backups verwendete ZIP zur Erstellung des Archivs. Das ZIP-Format ist jedoch begrenzt auf 2GB. Größere Dateien können nicht in das Archiv aufgenommen werden. Ferner darf das resultierende ZIP-Archiv diese Größe nicht überschreiten. Wenn die Gefahr besteht, dass eine der 2GB-Grenzen erreicht wird, nutzt das Mail-Backups anstelle von ZIP automatisch das ZIP64-Format. Bugfix: SPAM Filter Absturz bei ungewöhnlich großen Headern Kleinere Bugfixes und Verbesserungen Bereits umgesetzte Änderungen Release Sicherheits-Update: F-Secure Anti-Virus Mit manipulierten ZIP-Archiven waren Befehle im System ausführbar. Zudem konnten ZIPund RAR-Archive derart manipuliert werden, dass deren Inhalt nicht gescannt wurde. Neu: Ziel-IP für Firewall-Regeln "LAN -> Internet-Schnittstelle" Wollte man bislang eine Weiterleitung ausschließlich zu einer bestimmten Internet-IP eintragen, musste dies im komplizierteren Bereich»* -> Internet-Schnittstelle«erfolgen. Dies ist ab sofort nur noch für Regeln notwendig bei denen auch die Quell-IP eingeschränkt werden soll bzw. wenn der Zugriff auf ganze Ziel-Netzwerke freigegeben werden soll. Bugfix: Die Freigabe aller Absender bzw. Empfänger einer Domain in den Grauen Listen (Greylisting) funktionierte nicht. Seite 4 von 12

5 Bugfix: Automatische Updates die in mehr als 24 Stunden ausgeführt werden sollten wurden frühzeitig gestartet. Release Sicherheitsupdate: SSL-Bibliothek erlaubt Angreifer Aushandlung einer SSLv2 Verbindung Über eine Man-in-the-Middle Attacke ist es einem Angreifer unter Umständen möglich, bei einer SSL-Verbindung die kryptographisch schwache SSLv2 Version aushandeln zu lassen. Release Neu: Automatischer Benutzer-Import aus dem Active-Directory Bislang musste der Import manuell angestoßen werden. Ab sofort lässt sich dieser Vorgang automatisieren. Sicherheitsupdate: Puffer-Überlauf im POP3/IMAP4-Server Der POP3/IMAP4-Server wird mit diesem Update aktualisiert. In der alten Version konnten angemeldete Benutzer einen Puffer-Überlauf verursachen. Bugfix: Abstürze des Virenscan-Proxies bei einzelnen Installationen Bugfix: Beim Zeitplan zur Mail-Abholung wurden Einträge für Sa + So ignoriert Release Neu: Diagnose- und Auflege-Funktion für ADSL-Verbindungen Neu: Proxylisten-Kategory "Spyware" Im URL-Filter des Web-Proxies kann diese Option zugeschaltet werden um Verbindungen mit Servern die Spyware verbreiten zu verhindern. Neu: HTML-Formatierung im automatisch hinzugefügten Text-Zusatz Wird an jede ausgehende automatisch ein Text-Baustein angefügt, so kann dieser nun auch HTML-Formatierungen enthalten. Der Text kann so bei HTML-Mails nach belieben gestaltet werden. Bei reinen Text-Mails werden die Formatierungen entfernt, so dass nur der Text selbst angehängt wird. Update: F-Secure Anti-Virus Die Komponente zum Update der Virenscanner-Signaturen konnte bislang nur eine begrenzte Anzahl von Signatur-Dateien verarbeiten. Von F-Secure wurde zugesagt, dass alte Versionen noch bis funktionieren. Nach diesem Datum kann das Update der Signaturen fehlschlagen. Bugfix: Lokale IP-Netzwerke des DNS-Servers Im DNS konnte bisher eine Liste von IP-Adressen angegeben werden, die die DNS- Forwarder-Funktion nutzen durften (recursion). Dies funktionierte jedoch nur, wenn die angegebenen Adressen laut Grundeinstellung zu den lokalen IP-Netzwerken gehörten. Seite 5 von 12

