Security Settings in Domino. Mathias Bierl Wabion GmbH

Transkript

1 Security Settings in Domino Mathias Bierl Wabion GmbH

2 Agenda Vorstellung Wo sind die Security Einstellungen? System Datenbanken/Server Dokument Web Configurations/Internet Sites IDs Policies CA Prozess ID Vault Tips & Tricks 2

3 Über Wabion Gegründet 2004 Firmensitz in Esslingen Einsatz weltweit 10 feste Mitarbeiter 15 freie Mitarbeiter Größter Google Enterprise Partner in Deutschland. Focus Bereiche: - Ganzheitliche Groupwarelösungen und deren Einsatz im Unternehmen (IBM und Google) - Migrationen zwischen Groupwarelösungen und zu Cloud Lösungen - Enterprise Search auf Basis Google Search Appliance - Anwendungsentwicklung auf Basis Google Apps Engine und Lotus Domino - Beratungsunternehmen mit dem Focus jeweils Technologieführer auf seinem Gebiet zu sein. 3

4 Wer bin ich? Mathias Bierl, Staatl. Gepr. Wirtschaftsinformatiker Notesentwicklung / Administration seit 1997 (R 4 ND 8.5.x) Anti-Spam/Anti-Virus Lösungen Google Lösungen (Search, Apps, ) Server-Virtualisierung 4

5 Wer bin ich? Projekte mit Lotus / Domino: Lotus Notes R4 ND 8.5.x Sametime, Domino.Doc, Lotus Workflow, LEI, DECS, DGW Formelsprache, Skript, Klassen, Java, JS, HTML, AJAX Migration R4-R5-ND6-ND7-ND8, Microsoft Exchange, C-/C++-API, WIN 3.11-WIN 7, OS/2, AIX, AS/400, Linux,... Datenanbindungen an SAP, RDBS XML/XSL, Servlets, Web Services Mobile Datenanbindung (Blackberry, OBMG, ) Projekte mit Google: Google Search Appliance Google Message Security Google Message Discovery Google Apps inkl. Migrationen Google Apps Engine 5

6 Wo sind die Security Settings? Domino Directory Admin ECL Server Dokument Zugriff Internet Ports HTTP Server Traveler Configurations Routing/SMTP Einstellungen Web Configurations/Internet Sites Zugriffsbeschränkungen für Browser Clients Zugriffseinstellungen für Internet Protokolle 6

7 Wo sind die Security Settings? IDs Minimale Passwortkomplexität Verschlüsselungsstärke Zertifikate Schlüssel Policies Password Management ECL PlugIn Installationen Registration Settings Traveler Desktop Roaming ID Vault 7

8 Domino Directory Das Domino Directory enthält alle Systemkonfigurationen. Daher ist es sehr wichtig die Zugriffsrechte so restriktiv wie möglich zu setzen. Dies gilt selbstverständlich für alle Systemdatenbanken Zugriffslevel für User: Autor Sobald ein User Editor oder mehr Rechte hat kann er jede Einstellung verändern Erweiterte Rechte immer über die Autorenfelder bzw die Rollen vergeben [..Creator] Kann neue Dokumente des Typs anlegen [..Modifier] Kann bestehende Dokumente des Typs verändern 8

9 Domino Directory Für Autoren sind bestimmte Felder nicht editierbar z.b. kann ein Autor einen Benutzernamen oder einen Gruppennamen nicht verändern AdminECL Vorgabe ECL für die Clients Über Policies können unterschiedliche Vorgabe ECLs für Benutzergruppen verwaltet werden 9

10 Administration Requests Die Administration Requests sind wichtig für viele Aufgaben, da dadurch die Benutzer weniger Rechte benötigen. Daher ist auch hier wichtig, daß die Zugriffsrechte korrekt gesetzt sind. Zugriffslevel für User: Autor Setzen von Zugriffsrechten auf Mail Datenbanken Aktivieren/Deaktivieren des OoO 10

