BISG-Bericht zum Funktionstest

Transkript

1 BISG-Bericht zum Funktionstest Anwendung pinapps Version 2.0 Hersteller Pintexx GmbH Schindersgrube Talheim Ansprechpartner Hans- Peter Burk (Geschäftsführer) Erstellungsdatum 18. Mai 2020 Ersteller des Berichts Thomas Brugger Ansprechpartner des BISG e.v Thomas Weber 1

2 Ergebnis Mit der erfolgreichen Absolvierung der Prüfschritte kann das Siegel Funktionstest für die geprüfte Anwendung pinapps in der Version 2.0 des Herstellers Pintexx GmbH erfolgreich vergeben werden. Alle im vorliegenden Bericht durchzuführenden Aufgaben wurden geprüft und können als positiv bestätigt werden. 2

3 Index 1. Vorwort Vorbereitung zur Durchführung Durchführung Anlage1: Anlage 2: Erteilung des Siegels

4 1. Vorwort Dieser Bericht zum Funktionstest der Anwendung pinapps Version 2.0 des Unternehmens Pintexx GmbH wurde durch eine Expertenbeurteilung des BISG e.v. erstellt. Schwerpunkte des Anwendertest waren Funktion, Integration und Sicherheit. Zur Anwendung Laut Angaben des Herstellers ist pinapps ist eine hardwareunabhängige Plattform für die Bereitstellung von Anwendungen mit dem Ziel, den Zugang zu Unternehmensressourcen über einen zentralen Zugang auf allen Geräten auf einfachste Weise zu ermöglichen. Bei der Software sind insgesamt drei Varianten verfügbar: pinapps Basic, pinapps Standard, pinapps Pro Der Funktionstest erstreckt sich in diesem vorliegenden Fall nur auf die Anwendung pinapps Basic in der Version 2.0 Die Durchführung des Tests mit den jeweiligen Aufgabenstellungen und Ergebnissen werden in diesem Bericht beschrieben. Ausgangssituation Die Produktprüfung erfolgte auf einer virtuellen Maschine (VM), welche von der Pintexx GmbH zur Verfügung gestellt wurde. 2. Vorbereitung zur Durchführung Die VM wurde über die vom Hersteller angegebenen Links runtergeladen. Es wurde folgende Version verwendet: VMWare ( oder HyperV ( Die Zip-Archiv wurde entpackt und die VM (durch den Import der ova-datei) installiert. Nach der erfolgreichen Installation kann die Oberfläche über die in der Konsole angezeigte IP aufgerufen werden. Für den Test werden folgende Zugänge benötigt: 1. <ip>/system für System App 2. <ip>/remote/adminlogin für Remote Admin 3. <ip>/remote für Remote Benutzer Login: administrator Passwort:

5 3. Durchführung Bei der Durchführung des Anwendertests wurden die vorgegebenen Fragestellungen bzw. Thesen geprüft und mit entsprechenden Nachweisen (visuellen Darstellungen) zur Vorgehensweise und Fragestellung belegt. Nachstehende Tests bzw. Aufgaben wurden hierzu bearbeitet: 3.1 Test/Aufgabe VM als Black Box Ziel: Bestätigung, dass Produkt als VM, also als Black Box vorliegt 3.2 Test/Aufgabe Zugriff auf VM per SSH über Port (Zugriff geht nicht) Ziel: Bestätigung, dass ein Zugriff nur mittels eines Zertifikats möglich ist 3.3 Test/Aufgabe Firewall Test (Optional, wenn möglich) Dazu wird ein Mitarbeiter von Pintexx benötigt, der sich über SSH + Zertifikat an der VM anmeldet und zeigt, dass die Firewall an ist und welche Ports freigeschaltet sind Ziel: Bestätigung, dass Firewall aktiv ist Ergebnis: wurde nicht getestet, da optional 5

6 3.4 Test/Aufgabe Benutzer Anmelden über 2) Profil anlegen -> Profil -> + Name angeben Desktop Tab -> IP angeben (Entweder IP von PC im Netzwerk oder rdp.pintexx.com) Speichern -> Benutzer -> + (Neuer Benutzer) Eingabe von Name, Login, Passwort Profile Tab -> Angelegtes Profil auswählen Speichern Ziel: Bestätigung, dass nur ein Name, Login und Passwort verwendet wird. 6

7 3.5 Test/Aufgabe Benutzer II Ziel: Bestätigung dass der Benutzer keinerlei Daten eingeben kann 3.6 Test/Aufgabe Anmelden über 3) Ziel: Eingabe Login/Passwort des angelegten Benutzers Es sollte eine Verbindung angezeigt werden Verbindung aufbauen 7

8 3.7 Test/Aufgabe Login Anmelden über 3) Aber mit falschem Login oder falschem Passwort Ziel: Bestätigung, dass nach jedem weiteren falschen Login die Wartezeit bis zum nächsten möglichen Login sich um ca 5 Sekunden verlängert 8