6 Künftig definiert diese Liste welche Adressen generell für den DNS als lokal gelten. Neben der Nutzung des DNS-Forwarders wird damit nun auch der Zugriff auf nicht-öffentliche DNS- Zonen geregelt. Bislang war der Zugriff auf diese DNS-Zonen nur Adressen aus den lokalen IP-Subnetzen möglich. Prüfen Sie bitte ob diese Änderung relevant ist und ggf. eine Überarbeitung der Konfiguration erfordert. Sind im DNS keine lokalen IP-Adressen (bzw. recursion Clients) konfiguriert, ändert sich das Verhalten des Dienstes nicht. Bugfix: Fehlender Neustart von IPSec nach dem Hochladen eines neuen Zertifikats für den lokalen Server Release Sicherheitsupdate: Mail-Client Im Mail-Client ist ein Puffer-Überlauf bekannt geworden mit dessen Hilfe das System kompromitiert werden kann. In der aktualisierten Version ist die automatische Erkennung von TLS-fähigen POP-Servern deaktiviert. Diese Funktion hatte in der Vergangenheit wiederholt zu Problemen mit bestimmten Providern gesorgt. Sobald das Problem beseitigt werden konnte wird diese Funktion wieder aktiviert. In der Konfiguration des Mail-Clients lässt sich nach wie vor die verschlüsselte Kommunikation erzwingen. Neu: SOCKS Proxy für Protokoll-Versionen 4 und 5 Als generischer Proxy bietet SOCKS die Möglichkeit die verschiedensten Protokolle über einen Proxy kommunizieren zu lassen. Es ist sogar meist möglich, Anwendungen die von sich aus keine Proxy-Unterstützung mitbringen mit Hilfe eines SOCKS-Clients proxyfähig zu machen. Als generischer Proxy vermittelt SOCKS jedoch nur zwischen dem Client im LAN und einem Server-Dienst im Internet. Kenntnisse über den Inhalt der transportierten Daten fehlen, so dass über SOCKS auch z.b. kein Virenscan stattfindet. Von daher erinnert auch die Konfiguration von SOCKS-Regeln eher an Firewall-Regeln. Neben frei nutzbaren Regeln kann SOCKS jedoch auch eine Anmeldung der Benutzer fordern. Konzeptionell lassen sich so "benutzerbezogene Firewall-Regeln" definieren. Bugfix: Gestopptes IPSec bei ADSL "immer online" Verbindungen Bei permanent gehaltenen ADSL-Wählleitungen konnte es beim Start oder Neustart von ADSL erforderlich werden, das IPSec VPN manuell zu starten. Bugfix: Korrupte Mail-Postfächer Seit Version konnten Mail-Postfächern beim Bearbeiten beschädigt werden. Das Problem trat immer dann auf, wenn beim Bearbeiten keine Mail zum Löschen ausgewählt wurde, der Dialog aber dennoch mit "Fertigstellen" verlassen wurde. Ein Verlust von s trat jedoch nicht auf. Bugfix: Meldung über fehlende inbox-admin.rbu Auf manchen Systemen trat beim Erstellen der Mailbackup-Datei regelmäßig eine Fehlermeldung auf. Die Funktionalität als solches war dadurch nicht beeinträchtigt. Release Seite 6 von 12

