10 Sicherheit

10.1 Sicherheitsüberlegungen

10.1.1 WebShare Webserver

Die Dateisicherheit bei der Verwendung von WebShare wird durch den zweistufigen Serveraufbau gewährleistet. Der WebShare Webserver stellt das Benutzerinterface auf einem separaten Server zur Verfügung und gewährleistet so, dass auf den WebShare File Server nicht direkt vom Internet aus zugegriffen werden kann. Zusätzlich unterstützt WebShare auch die SSL-Datenverschlüsselung.

Port

Eingehender HTTP-Port ist 2009.

JavaScript

Während des Anmeldevorgangs wird das Kennwort in verschlüsselter Form (RSA) übertragen. Dafür muss aber im Browser JavaScript aktiviert sein. Ist das der Fall, zeigt der Browser Crypted RSA 1024 bit neben dem Feld Kennwort an (Abb. 6.2). Ist JavaScript nicht aktiv, steht dort Cleartext und das Kennwort wird unverschlüsselt zum WebShare Server gesendet.

Hinweis:: Mit der Option RSA-Verschlüsselung für Kennwort erzwingen in den „Servereinstellungen“ (siehe Abb. 4.3 in Abschnitt 4.1 „Servereinstellungen“) wird eine verschlüsselte Benutzeranmeldung erzwungen.

10.1.2 WebShare File Server

Die Dateisystem-Sicherheit auf dem Server wird gemäß der Benutzer-Zugriffsrechte erzwungen. Darüber hinaus lassen sich über die Sicherheitseinstellungen des Sharepoints weitere Zugriffsbeschränkungen je Benutzer einrichten. Dies betrifft die Aktionen Blättern, Voransicht, Hoch- und Herunterladen von Daten sowie Dateiverwaltung.

Port

Port 2010-2015

10.1.3 Serverkonfiguration

Wir raten Ihnen dringend, einen zweistufigen Serveraufbau zu verwenden, bei dem der WebShare Webserver mit zwei Netzwerkkarten auf einem eigenen Server installiert ist. Diese Anordnung ist in Kapitel 3.1 „Verschiedene Serveraufbauten“ dargestellt. Der Vorteil dieses Aufbaus ist:

Es gibt nur einen HTTP-Port (Vorgabewert: 2009), der vom Internet aus erreichbar ist
Das HTTP-Datenaufkommen wird auf einem eigenen Server abgewickelt (HTTP-Angriffe legen den File Server nicht lahm)
Der auf einem eigenen Host installierte WebShare Webserver speichert keinerlei Daten (falls es unberechtigten Personen gelingen sollte sich am Server anzumelden, würden diese keine Daten finden)
Ein autarker Server mit nur einem TCP/IP-Port ist einfacher abzusichern
Aktualisierungen des Betriebssystems werden auf einem autarken Server vereinfacht

10.1.4 Firewalls

Wir raten Ihnen dringend, alle TCP/IP-Ports des WebShare Webservers bis auf Port 2009 (WebShare HTTP- Vorgabewert) zu deaktivieren. Dies kann durch eine Hardware-Firewall auf einem Internet-Router realisiert werden, oder über eine Software-Firewall auf dem WebShare Webserver.

10.1.5 Zugriff vom WebShare Webserver auf den WebShare File Server

Die WebShare Webserver Präferenz WSAllowedHostNames (Kapitel 7.6 „Präferenzen“) gestattet es, den Zugriff vom WebShare Webserver auf vorhandene WebShare File Server zu begrenzen. Wir raten Ihnen, die Hosts anzugeben, die der WebShare Webserver erlaubt. Damit verhindern Sie, dass unberechtigte Personen das HTTP-Datenaufkommen über Ihren WebShare Webserver auf deren WebShare File Server umleiten. Obwohl dies noch kein Sicherheitsrisiko darstellt, gibt es keinen Grund, anderen Personen den Zugriff auf Ihren WebShare Webserver zu gestatten.

10.1.6 Symbolische Links innerhalb von Sharepoints

Aus Sicherheitsgründen zeigt WebShare standardmäßig keine symbolischen Links an. Dessen ungeachtet kann es vorkommen, dass ein Verzeichnis einen symbolischen Link beinhaltet, der auf Dateien außerhalb des Sharepoints zeigt. Wird nun dieses Verzeichnis vom Benutzer dupliziert, so werden alle Referenzen zu symbolischen Links aufgelöst und in das duplizierte Verzeichnis kopiert. Die Dateien sind dann keine symbolischen Links mehr, so dass auf sie zugegriffen werden kann.