11 Server Dokument Hier werden alle Einstellungen getroffen, die für den entsprechenden Server gelten. Sicherheit Administratoren Möglichst Gruppen verwenden Agentenrestriktionen Möglichst dedizierte Ids verwenden Internet Authentication Empfehlung weniger Namensvariationen Serverberechtigung Passthru Unabhängig von Serverberechtigung 11

12 Server Dokument ID Security Public Key Prüfung Vorsicht: Kann leicht dazu führen Benutzer auszusperren wenn Keys im Directory falsch sind Anonyme Notes Verbindungen Passwortüberprüfung Verhindert die Nutzung von IDs mit anderem Passwort Muss je Server aktiviert werden, und per Policy oder im Personendokument für die entsprechenden Benutzer Vorsicht: Kann leicht dazu führen Benutzer auszusperren wenn Keys im Directory falsch sind 12

13 Server Dokument Port Sicherheit Greift Serversicherheit Wenn nicht sind z.b. DenyAccess Groups hier wirkungslos Aktiv Authentifizierung SSL Bei aktivierten Internet Sites sind die Optionen Authentifizierung und SSL hier nicht verfügbar HTTP Session Authentifizierung Timeouts Agents HTTP 13

14 Server Dokument Traveler Zugriff auf Traveler Server Client Security wird per Policy konfiguriert 14

15 Configurations Internet Password Lockout Grundeinstellung. Details werden in Policies definiert LDAP Abfragbare Attribute für anonyme Benutzer Schreibzugriff Anzahl zurückgelieferter Einträge Wildcardsuche Schema Enforcement 15

16 Configurations Router/SMTP Beschränkungen für Mailversand und -empfang Blacklists/Whitelists Vor Eingang neuer Mail-Agenten Transfer Threads Verzögerungen Forwarding Rules Server Regeln Bieten mehr bzw andere Möglichkeiten als die User Regeln Message Recall Journaling Commands und Extensions 16

17 Configurations MIME Return Receipts Notes Informationen im Header Notes.ini Einstellungen Bietet den Vorteil, daß die Einstellungen beim Start automatisch gesetzt werden Auch möglich für Servergruppen -> identische Konfiguration 17

18 Configurations Lotus inotes SSL Zugriff verlangen für bestimmte Aktionen Offline Funktionalität Browser Cache Management IMAP SNMP Change Control Diagnostics 18

19 Web Configurations / Internet Sites Web Configurations sind die alte Variante um mehrere Hostnamen/IP Adressen auf einem Domino Server für HTTP Zugriffe zu konfigurieren Internet Sites bieten mehr Konfiguration aller Internetprotokolle (HTTP, SMTP, POP3, LDAP, DIIOP) Detaillierte Konfigurationen möglich Erweiterte Regeln für HTTP Separate SSO Konfigurationen möglich Allerdings müssen bei der Umschaltung alle verwendeten Internetprotokolle konfiguriert werden Ab Integrated Windows Authentication möglich (Kerberos) 19

20 Web Configurations Nur für HTTP Zugriff verfügbar Werden aus dem Server Dokument heraus erstellt Virtual Server Mehrere virtuelle Server auf einem Domino anhand von IP oder Hostnamen Startseite und Sicherheitseinstellungen konfigurierbar URL Mapping/Redirection Weiterleitungen und Umzüge anhand von Patterns oder fixen URLs 20

21 Web Configurations File Protection Zugriffsschutz für Dateien/Verzeichnisse Realms Verhinderung von mehrfacher Eingabe von Anmeldedaten bei HTTP Basic Authentifizierung SSO Single Sign On für mehrere oder alle Server 21

22 Internet Sites Für alle Internetprotokolle verfügbar Mehrere virtuelle Server auf einem Domino anhand von IP oder Hostnamen Getrennte Security für jede Internet Site Getrennte SLL Einstellungen für jede Internet Site IMAP Public Folders und Security POP3/LDAP/SMTP Keine speziellen Konfigurationsoptionen DIIOP Externes HTTP Verzeichnis 22