7 Sicherheitsupdate: SPAM-Filter Gegen den SPAM-Filter ist ein möglicher Denial-of-Service Angriff bekannt geworden. Dieses Problem wurde mit dieser Software behoben. Neu: Automatische Filterung von HTML-Mails Der MIME-Filter des Mail-Servers erlaubt nun die Filterung von HTML- s. Potentiell gefährliche HTML-Elemente werden umbenannt und so unschädlich gemacht. Neben Skript- Sprachen betrifft dies u.a. Elemente die aktive Komponenten einbetten (z.b. ActiveX, Java- Applets) oder auf solche verweisen. Formular-Elemente, häufig in Phishing-Mails verwendet, werden ausgeblendet. Auch das unbemerkte Nachladen von externen Ressourcen wird unterbunden. Diese so genannten Web-Bugs werden häufig von Spammern genutzt um E- Mail Adressen zu validieren. Der Wert von derart bestätigten Adressen steigt, was ein weiteres Anwachsen der SPAM-Flut zur Folge hat. Optional lässt sich der Filter auch so einstellen, dass grundsätzlich alle Links und Verweise deaktiviert werden. Manche s senden den Inhalt doppelt - einmal als reinen Text und einmal im HTML-Format. In Kombination mit dem MIME-Filter besteht nun die Möglichkeit, den HTML-Teil bei alternativem Inhalt automatisch zu entfernen. Neu: Schalter für ZIP-Datei Suche des MIM -Filters Auf vielfachen Wunsch unserer Kunden sucht der MIME-Filter mit Installation dieses Updates nicht länger in ZIP-Archiven nach gesperrten Dateinamen. Diese Funktionalität wurde in Version neu aufgenommen und war seitdem grundsätzlich aktiviert. Ab sofort muss diese Funktion in der Konfiguration manuell aktiviert werden. Sollten Sie dieses Feature also weiter nutzen wollen, so müssen Sie es nach dem Update manuell aktivieren. Neu: Graue Liste im Mail-Server (Greylisting) Der Einsatz der Grauen Liste ist nur auf Mail-Servern sinnvoll, die eingehende s direkt über SMTP zugestellt bekommen. Insbesondere wenn s von POP3-Server abgeholt werden, ist die Graue Liste wirkungslos. Mit der Grauen Liste lässt sich das SPAM-Volumen reduzieren und viele Schädlinge schon abgefangen bevor diese überhaupt übermittelt werden. SPAM-Filter, Virenscanner und damit das ganze System werden so entlastet. Die Graue Liste macht es sich zu Nutze, dass viele Spammer und die meisten Schädlinge nur einen Zustellversuch für eine unternehmen. Bei unbekannten Kombinationen aus Quell-IP, Absender und Empfänger weist die graue Liste jedoch die Verbindung zunächst mit einem temporären Fehler ab. Erfolgt nach Ablauf einer konfigurierbaren Mindest-Wartezeit ein erneuter Zustellversuch, so wird dieser akzeptiert. Neben der Möglichkeit selbst für bestimmte Adressen die Graue Liste außer Kraft zu setzen, entsteht automatisch eine Datenbank mit bekannten, häufig genutzten Kommunikations-Beziehungen. Diese sind von der Verzögerung dann nicht länger betroffen. Weitere Informationen über die Funktionsweise der Grauen Liste finden Sie im Handbuch und in der Online-Hilfe. Neu: Geändertes Format für Mailbackups Mailbackup-Dateien können sehr groß werden. Beim Einspielen kam es mit großen Backup- Dateien vereinzelt zu Problemen. Mit dieser Version wurde daher der Aufbau der Mailbackup- Dateien geändert. Backup-Dateien im alten Format werden jedoch selbstverständlich weiterhin unterstützt. Nach wie vor enthält die Mailbackup-Datei die Backups aller Benutzer. Öffnet man diese mit einem ZIP-Entpacker so ist nun aber je Benutzer eine eigene Mailbackup-Datei enthalten. Auch diese lässt sich nochmals öffnen und enthält zwei Backup- Dateien. Eine enthält den Posteingang des Benutzers, die andere die Dateien aus dessen Heimat-Verzeichnis. Je nach Bedarf lässt sich nach wie vor das gesamte Backup übertragen oder aber gezielt nur das Backup eines einzelnen Benutzers bzw. ein Teil davon. Nähere Seite 7 von 12

