Sicherheitsempfehlungen für die Web-Applikation.

Transkript

1 Sicherheitsempfehlungen für die Web-Applikation Referat: VM I 6 Version: 2.29 Status: Aktualisiert Stand: 30. Juni 2016 Version: 2.29 Seite: i

2 Inhaltsverzeichnis 1 Einleitung Verschlüsselung Versionen Internet Explorer Mozilla Firefox Sicherheitseinstellungen Internet Explorer Anzeige der Sicherheitseinstellungen Konfiguration der Sicherheitseinstellungen Konfiguration der erweiterten Einstellungen Mozilla Firefox Anzeige der Sicherheitseinstellungen Erweiterung NoScript Installation Konfiguration Test der Einstellungen Mit dem Internet Explorer Mit dem Mozilla Firefox Kontakt / Support... 9 Version: 2.29 Seite: ii

3 1 Einleitung Dieses Dokument dient dem Zweck, den Lokalredakteuren bund.de die für die Nutzung des Web-Redaktionssystems notwendigen Sicherheitseinstellungen für die Browser Internet Explorer und Firefox zu vermitteln. Das Web-Redaktionssystem bund.de nutzt für viele Funktionalitäten Javascript, der generellen Aktivierung dieser Erweiterung für alle besuchten Websites stehen allerdings u.a. die Sicherheitsempfehlungen des BSI entgegen. Die folgenden Einstellungen ermöglichen es, für bekannte, vertrauenswürdige Websites wie z.b. das Web-Redaktionssystem Javascript zu aktivieren, um alle Funktionen nutzen zu können und gleichzeitig sicher, komfortabel und uneingeschränkt zu arbeiten, daneben können die Lokalredakteure z.b. Javascript für (alle) anderen Websites deaktivieren, um so die Sicherheitsempfehlungen des BSI zu berücksichtigen. Mittelfristig ist die Ablösung der Javascript-basierten aktiven Inhalte des Web- Redaktionssystems durch adäquate Technologien vorgesehen.! 1.1 Verschlüsselung HINWEIS: Die Web-Applikation editor.bund.de akzeptiert ab dem beim Aufbau einer SSL-Verbindung (HTTPS) aus Sicherheitsgründen das veraltete und unsichere Verschlüsselungsverfahren RC4 nicht mehr. Bitte klären Sie daher umgehend vor der Nutzung des Systems zusammen mit dem für Sie zuständigen IT-Service, ob der von Ihnen verwendete Browser und / oder das Betriebssystem Ihres APC moderne und sichere Verschlüsselungsalgorithmen verwenden. 2 Versionen 2.1 Internet Explorer Die in diesem Dokument beschriebenen Sicherheitseinstellungen beziehen sich ausschließlich auf den Internet Explorer in der Version Sollte eine andere (neuere) Version des Internet Explorers verwendet werden, können Abweichungen in den Sicherheitseinstellungen auftreten oder Anpassungen seitens des Benutzers notwendig sein. Hinweis: Bei der Verwendung von IE 9 oder höher kann es zu Inkompatibilitäten kommen. Hierbei wird empfohlen, auf die Kompatibilitätsansicht des Internet Explorers zu wechseln. 2.2 Mozilla Firefox Die Einstellungen bezüglich Mozilla Firefox beschreiben den Umgang mit der Version 45.0.*. Auch hier wird ausdrücklich darauf hingewiesen, dass diverse Abweichungen in Version: 2.29 Seite: 1

4 den Sicherheitseinstellungen auftreten können, falls eine andere (neuere) Version verwendet werden sollte. 3 Sicherheitseinstellungen 3.1 Internet Explorer Hinweis: Bei der Verwendung von IE 9 und höher kann es zu Inkompatibilitäten kommen. Hierbei wird empfohlen, auf die Kompatibilitätsansicht des Internet Explorers zu wechseln. Die nachfolgend aufgeführten Sicherheitseinstellungen stellen eine Empfehlung für das komfortable und dennoch sichere Arbeiten mit dem Web-Redaktionssystem dar, für andere URLs müssen die entsprechenden Einstellungen evtl. angepasst / geändert werden. Für den Besuch anderer URLs resp. für die Einstellungen der anderen Zonen (Internet, lokales Intranet, eingeschränkte Sites) orientieren Sie sich bitte an den Sicherheitsempfehlungen des BSI Anzeige der Sicherheitseinstellungen Die Sicherheitseinstellungen des Internet Explorers sind wie folgt zu erreichen: 1. Starten Sie den Internet Explorer 2. Wählen Sie im Auswahlmenü Extras den Menüpunkt Internetoptionen aus 3. Betätigen Sie nun den Karteireiter Sicherheit Wählen Sie zunächst in der Auswahl der Webinhaltszonen die Zone Vertrauenswürdige Sites aus und betätigen Sie den Button Sites Version: 2.29 Seite: 2

