A361 Web-Server. IKT-Standard. Ausgabedatum: Version: Ersetzt: Genehmigt durch: Informatiksteuerungsorgan Bund, am

Transkript

1 Eidgenössisches Finanzdepartement EFD Informatiksteuerungsorgan des Bundes ISB A361 Web-Server Klassifizierung: Typ: Nicht klassifiziert IKT-Standard Ausgabedatum: Version: 1.03 Status: Genehmigt Ersetzt: 1.02 Verbindlichkeit: Weisung Genehmigt durch: Informatiksteuerungsorgan Bund, am Beilagen:

2 Inhaltsverzeichnis 1 Anwendungsbereich Geltungsbereich Verbindlichkeit Anwendungsgebiet Einsatzgebiet Funktionalität Strategische Vorgaben Sicherheitsüberlegungen Standardprodukte... 4 Anhänge... 5 A. Änderungen gegenüber Vorversion... 5 B. Bedeutung der Schlüsselwörter zur Bestimmung des Verbindlichkeitsgrades 5 C. Abkürzungen... 5 D. Referenzen /6

3 Das Informatiksteuerungsorgan Bund erlässt gestützt auf Artikel 17 Absatz 1 der Verordnung über die Informatik und Telekommunikation in der Bundesverwaltung (BinfV) nachfolgende Weisungen. 1 Anwendungsbereich Web-Server versendet auf Anfrage HTML-Dokumente oder andere Objekte wie Grafiken, Textdokumente, PDFs an die Clients, meist Web-Browser. Als Web-Server sind einzusetzen: Apache HTTP Server bzw. Microsofts Internet Information Services (IIS). 2 Geltungsbereich Der Geltungsbereich der Weisungen ist identisch mit dem Geltungsbereich der BinfV 1. 3 Verbindlichkeit Der Verbindlichkeitsgrad der einzelnen Vorgaben wird mittels der im Anhang B zusammengestellten, in Grossbuchstaben geschriebenen Schlüsselwörter gekennzeichnet. 4 Anwendungsgebiet Dieser Standard definiert die Produkte welche im Einsatzgebiet Web Server zum Einsatz kommen sollen. 5 Einsatzgebiet 5.1 Funktionalität Web-Server versenden auf Anfrage HTML-Dokumente oder andere Objekte wie Grafiken, Textdokumente, PDFs etc. Die Anfragen kommen von Clients. Mit ihnen kommuniziert der Web-Server über das HTTP-Protokoll oder dessen verschlüsselte Variante HTTPS. Normalerweise sind die Clients Web-Browser [A219], seltener andere Anwendungen. Ein Web-Server muss mindestens folgende Funktionalität bieten: Zugriffsverwaltung und Berechtigungssteuerung Der Web-Server muss so konfiguriert werden können, dass er nur jene Anfragen beantwortet, zu denen der anfragende Client berechtigt ist. Wo nötig muss er vom Client verlangen, dass er sich authentifiziert, damit der Server überprüfen kann, ob er die nötigen Zugriffsberechtigungen besitzt. Er muss verschiedene Methoden zur Authentifizierung unterstützen, insb. User-Id/Passwort und elektronische Unterschrift. 1 SR /6

4 Protokollierung Um überprüfen zu können, welche Aktivitäten von den Clients auf dem Server ausgelöst worden und welche Fehler dabei aufgetreten sind, muss der Web-Server Aktivitäten protokollieren können. Erweiterbarkeit um Dienste Damit den Clients nicht nur statische Dokumente geschickt werden können, sondern mit ihnen dynamisch interagiert werden kann, muss ein Web-Server mit Anwendungen zusammenarbeiten können. Zu diesem Zweck muss er Schnittstellen wie ISAPI, CGI etc. zur Verfügung stellen. Verschlüsselung Dokumente, die mit HTTP übermittelt werden, können von jedermann, der den Datenverkehr zwischen Web-Server und Client abhört, mitgelesen werden. Damit die Übertragung vom Web-Server zum Client verschlüsselt erfolgen kann, muss der Web-Server das Protokoll HTTPS unterstützen. Virtuelle Server Ein Web-Server erlaubt die Einrichtung mehrerer virtueller Web-Server auf dem gleichen System. 5.2 Strategische Vorgaben Es wird eine Mehrproduktestrategie verfolgt. 5.3 Sicherheitsüberlegungen Vgl. Kapitel Funktionalität. 5.4 Standardprodukte Microsoft Internet Information Services, genehmigt am Apache http Server, genehmigt am /6

5 Anhänge A. Änderungen gegenüber Vorversion Migration des Standards in die neue Vorlage gemäss R010, Version 2-0. B. Bedeutung der Schlüsselwörter zur Bestimmung des Verbindlichkeitsgrades Der Verbindlichkeitsgrad der einzelnen Vorgaben wird im Dokument mittels folgender in Grossbuchstaben geschriebenen Schlüsselwörter gekennzeichnet: MUSS DARF NICHT DARF SOLL KANN Vorgabe, die einzuhalten ist (gewährte Ausnahmen ausgenommen) Option, die nicht gewählt werden darf Die Option ist explizit erlaubt. Die Nutzer entscheiden, ob sie die Option nutzen möchten. Betrifft die Vorgabe eine IKT-Lösung, muss der Anbieter der Lösung die Option anbieten. Option, die im Normalfall zu wählen ist. Es kann jedoch ohne Ausnahmegewährung des ISB davon abgewichen werden, insbesondere wenn die Wirtschaftlichkeit oder Sicherheit andernfalls nicht mehr gewährleistet werden können. Die Abweichung von der Vorgabe ist jedoch schriftlich zu begründen. Akzeptierte Option. Betrifft die Vorgabe eine Lösung, entscheidet der Anbieter der Lösung darüber, ob er die Option unterstützen will. C. Abkürzungen Kürzel ISB HTML HTTPS PDF Web-Server Bedeutung Informatiksteuerungsorgan des Bundes Hypertext Markup Language HTTP über eine verschlüsselte Verbindung Portable Document Format von Adobe ist ein plattformübergreifendes Dateiformat für (grafisch) formatierte Dokumente. Server, der HTTP-Anfragen beantwortet. D. Referenzen [BinfV] Verordnung über die Informatik und Telekommunikation in der Bundesverwaltung vom 09. Dezember 2011 (Stand am 01. Januar 2012); SR /6

6 [URG] Bundesgesetz über das Urheberrecht und verwandte Schutzrechte vom 9. Oktober 1992 (Stand am 01. Januar 2011); SR /6