8 Informationen finden Sie im Handbuch bzw. in der Online-Hilfe. Neu: Sperren einzelner Empfänger in den virtuellen Mail-Adressen Im Mail-Server besteht nun auch die Möglichkeit, einzelne lokale Empfänger-Adressen im Bereich virtuelle Mail-Adressen zu sperren. Bislang war dies nur für "alle übrigen Adressen" möglich. Neu: Konfiguration der SPAM-Filter Echtzeit-Listen nun auch im Mail- Assistenten Die Echtzeit-Listen des SPAM-Filters konnten bislang nur im Expertenmodus eingeschaltet werden. Aufgrund ihres großen Einflusses auf die Erkennungs-Qualität des SPAM-Filters können diese nun auch im Mail-Assistenten aktiviert werden. Neu: Proxy-Assistent Der neue Konfigurations-Assistent für Web-Proxy und FTP-Proxy rundet die Palette der Assistenten ab. Für die Erstinstallation ist nun die gesamte Kernfunktionalität durch Assistenten abgedeckt. Neu: Schalter zum Löschen historischer Log-Dateien Um auf Systemen mit übergroßen Log-Dateien im Bedarfsfall Platz schaffen zu können, steht nun ein Schalter zur Verfügung, über den alle historischen Log-Dateien gelöscht werden können. Von dieser Möglichkeit sollte jedoch nur im Notfall gebrauch gemacht werden. Rasch wachsende Log-Dateien werden häufig durch Fehlkonfigurationen oder andere Probleme verursacht. Versuchen Sie diese Ursache zu beseitigen. Bugfix: Firewall-Modul zur Fälschung von ICMP-Ping Antworten Seit dem Wechsel auf Kernel mit Update funktionierte die lokale Beantwortung von ICMP-Ping Paketen nicht mehr. Die Pakete wurden wie üblich abgefangen, jedoch fehlte die Beantwortung mit gefälschten Echo-Reply-Paketen. Dieses Problem wurde mit diesem Update beseitigt. Release Sicherheitsbugfix: Virenscanner Signatur-Updates Durch einen Fehler im Update wurden die Signaturen der Virenscanner von Kaspersky und McAfee nicht mehr aktualisiert. Die Updates des F-Secure Scanners funktionierten an sich, lediglich die Benachrichtigung im Erfolgsfall wurde nicht mehr gesendet. Wir bedauern den Zwischenfall. Bugfix: Manuell erstellte große Mailbackups korrupt Das Herunterladen von Mailbackups mit einer Größe von mehr als ca. 8 MB wurde teilweise vorzeitig abgebrochen. Das Backup war in diesem Fall unvollständig. Betroffen sind hier nur manuell erstellte Backups. Die zu bestimmter Uhrzeit automatisch erzeugten Backup- Dateien sind nicht betroffen. Release NEU: ActiveDirectory Benutzerimport übernimmt nun auch den Anzeigenamen des Benutzers NEU: Trennen der ADSL-Verbindung zu bestimmter Uhrzeit Die von manchen Providern durchgeführte tägliche Zwangstrennung von ADSL- Verbindungen ist unter Umständen sehr störend, wenn diese während der Arbeitszeiten Seite 8 von 12

9 durchgeführt wird. Es kann nun eine Uhrzeit eingestellt werden zu der das System von sich aus die Verbindung trennt, so dass dieser Vorgang ausserhalb der Geschäftszeiten liegt. NEU: Vereinfachte Konfiguration der Verwendung von transparenten Proxies Um alle Verbindungen über eine Schnittstelle transparent an den jeweiligen Proxy umzulenken stehen nun in der Firewall-Konfiguration Schalter zur Verfügung. Die manuelle Konfiguration von DNAT-Regeln ist nur noch dann notwendig, wenn der transparente Proxy nur für bestimmte Quell- oder Ziel-Adressen genutzt werden soll bzw. in den Vertrauensstufen "gering (DMZ)" oder "keines (Internet)". NEU: Zugriff auf die Administrationsoberfläche via Reverse-Proxy Neben Webmail steht im Reverse-Proxy nun auch ein Schalter für den Zugriff auf die Administrations-Oberfläche zur Verfügung. NEU: Prüfung der Absender nun auch bei aktiviertem TROYgate Mail- Client nutzbar Auf Wunsch prüft der -Server die Absender-Domain von s und verweigert die Annahme wenn diese Domain nicht gültig ist. Bislang wurde von der Nutzung dieser Option in Kombination mit dem -Client dringend abgeraten. Meldete DNS ein vorübergehendes Problem mit der Adresse des Absenders, tatsächlich war dieses aber dauerhafter Natur, so wurde die Mail immer und immer wieder vom Provider abgerufen. Ab sofort akzeptiert der -Server s wenn der -Client aktiv ist und ein temporärer DNS-Fehler vorliegt. Sicherheitaupdate: Linux Kernel Das Update schließt eine weniger kritische Sicherheitslücke. Das System führt ca. 2 Minuten nach Beendigung des Updates automatisch einen Neustart durch. Sicherheitsupdate: bzip2 Packer Über den bzip2 Packer war ein Denial-of-Service Angriff möglich. Dieses Problem wurde behoben. Sicherheitsbugfix: Firewall-Regeln mit "*" als Protokollangabe In den Bereichen "DNAT" und "* -> Schnittstelle" (benutzerdefinierte Weiterleitung) gibt es die Möglichkeit, neben TCP, UDP und ICMP ein beliebiges anderes Protokoll festzulegen (z.b. GRE, ESP, AH,...). Hier ist es auch möglich, Regeln zu definieren, die für alle Protokolle wirksam sind (Protokoll *). Die Angabe von Portnummern ist dabei nicht sinnvoll, da nur TCP und UDP Ports kennen. Sind dennoch Ports angegeben worden, so wurden diese bislang ignoriert. Wurde das Protokoll "*" fälschlicherweise als "Protokoll UDP und TCP" verstanden, so konnte dies weitreichende Folgen haben. Anstelle der gewünschten Freigabe von UDP- und TCP- Verbindungen zu einem bestimmten Zielport wurde so z.b. der Zugriff für alle Protokolle freigegeben - einschließlich des UDP- und TCP-Zugriffs auf beliebige Ports. Das Verhalten wird mit Installation dieses Updates angepasst. Um möglichst geringe Auswirkungen auf bestehende Konfigurationen zu haben, wird bei Firewall-Regeln mit Protokoll "*" und angegebenen Ports nun wie folgt verfahren: Anstelle einer Regel für beliebige Protokolle ohne Ports wird nun jeweils eine Regel für TCP und eine Regel für UDP mit Ports konfiguriert. Von der Verwendung des Protokolls "*" als Platzhalter für "UDP und TCP" raten wir dennoch ab. Seite 9 von 12

10 Bugfix: Verwerfen von markierten Mails im Relay-SPAM-Filter In Version werden als SPAM markierte s nicht verworfen, wenn zugleich die Umleitung von markierten s an eine bestimmte Adresse aktiv ist. Update: Neue Version 4.63 von F-Secure Antivirus Bugfix: Quarantäne-Verzeichnisse wurden beim Bereinigen z.t. komplett gelöscht Bugfix: Syntax-Fehler beim Aktivieren der Web-Proxy ICAP-Option Release NEU: Reverse-Proxy und Load-Balancer Mit Hilfe des Reverse-Proxies kann der Zugriff aus dem Internet auf Web-Anwendungen im LAN ab sofort besser abgesichert werden. Mit dem Reverse-Proxy kann sowohl mit HTTP als auch mit HTTPS (also verschlüsselt) kommuniziert werden. Die Verbindung zum Anwendungs-Server im Hintergrund erfolgt dann mit HTTP. So können selbst dann verschlüsselte Internet-Verbindungen