5 Nun können Sie die URL zur Anmeldung an das Web-Redaktionssystem in das obere Feld eintragen und so den Vertrauenswürdigen Sites hinzufügen. Verwenden Sie hierzu bitte die folgende URL: Nachdem Sie die URL hinzugefügt haben, bestätigen Sie die Eingabe mit dem Button OK. Klicken Sie nun auf Schließen. Sie gelangen nun wieder in das aktive Fenster für die Sicherheitseinstellungen. Um die Einstellungen für die soeben eingerichteten vertrauswürdigen Seiten zu konfigurieren, betätigen Sie den Button Stufe anpassen (achten Sie bitte darauf, dass die Webinhaltszone Vertrauenswürdige Sites markiert ist, bevor Sie den Button betätigen) Konfiguration der Sicherheitseinstellungen In den folgenden Schritten werden alle notwendigen Einstellungen für die Zone Vertrauenswürdige Sites beschrieben und anhand von Bildern verdeutlicht. Scripting: 1. Aktivieren Sie Active Scripting 2. Deaktivieren Sie Programmatischen Zugriff auf die Zwischenablage zulassen 3. Deaktivieren Sie Scripting von Java-Applets! Hinweis: Beim Deaktivieren der Option Programmatischen Zugriff auf die Zwischenablage zulassen steht die Funktion Inhalte der Zwischenablage einfügen nicht mehr zur Verfügung. Auch das Kopieren durch bekannte Hot-Keys wie z.b. STRG+C und das anschließende Einfügen des Textes in ein Textfeld mit STRG+V wird deaktiviert. Version: 2.29 Seite: 3

6 Verschiedenes: 1. Wählen Sie unter Auf Datenquellen über Domänengrenzen hinweg zugreifen die Option Deaktivieren 2. Aktivieren Sie Dauerhaftigkeit der Benutzerdaten 3. Aktivieren Sie Gemischte Inhalte anzeigen 4. Wählen Sie unter Installation von Desktopobjekten die Option Deaktivieren Bestätigen Sie die Einstellungen mit der Schaltfläche OK und beantworten Sie die darauf folgende Frage mit Ja Konfiguration der erweiterten Einstellungen Betätigen Sie nun den Karteireiter Erweitert Im Bereich Java (Sun) ist das Häkchen zu entfernen. Danach bestätigen Sie die Eingabe, indem Sie auf OK klicken. Anschliessend muss der Browser neugestartet werden, damit die neuen Einstellungen wirksam werden. Version: 2.29 Seite: 4

7 3.2 Mozilla Firefox Die nachfolgend aufgeführten Sicherheitseinstellungen stellen eine Empfehlung für das komfortable und dennoch sichere Arbeiten mit dem Web-Redaktionssystem dar, für andere URLs müssen die entsprechenden Einstellungen evtl. angepasst / geändert werden. Für den Besuch anderer URLs und die dafür notwendigen Sicherheitseinstellungen orientieren Sie sich bitte an den Sicherheitsempfehlungen des BSI Anzeige der Sicherheitseinstellungen Zunächst müssen einige Konfigurationsänderungen in den Firefox-Einstellungen vorgenommen werden. Die Einstellungen sind wie folgt zu erreichen: 1. Starten Sie Mozilla Firefox 2. Wählen Sie im Auswahlmenü Extras den Menüpunkt Einstellungen aus 3. Betätigen Sie nun den Karteireiter Inhalt Stellen Sie sicher, dass die Option Javascript aktivieren ausgewählt ist. Bestätigen Sie dann Ihre Einstellungen durch Betätigung des OK Buttons Erweiterung NoScript Der Browser Firefox selbst bietet kein Zonen-Konzept analog zum Internet Explorer, daher muss hier auf eine zu installierende Erweiterung (sog. Extension) zurückgegriffen Version: 2.29 Seite: 5

