![]() |
![]() |
![]() |
![]() |
![]() |
WebShare UB+ Benutzerhandbuch |
8 Sicherheit
8.1 Sicherheits�berlegungen
8.1.1 WebShare WebObjects Server
Die Dateisicherheit bei der Verwendung von WebShare wird durch den zweistufigen Serveraufbau gew�hrleistet. Der WebShare WebObjects Server stellt das Benutzerinterface auf einem separaten Server zur Verf�gung und gew�hrleistet so, dass der WebShare File Server nicht im Internet steht. Zus�tzlich unterst�tzt WebShare auch die SSL-Datenverschl�sselung.
Eingehender HTTP-Port ist 2009.
W�hrend des Anmeldevorgangs wird das Kennwort in verschl�sselter Form (RSA) �bertragen. Daf�r muss aber im Browser JavaScript aktiviert sein. Ist das der Fall, zeigt der Browser das Wort Crypted RSA 1024 bit in einem kleinen Fenster neben dem Feld Kennwort an (Abb.�31). Ist JavaScript nicht aktiv, steht dort Cleartext und das Kennwort wird unverschl�sselt zum WebShare Server gesendet.
8.1.2 WebShare File Server
Die Dateisystem-Sicherheit auf dem Server wird gem�� der Benutzer-Zugriffsrechte erzwungen. Dar�ber hinaus lassen sich �ber die Sicherheitseinstellungen des Sharepoints weitere Zugriffsbeschr�nkungen je Benutzer einrichten. Dies betrifft die Aktionen Browsen, Voransicht, Hoch- und Herunterladen von Daten sowie Dateiverwaltung.
8.1.3 Aufbau der Server
Wir raten Ihnen dringend, einen zweistufigen Serveraufbau zu verwenden, bei dem der WebShare WebObjects Server mit zwei Netzwerkkarten auf einem eigenen Server installiert ist. Diese Anordnung ist in Kapitel 3.1 "Verschiedene Serveraufbauten" dargestellt. Der Vorteil dieses Aufbaus ist:
- Es gibt nur einen HTTP-Port (Vorgabewert: 2009), der vom Internet aus erreichbar ist
- Das HTTP-Datenaufkommen wird auf einem eigenen Server abgewickelt (HTTP-Angriffe legen den Fileserver nicht lahm)
- Der auf einem eigenen Host installierte WebShare WebObjects Server speichert keinerlei Daten (falls es unberechtigten Personen gelingen sollte sich am Server anzumelden, w�rden diese keine Daten finden)
- Ein autarker Server mit nur einem TCP/IP-Port ist einfacher abzusichern
- Aktualisierungen des Betriebssystems werden auf einem autarken Server vereinfacht
8.1.4 Firewalls
Wir raten Ihnen dringend, alle TCP/IP-Ports des WebShare WebObjects Servers bis auf Port 2009 (WebShare HTTP- Vorgabewert) zu deaktivieren. Dies kann durch eine Hardware-Firewall auf einem Internet-Router realisiert werden, oder �ber eine Software-Firewall auf dem WebShare WebObjects Server.
8.1.5 Zugriff vom WebShare WebObjects Server auf den WebShare File Server
Die WebShare WebObjects Server Pr�ferenz WSAllowedHostNames (Kapitel 6.5 "Pr�ferenzen") gestattet es, den Zugriff vom WebShare WebObjects Server auf vorhandene WebShare File Server zu begrenzen. Wir raten Ihnen, die Hosts anzugeben, die der WebShare WebObjects Server erlaubt. Damit verhindern Sie, dass unberechtigte Personen das HTTP-Datenaufkommen �ber Ihren WebShare WebObjects Server auf deren WebShare File Server umleiten. Obwohl dies noch kein Sicherheitsrisiko darstellt, gibt es keinen Grund, anderen Personen den Zugriff auf Ihren WebShare WebObjects Server zu gestatten.
8.1.6 Symbolische Links innerhalb von Sharepoints
Aus Sicherheitsgr�nden zeigt WebShare standardm��ig keine symbolischen Links an. Dessen ungeachtet kann es vorkommen, dass ein Verzeichnis einen symbolischen Link beinhaltet, der auf Dateien au�erhalb des Sharepoints zeigt. Wird nun dieses Verzeichnis vom Benutzer dupliziert, so werden alle Referenzen zu symbolischen Links aufgel�st und in das duplizierte Verzeichnis kopiert. Die Dateien sind dann keine symbolischen Links mehr, so dass auf sie zugegriffen werden kann.
8.1.7 Aktionsskripte
Mit WebShare k�nnen sie benutzerdefinierte Skripte, die im Verzeichnis "HELIOSDIR/var/webshare/actions" gespeichert sind, ausf�hren. Die vier Beispiel-Aktionsskripte wurden alle in Perl geschrieben. Zwar sind in "shell" oder anderen Programmen geschriebene Skripte auch zul�ssig, jedoch wird aus Gr�nden der Plattform �bergreifenden Kompatibilit�t, und um Probleme mit Sonderzeichen in Dateinamen und Argumenten zu vermeiden, Perl empfohlen. Beachten Sie bitte, dass Aktionsskripte, die unter der ID eines Host-Benutzers laufen (oder mit gleichwertigen Rechten ausgestattet sind), auf Daten au�erhalb des Sharepoints zugreifen k�nnen. Aus Sicherheitsgr�nden m�chten Sie vielleicht die Verf�gbarkeit von Aktionsskripten auf individuelle Benutzer beschr�nken, indem Sie die Zugriffsrechte f�r Aktionsskripte (z.�B. Zugriff nur f�r den Benutzer, Zugriff nur f�r die Gruppe) eingrenzen. Aktionsskripte, die Host-Programme aufrufen (�ber das System, eine Weiterleitung ("open pipe"), shell usw.), k�nnen eine Gefahr darstellen, wenn die Dateinamen Sonderzeichen (beispielsweise < oder > oder `) enthalten. Ziehen Sie einen UNIX und Perl Spezialisten zur �berpr�fung von benutzerspezifischen Skripten heran.