genutzt werden, wenn der Anwendungs-Server selbst HTTPS nicht unterstützt. Bisher wurde DNAT (Portforwarding) genutzt um Verbindungen aus dem Internet auf IP-Ebene an den Server im LAN umzuleiten. Mit dem neuen Reverse-Proxy erfolgt die Weiterleitung hingegen auf Applikations-Ebene. So ergeben sich eine Reihe von Möglichkeiten, wie z.b. eine zusätzliche Authentifizierung oder die Syntax-Überprüfung der angeforderten URL um z.b. Buffer-Overflow Angriffe zu verhindern. Auch der Internet-Zugriff auf den Webmail-Client kann zukünftig über den Reverse-Proxy erfolgen ohne dabei den Zugriff auf die Administrations-Oberfläche ebenfalls freizugeben. Der Reverse-Proxy kann darüber hinaus auch zur Lastverteilung beim Zugriff auf eine Web- Server-Farm genutzt werden. NEU: Erweiterte Funktionalität des Web-Proxy (ehemals»proxy-cache«) Aufgrund der Vielzahl neuer Proxies wurde der ehemalige Menü-Punkt»Proxy-Cache«in»Web-Proxy«umbenannt. Alle Proxies sind unter dem neuen Menü-Punkt»Proxies«zusammengefasst. Achtung: War es bislang möglich, den Virenscan-Proxy durch Zugriffe auf Port 8081 zu umgehen, wird dies mit dem Einspielen dieses Updates nicht länger unterstützt. Nutzen Sie die Einstellung»Vertrauenswürdige Server«um den Virenscan für bestimmte Adressen außer Kraft zu setzen. Aus Kompatibilitätsgründen kann der Zugriff auf Port 8081 jedoch über die Oberfläche wieder aktiviert werden. Auch der Web-Proxy kann nun transparent genutzt werden. Mit Hilfe einer entsprechenden DNAT-Regel in der Firewall können so Zugriffe auf Port 80 automatisch an den Proxy umgeleitet werden. Die Umkonfiguration des Web-Browsers kann so entfallen. Beachten Sie jedoch bitte, dass HTTP-Zugriffe auf andere Ports und auch z.b. HTTPS nicht transparent umgeleitet werden können. Der Zugriff auf den Web-Proxy kann nun über die Oberfläche auf bestimmte Quell-IP- Adressen eingeschränkt werden. In der Grundeinstellung ist dies nur noch den in den Grundeinstellungen konfigurierten lokalen IP-Subnetzen erlaubt. Die Option»Mehrfachanmeldung eines Benutzers verhindern«steht nun auch bei aktiviertem Virenscan-Proxy zur Verfügung. Der Web-Proxy nun auch als ICAP-Client fungieren. Browser-Anfragen und die aus dem Internet erhaltenen Daten können auf diese Weise zur Filterung an einen externen ICAP- Server übergeben werden. Seite 10 von 12

11 NEU: SIP-Poutbound Proxy mit integriertem RTP-Proxy für Voice-over-IP In den meisten LANs werden interne IP-Adressen genutzt die dann mit NAT (Network- Address-Translation) umgesetzt werden. Dies ist ein großes Hindernis für die Nutzung von Voice-over-IP. Mit dem neue SIP-Proxy ist es nun für mehrere Benutzer möglich, sowohl Anrufe in das Internet zu tätigen als auch angerufen zu werden. Steht kein externer Voiceover-IP Provider zur Verfügung, kann der SIP-Proxy sogar als einfacher Registrar fungieren. NEU: Bandbreiten Management Daten-Pakete in das Internet können nun verschiedenen Prioritäts-Klassen zugeordnet werden. Über spezielle Schalter können VPN und Voice-over-IP priorisiert werden. Für beliebige andere Anwendungen lässt sich basierend auf der IP-Signatur einstellen, ob diese bevorzugt oder benachteiligt werden sollen. Die Zuordnung der verfügbaren Bandbreite erfolgt grundsätzlich dynamisch. Ungenutzte