8 werden, welche es dem Benutzer ermöglicht, gezielt für bestimmte URLs Javascript zu aktivieren oder zu deaktivieren. Es handelt sich hierbei um die Erweiterung NoScript in der aktuellen Version. Im Folgenden werden die notwendigen Installations- und Konfigurationsschritte beschrieben Installation Laden Sie zunächst die aktuellste Version der Erweiterung über den Link herunter, indem Sie auf der dargestellten Webseite die Option Zu Firefox hinzufügen betätigen. In der folgenden Dialog-Box muss nun nach einigen Sekunden der Button Jetzt installieren betätigt werden. Dadurch wird die Erweiterung heruntergeladen und nach einem Neustart des Firefox installiert. Betätigen Sie also den Button Jetzt installieren und warten Sie, bis die Erweiterung fertig heruntergeladen und installiert ist. Schließen Sie den Firefox danach und starten ihn anschließend erneut. In der linken oberen Bildschirmecke des Browserfensters sollte jetzt das Symbol bzw. zu sehen sein Konfiguration Klicken Sie nun mit der linken Maustaste auf das Symbol bzw.. Nun öffnet sich das Menüfenster von No-Script. Wählen Sie Skripte allgemein erlauben (nicht empfohlen) aus. Rufen Sie nun im Firefox die Ihnen bekannte URL und melden Sie sich am Redaktionssystem von bund.de an. Klicken Sie, nach dem die Seite vollständig geladen ist, mit der linken Maustaste auf das Symbol bzw.. Nun öffnet sich das Menüfenster von No-Script. Wählen Sie die Option Skripte allgemein verbieten (empfohlen). Klicken Sie nun erneut auf das Symbol und wählen Sie bund.de erlauben. Klicken Sie nun auf das Symbol bzw. und wählen Sie Einstellungen aus. Wählen Sie dann den Karteireiter Eingebettete Objekte und danach den Karteireiter Erweitert aus und konfigurieren No-Script wie folgt: Version: 2.29 Seite: 6

9 Bestätigen Sie Ihre Eingaben mit der Schaltfläche OK. Version: 2.29 Seite: 7

10 4 Test der Einstellungen 4.1 Mit dem Internet Explorer Hinweis: Bei der Verwendung von IE 9 und höher kann es zu Inkompatibilitäten kommen. Hierbei wird empfohlen, auf die Kompatibilitätsansicht des Internet Explorers zu wechseln. Um die Einstellungen zu testen, melden Sie sich bitte unter der bekannten URL am Redaktionssystem an. Sie sehen nun in der Statusleiste im oberen rechten Bereich ein Schlosssymbol, welches die verschlüsselte SSL-Verbindung symbolisiert / anzeigt sowie unten rechts in der Leiste die Beschreibung der Zone Vertrauenswürdige Sites, in der Sie sich jetzt befinden: Daran erkennen Sie, dass Sie sich nun auf einer der eingerichteten Webseiten befinden, welche die eben konfigurierten Sicherheitseinstellungen verwenden. Sie sollten nun sämtliche Funktionen des Webeditors uneingeschränkt verwenden können. 4.2 Mit dem Mozilla Firefox Der Test der Einstellungen mit dem Firefox ist identisch mit dem des Internet Explorers. Sollten Sie nicht am Redaktionssystem angemeldet sein, so melden Sie sich zunächst wie bekannt an. Sind die Einstellungen für die eingerichteten URL ( korrekt, so ist nun das Symbol in der oberen linken Bildschirmecke zu sehen - dies ist gleichbedeutend mit Javascript für diese URL zugelassen. Sie sehen nun in der Statusleiste im oberen linken Bereich ein Symbol, welches die verschlüsselte SSL-Verbindung symbolisiert / anzeigt. Version: 2.29 Seite: 8

11 4.3 Kontakt / Support Sie sollten nun sämtliche Funktionen des Webeditors uneingeschränkt verwenden können. Sollte dies wider Erwarten nicht der Fall sein, kontaktieren Sie bitte die Redaktion.bund.de (Werktags von 8:00 Uhr bis 16:30 Uhr für Rückfragen oder Problemmeldungen) per Telefon oder Telefon: bzw Redaktion: Administration: Technischer Support/Zugangsdaten: redaktion-support@bva.bund.de Version: 2.29 Seite: 9