8.1.8 Lese- oder Lese-/Schreibberechtigung in Sharepoints f�r alle Benutzer
Die optionalen Pr�ferenzen zum �bergehen von Host-Zugriffsrechten, AllRead und AllReadWrite, sollten Sie nicht setzen ohne sich dar�ber im Klaren zu sein, dass der Dateizugriff dann nicht mehr durch das Betriebssystem des Hosts kontrolliert wird. Standardm��ig sind diese beiden Pr�ferenzen abgeschaltet und k�nnen nur �ber eine spezielle WebShare File Server Pr�ferenz aktiviert werden.
8.1.9 Skripte "wsaddshare" und "wslogin"
Das optionale Skript "wsaddshare" erlaubt es, die Administration des Sharepoints auf ein paar spezielle Pfadnamen zu begrenzen (z.�B. nur "/data" und "/webshare" sind erlaubt). Stellen Sie in "wsaddshare" eine Liste aller erlaubten Pfadnamen auf um sicherzustellen, dass der WebShare Administrator nicht den gesamten Server �ffentlich machen kann.
Das Skript "wslogin" erlaubt eine zus�tzliche �berpr�fung von Benutzeranmeldungen. Beispielsweise kann so die Adresse der Anfrage verifiziert oder die Anmeldung am WebShare Server auf bestimmte Stunden oder Tage begrenzt werden.
8.1.10 Keine Sicherheit f�r Dokumenteninhalt
Standardm��ig verwendet WebShare verschl�sselte Kennw�rter, die niemand ausspionieren kann, da WebShare f�r die Verschl�sselung eine zuf�llige und f�r jede HTTP-Anmeldung eine andere, zuf�llig gew�hlte Zahl benutzt. Jedoch wird der gesamte Inhalt, z. B. Verzeichnislisten, Vorschaudateien sowie Vorg�nge des Hoch- und Herunterladens, bei einer Standardinstallation unverschl�sselt �ber das Internet �bertragen. Beispielsweise k�nnen Internet-Provider oder lokale Benutzer mit Werkzeugen zur �berwachung des Netzwerks Ihre Aktivit�ten auskundschaften. Sie k�nnen eine Totalverschl�sselung �ber HTTPS aufsetzen. Detaillierte Angaben finden Sie in 6.4 "Unterst�tzung f�r HTTPS/SSL".
8.1.11 WebShare WebObjects Server f�r Port 80 konfigurieren
In diesem Kapitel erfahren Sie mehr dar�ber, wie Sie WebShare konfigurieren m�ssen um den Standard HTTP-Port nutzen zu k�nnen und wie Sie WebShare parallel zu dem auf derselben Maschine existierenden Webserver f�r die HTP-Kommunikation auf Port 80 betreiben k�nnen.
Einige Kunden erlauben nur den HTTP-Port 80. Hier w�rde durch die �nderung des WebShare Ports auf 80 eine h�here Kompatibilit�t mit anderen Benutzern, die sich hinter Proxy Servern und Firewalls befinden, erreicht.
First set the WOPort preference and then stop and restart the WebShare WebObjects Server:
# prefvalue -k Programs/websharewoa/WOPort -t int 80# srvutil stop websharewoa# srvutil start websharewoaStandardm��ig akzeptiert WebShare eingehende HTTP-Verbindungen von allen IP-Adressen und Netzwerkkarten �ber Port 2009. Wird die Pr�ferenz WOPort auf Port 80 ge�ndert, kann dies zu Problemen mit dem existierenden Apache Server auf derselben Maschine f�hren. Dieses Problem kann umgangen werden indem man eine zweite IP-Addresse (Alias) f�r dieselbe Netzwerkkarte einrichtet und WebShare so konfiguriert, dass es die zweite IP-Addresse �ber Port 80 benutzt. Die DNS- bzw. Hostkonfiguration muss f�r die zweite IP-Addresse aktualisiert werden, z.�B. indem "webshare.<IhreDomain>.com" auf der zweite IP-Addresse abgebildet wird:
# ifconfig en2 alias 193.141.98.11Im Beispiel handelt es sich um das Alias-Kommando f�r einen IBM AIX 5.x Host, der die Netzwerkkarte "en2" f�r die Zuweisung der zus�tzlichen IP-Adresse verwendet. Die Syntax f�r das Einrichten eines Alias mit "ifconfig" ist auf jeder Serverplattform verschieden. Genaueres sollten Sie in Ihrem "ifconfig" Handbuch finden. Die IP-Adresse muss innerhalb des Netzwerkvereichs bzw. der Klasse liegen.
In einem zweiten Schritt m�ssen Sie WebShare beibringen, nur auf das neue Interface statt auf alle Interfaces zu "h�ren". Dies k�nnen Sie mit der WebShare WebObjects Server Pr�ferenz WOHost tun. Der neue Name muss sich zu der neuen IP-Adresse aufl�sen lassen:
# prefvalue -k Programs/websharewoa/WOHost -t str "webshare.yourdomain.com"# srvutil stop websharewoa# srvutil start websharewoa
© 2008 HELIOS Software GmbH |
![]() |
![]() |
![]() |
![]() |
![]() |