Bandbreite einer höheren Prioritäts-Klasse steht den darunter liegenden zur Verfügung. Eine gewisse Mindestbandbreite steht bei Bedarf auch der niedrigsten Stufe zu. NEU: Benutzer-Konfiguration über das Microsoft Windows Active-Directory Die Benutzer- und Gruppendefinition kann nun über das Microsoft Windows Active-Directory durchgeführt werden. Nutzen Sie diese Funktion zum einmaligen Import oder zum regelmäßigen Abgleich der Benutzer. In einer der folgenden Versionen wird dieser Vorgang auch automatisiert zu bestimmten Zeitpunkten ablaufen können. Wird auf dem Windows Domain-Controller eine mitgelieferte DLL installiert, so können mit den Benutzern auch deren Kennwörter importiert werden. Nähere Informationen dazu finden Sie im Handbuch und in der Online-Hilfe. NEU: Statistik der über die Internetschnittstelle übertragene Datenmenge In der Netzwerk-Statistik ist nun auch das monatliche Gesamtvolumen der über die Internet-Schnittstelle übertragenen Daten ersichtlich. Achtung: Bereits mit dem Update werden auch Werte für die vergangenen Monate angezeigt. Dabei handelt es sich um eine Hochrechnung die aus dem Datenbestand der Transferrate errechnet wurde. Von daher ist dieser Wert ungenau. Erst mit dem Zeitpunkt des Updates beginnt die exakte Bestimmung des Datenvolumens. Update: SPAM-Filter Die SPAM-Filter-Software und damit auch deren Signatur-Datenbank wurden aktualisiert. Sind die DNS-basierenden schwarzen Listen zur Echtzeit-Filterung aktiviert, werden ab sofort auch Links geprüft, die aus dem Text einer Mail auf bekannte SPAM-Server verweisen. Bisher wurden die Echtzeit-Listen ausschließlich dazu genutzt um zu prüfen über welche Mail-Server die geleitet wurde. Die Oberfläche erlaubt es nun niedrigere Grenzwerte zu konfigurieren ab denen eine als SPAM markiert oder verworfen wird. Update: MIME-Dateianhang Filter In der neuen Version wird auch die erste Ebene von ZIP-Archiven nach gesperrten Dateinamen durchsucht. Wird innerhalb des Archives eine unerwünschte Datei gefunden, so wird das gesamte Archive unter Quarantäne gestellt. Die Liste der im Auslieferungszustand vorgeschlagenen gesperrten Datei-Typen wurde von ehemals 15 auf nun 88 stark erweitert. Die neu hinzugekommenen werden auch in die Konfiguration bestehender Systeme übernommen, sofern noch mindestens 12 der ursprünglichen Erweiterungen in der Sperr- Liste zu finden sind. Nach folgenden Einträgen wird gesucht: bat, com, dll, eml, exe, ini, js, lnk, ocx, pif, reg, scr, shs, vbs, vxd. Seite 11 von 12

12 Selbstverständlich wirkt sich diese Änderung nur dann aus, wenn der MIME-Filter auch tatsächlich aktiviert ist. Update: Mail-Virenscan-Modul Das neue Modul unterstützt (unabhängig von der Funktionalität des verwendeten Virenscanners) zusätzliche Archiv-Formate. Hinweis Die in dieser Release Note enthaltenen Informationen beruhen auf sorgfältiger Recherche. Dennoch lässt es sich nicht ausschließen, dass eine Information im Einzelfall unzutreffend ist. Wir bitte daher um Ihr Verständnis, wenn wir keine Gewähr für die Richtigkeit der Informationen übernehmen und jede Haftung ausschließen. Sollten Sie feststellen, dass eine Information unzutreffend ist, bitten wir um Rückmeldung. Richten Sie diese bitte an: Erstellt am: Seite 12 von 12