9 3.8 Test/Aufgabe Seitenschutz Ohne Anmeldung folgenden Link einer bestehenden Seite aufrufen: <ip>/system/adminmain Ziel: Bestätigung, dass eine Umleitung auf die Login-Seite erfolgt und dass auf eine Seite innerhalb der Anwendung nur nach Authentifizierung zugegriffen werden kann. 9

10 3.9 Test/Aufgabe SSL konfigurieren Wenn ein eigenes Zertifikat z.b. *.<domäne> verfügbar ist: DNS Eintrag auf IP VM Anmelden an 1) Einstellungen -> Zertifikat -> Eigenes Zertifikat importieren Wenn kein Zertifikat verfügbar ist: DNS Eintrag auf IP VM Ports 80 und 443 in Firewall über Portweiterleitung auf IP Adresse der VM zugänglich machen Anmelden an 1) über Domäne Lets Encrypt installieren Abmelden und Anmelden über Ziel: Bestätigung, dass das ganze System über SSL konfiguriert werden kann. 10

11 3.10 Test/Aufgabe TLS Level setzen Ziel: Bestätigung dass TLS Level gesetzt werden können Anmelden an 1) Sicherheit -> TLS -> TLSv1.2 und TLSv1.3 aktivieren -> Speichern 11

12 3.11 Test/Aufgabe Header setzen Ziel: Bestätigung dass Header gesetzt werden können Anmelden an 1) Sicherheit Header -> Alle Header über + setzen und speichern 12

13 3.12 Test/Aufgabe SSL Labs Test Aufruf Ssllabs.com -> Server testen Angabe der konfigurierten Domäne Ziel: A Rating komplettes Ergebnis (siehe Anlage 1) 13

14 3.13 Test/Aufgabe Autom. Umleitung Anmelden an 1) über Domäne Einstellungen -> Global -> Autom. Weiterleiten auf Remote App + CheckBox Https verwenden + Speichern Eingabe von Ziel: Bestätigung, dass automatisch auf umgeleitet wird 14

15 3.14 Test/Aufgabe Admin Schutz Anmelden an 1) Einstellungen -> Global -> Den Internetzugriff aktivieren -> Speichern Aufruf von Aufruf von <ip>/system Ziel: Bestätigung, dass ein Aufruf über das Internet nicht mehr möglich ist, sondern nur noch über lokale IP-Adresse 15

16 3.15 Test/Aufgabe Test 2-Faktor Authentifizierung Anmelden an 2) Benutzer -> Benutzer auswählen -> angeben -> Speichern Einstellungen Benachrichtigung -> Daten für SMPT-Server eingeben und testen Profil -> Profil auswählen -> Bearbeiten -> Tab 2-Fakor -> -> Speichern Anmelden an 3) Verbinden Auf warten Code eingeben Ziel: Bestätigung, dass das System eine 2-Faktor Authentifizierung unterstützt 16

17 3.16 Test/Aufgabe 1) Bibliothek Im Browser Source Code anzeigen <script src="/system/lib/jquery/dist/jquery.js"> <script src="/system/lib/bootstrap/dist/js/bootstrap.js"> <script src="/system/js/site.js"></script> <script src="/system/js/jqx-all.js"></script> Ziel: Bestätigung, dass nur JQuery und jqwidgets Bibliotheken verwendet werden 3.17 Test/Aufgabe Penetrationstest Download OWASP ZAP Tool von owasp.org Tool starten Auf Manual Explore Url eingeben, z.b. <ip>/system Dann im Browser einloggen Report erzeugen im Menu über Report -> HML Report Ziel: Summary zu Beginn in Bericht aufnehmen Ergebnis: siehe Anlage 2 17

18 3.18 Test/Aufgabe Logging Anmelden unter 1) Unter Logs befinden sich Log-Dateien für jede einzelne App und für die API. Ziel: Bestätigung, dass das System über umfangreiche Logging-Möglichkeiten verfügt 18

19 3.19 Test/Aufgabe Monitoring Anmelden unter 1) Unter Einstellungen -> Überwachung kann das Monitoring für SNMP und Zabbix aktiviert werden. Sollte zufällig ein SNMP-Tool verfügbar sein kann auch ein Zugriff erfolgen. Ziel: Bestätigung, dass ein professionelles Monitoring über SNMP oder Zabbix verfügbar ist. 19

20 Anlage1: 20

21 21

22 22

23 23

24 24

25 25

26 Anlage 2: 26

27 27

28 28

29 29

30 4. Erteilung des Siegels Auf Basis dieses Funktionstest vergibt der BISG e.v. das Siegel zur erfolgreichen Durchführung. Ladenburg, den 18. Mai 2020 Thomas Brugger Thomas Weber 30