cellent Reservierungssystem (crs) Sicherheit & Kommunikation

Transkript

1 cellent Reservierungssystem (crs) Sicherheit & Kommunikation

2 Dokumenteneigenschaften: Erstellt am: letzte Änderung am: Abgenommen am: Erstellt von: Änderung von: Abgenommen von: Czichon, Aaron Projekt:: Teilprojekt: Revision: Dokument:: Sicherheit & Kommunikation Status: Gültig ab: Offene Punkte: Aufgabe: Zuständig: Fällig: 2014 cellent AG Die Informationen, die in diesem Dokument enthalten sind, stellen die zum Zeitpunkt der Erstellung gültige Auffassung der cellent AG dar. Die aufgeführten Produkt- und Firmennamen können eingetragene Warenzeichen ihrer jeweiligen Inhaber sein und unterliegen demnach gesetzlichen Bestimmungen. Für die Richtigkeit der Herstellerangaben kann keine Gewähr übernommen werden. Seite/Sei- 2 / 5

3 Inhaltsverzeichnis: 1. ios / Android Client Welche Daten werden gespeichert? Wie erhält die App den Token? Werden Reservierungen lokal gespeichert? Welche Einstellungen werden gespeichert? Wie kommuniziert die App? Welche Daten werden bei der Kommunikation mitgesendet? Können die Clients von nicht-cellent-mitarbeitern genutzt werden? Ist die App zusätzlich geschützt? Datenbank Welche Daten werden in der Datenbank gespeichert? Können die Usernamen ausgelesen werden? Verifizierung Wie funktioniert die Verifizierung? Werden die cellent-zugangsdaten verwendet?... 5 Seite/Sei- 3 / 5

4 1. ios / Android Client 1.1. Welche Daten werden gespeichert? Innerhalb der ios Applikation werden keine userbezogene Daten gespeichert. Es wird lediglich ein Token zur Authentifizierung am Server auf dem Client gespeichert Wie erhält die App den Token? Der Token wird über die Eingabe der Verifizierungsnummer beim ersten Start der App ermittelt. Mehr Dazu siehe Verifizierung Werden Reservierungen lokal gespeichert? Nein. Reservierungen werden immer über die Web API direkt aus der Datenbank gelesen und geschrieben. Es wird nichts lokal gespeichert Welche Einstellungen werden gespeichert? Neben dem Authentifizierungstoken werden zusätzlich noch Applikationsbezogene Einstellungen gespeichert. Dazu gehört: Automatisches prüfen der Verfügbarkeit wenn ein Standort gewählt wird und ob geolocationbasierte Standortbestimmung genutzt werden darf Wie kommuniziert die App? Die App kommuniziert mit einer WebAPI welche auf Azure gehostet ist. Diese dient als Kommunikation der Clients mit der Datenbank Welche Daten werden bei der Kommunikation mitgesendet? Grundsätzlich wird nur der Authentifizierungstoken mitgesendet, welcher dem Server erlaubt festzustellen welcher Benutzer nun die Anfrage sendet Können die Clients von nicht-cellent-mitarbeitern genutzt werden? Nein. Diese können die App zwar herunterladen aber nicht nutzten. Raumpläne, Reservierungen, freie Räume und eigene Reservierungen können erst dann angezeigt werden, wenn der Client mit deiner Verifizierungsnummer freigeschalten wurde und einen gültigen Authentifizierungstoken besitzt Ist die App zusätzlich geschützt? Für alle ios Geräte welche ios 8 installiert haben und über Touch ID verfügen (iphone 5S, iphone 6 und iphone 6 Plus), wird die App zusätzlich mit dem Fingerabdruck geschützt. Dieser wird angefordert, wenn die App gestartet wird. Seite/Sei- 4 / 5

5 Die App kann auf Wunsch dann mit einem Passcode auf ios geschützt werden. Auf ios kann dann weiterhin zusätzlich die Touch ID verwendet werden. Das Schützen per Passcode folgt in der Android Version noch. 2. Datenbank 2.1. Welche Daten werden in der Datenbank gespeichert? Die Datenbank speichert die Reservierungen, die verfügbaren Räume und die verfügbaren Sitzplätze. Ebenso speichert sie den Usernamen und dazugehörigen Authentifizierungstoken Können die Usernamen ausgelesen werden? Nein. Die Usernamen können nur anhand der Verifikationsnummer ermittelt werden. Diese erhalten Sie nur innerhalb des cellent-netzwerkes und ist für maximal 5 Minuten gültig oder er wird vorher zur Verifizierung eines Clients genutzt. Der Client besitzt nicht die Möglichkeit den Usernamen zu ermitteln. Dieser verfügt lediglich über den Authentifizierungstoken. 3. Verifizierung 3.1. Wie funktioniert die Verifizierung? Die Verifizierung ist in mehrere Schritte eingeteilt. 1. Der Benutzer ruft die Verifizierungswebseite innerhalb der cellent-domäne auf und meldet sich dort mit seinem Usernamen und Passwort an. 2. Die Verifizierungsseite prüft Usernamen und Passwort gegen das Active Directory. 3. Wenn die Verifizierung erfolgreich war, wird eine Verifizierungsnummer generiert und in die Datenbank mit Zeitstempel eingetragen. Die Verifizierungsnummer ist 5 Minuten gültig. 4. Nun muss der Benutzer seine App öffnen und dort die Verifizierungsnummer innerhalb der 5 Minuten eintragen. 5. War die Verifizierungsnummer gültig und innerhalb des Zeitraumes, erhält der Client den Authentifizierunstoken. Dieser wird auf dem Gerät gespeichert Werden die cellent-zugangsdaten verwendet? Nein. Die Zugangsdaten dienen lediglich dazu, zu prüfen ob es sich um einen validen cellent-benutzer handelt. Zur Authentifizierung wird das Active Directory verwendet. Es werden keine Passwörter außerhalb des cellent-netzwerkes benötigt, genutzt oder gespeichert. Innerhalb des cellent-netzwerkes obliegt die Speicherung von Daten nur des Active Directorys welches außerhalb des Veranwortungsbereiches der App liegt. Seite/Sei- 5 / 5