23 Internet Sites HTTP Komplette Konfiguration der Web Engine möglich inkl. Startseite und Sicherheitskonfiguration Regeln bieten auch die Möglichkeit Response Headers bzw die Session Authentication anzupassen File Protection Zugriffsschutz für Dateien/Verzeichnisse Realms SSO Verhinderung von mehrfacher Eingabe von Anmeldedaten bei HTTP Basic Authentifizierung Alternative zu Single Server oder SSO Single Sign On für mehrere oder alle Server 23

24 IDs Minimale Passwortkomplexität Diese kann nur durch eine Neuregistrierung verringert werden Durch Policies kann diese aber erhöht werden Verschlüsselungsstärke Limitiert die Client Versionen die benutzt werden können 630 Bits Alle Versionen 1024 Bits Ab Version Bits AB Version

25 IDs Zertifikate Verhindert gleichnamige Ids (bei aktiviertem Schlüsselabgleich) Schlüssel Feld-/Dokumentverschlüsselung Passwort Recovery Erlaubt das Neusetzen eines User Passwortes durch Extraktion eines Hash Codes durch definierte User User werden zum Registrierungszeitpunkt des Certifiers festgelegt und können nachträglich nur durch Neuzertifizierung verändert werden 25

26 Policies Password Management Erhöhung der Passwortkomplexität inkl. Regeln Passwortabgleich Notes/Internet Passwortablauf Lockout ID Datei Verschlüsselung Shared Login (Nachfolger des Dienstes Gemeinsame Anmeldung) ECL Mehr als eine ECL möglich Möglichkeit diese zwingend für die User festzulegen 26

27 Policies PlugIn Installationen Für Eclipse Clients Definiert was für PlugIns installiert werden dürfen ID Vault Aktivierung Sicherheitseinstellungen Registration Settings Erlaubt die Festlegung von Vorgabewerten für die Benutzerregistrierung Server, Verschlüsselungsstärke, Rechte aufs MailFile, Adresse, Gruppenzugehörigkeit,... Verhindert inkonsistente Registrierungen 27

28 Policies Traveler Was darf synchronisiert werden und in welchem Umfang Datenmenge Filter Client Log Files Clientsicherheit Gerätepasswort Verschlüsselung 28

29 Policies Desktop Clienteinstellungen Widgets Arbeitsumgebungen Notes.ini Roaming Aufräumaktion auf den Clients Sicherheitseinstellungen Symphony Erlaubte Makros Erlaubte Dateitypen 29

30 CA Prozess Erlaubt die Registrierung von Benutzern ohne direkten Zugriff auf die Zertifizierer ID Files Registrierung, Umbenennung und Namensänderungen können z.b. auf den Helpdesk verlagert werden Da kein physischer Zugriff auf die ID notwendig ist, muss auch das Passwort der IDs nicht veröffentlicht werden ID Files müssen zum CA Prozess migriert werden CA Servertask muss auf dem Administrationsserver laufen 30

31 ID Vault Automatischer ID Abgleich Verhindert die Nutzung unterschiedlicher ID Versionen Automatischer ID-Abgleich für inotes Passwörter zurücksetzen Passwörter können durch berechtigte Personen zurückgesetzt werden (müssen keine Administratoren sein) Berechtigungen greifen sofort Im Gegensatz zum Passwort Recovery Möglichkeit zur Automatisierung über Anwendung Wird über Policies aktiviert Ab 8.5 (Server + Client) 31

32 Tips & Tricks Vorsicht bei Änderungen von Einstellungen. Diese können leicht zu offenen Servern führen oder man sperrt sich selbst aus Jede Änderung sollte intensiv getestet werden vor allem auf Auswirkungen auf Benutzer bzw andere Einstellungen Je mehr Client-/Benutzereinstellungen festgelegt werden, desto leichter wird der Support. Allerdings verringert dies auch die Flexibilität der Benutzer. 32

33 Q & A 33

34 Kontakt Wabion GmbH Katharinenstrasse 57 D Esslingen Phone: +49 (0) Fax: +49 (0) Web: Mathias Bierl Mobil: +49 (0)