10.1.7 Aktionsskripte

Mit WebShare können sie benutzerdefinierte Skripte, die im Verzeichnis „var/settings/WebShare/Actions“ gespeichert sind, ausführen. Die vier Beispiel-Aktionsskripte wurden alle in Perl geschrieben. Zwar sind in „shell“ oder anderen Programmen geschriebene Skripte auch zulässig, jedoch wird aus Gründen der Plattform übergreifenden Kompatibilität, und um Probleme mit Sonderzeichen in Dateinamen und Argumenten zu vermeiden, Perl empfohlen. Beachten Sie bitte, dass Aktionsskripte, die unter der ID eines Host-Benutzers laufen (oder mit gleichwertigen Rechten ausgestattet sind), auf Daten außerhalb des Sharepoints zugreifen können. Aus Sicherheitsgründen möchten Sie vielleicht die Verfügbarkeit von Aktionsskripten auf individuelle Benutzer beschränken, indem Sie die Zugriffsrechte für Aktionsskripte (z. B. Zugriff nur für den Benutzer, Zugriff nur für die Gruppe) eingrenzen. Dies lässt sich über die Dateirechte regeln (UNIX „chmod“ oder Windows ACLs zum Setzen von z. B. Zugriff nur für den Benutzer, Zugriff nur für die Gruppe). Aktionsskripte, die Host-Programme aufrufen (über das System, eine Weiterleitung („open pipe“), shell usw.), können eine Gefahr darstellen, wenn die Dateinamen Sonderzeichen (beispielsweise < oder > oder `) enthalten. Ziehen Sie einen Betriebssystem- oder Perl-Spezialisten zur Überprüfung von benutzerspezifischen Skripten heran.

10.1.8 Lese- oder Lese-/Schreibberechtigung in Sharepoints für alle Benutzer

Die optionalen Präferenzen zum Übergehen von Host-Zugriffsrechten, AllRead und AllReadWrite, sollten Sie nicht setzen ohne sich darüber im Klaren zu sein, dass der Dateizugriff dann nicht mehr durch das Betriebssystem des Hosts kontrolliert wird. Standardmäßig sind diese beiden Präferenzen abgeschaltet und können nur über eine spezielle WebShare File Server Präferenz aktiviert werden.

10.1.9 Skripte „wsaddshare“ und „wslogin“

Das optionale Skript „wsaddshare“ erlaubt es, die Administration des Sharepoints auf ein paar spezielle Pfadnamen zu begrenzen (z. B. nur „/data“ und „/webshare“ sind erlaubt). Stellen Sie in „wsaddshare“ eine Liste aller erlaubten Pfadnamen auf um sicherzustellen, dass der WebShare Administrator nicht den gesamten Server öffentlich machen kann.

Das Skript „wslogin“ erlaubt eine zusätzliche Überprüfung von Benutzeranmeldungen. Beispielsweise kann so die Adresse der Anfrage verifiziert oder die Anmeldung am WebShare Server auf bestimmte Stunden oder Tage begrenzt werden.

10.1.10 Keine Sicherheit für Dokumenteninhalt

Standardmäßig verwendet WebShare verschlüsselte Kennwörter, die niemand ausspionieren kann, da WebShare für die Verschlüsselung eine zufällige und für jede HTTP-Anmeldung eine andere, zufällig gewählte Zahl benutzt. Jedoch wird der gesamte Inhalt, z. B. Dateibrowser, Vorschaudateien sowie Vorgänge des Hoch- und Herunterladens, bei einer Standardinstallation unverschlüsselt über das Internet übertragen. Beispielsweise können Internetprovider oder lokale Benutzer mit Werkzeugen zur Überwachung des Netzwerks Ihre Aktivitäten auskundschaften. Um das zu verhindern, können Sie eine Totalverschlüsselung über HTTPS aufsetzen. Detaillierte Angaben finden Sie in Kapitel 7.4 „Unterstützung für HTTPS/SSL“.

10.1.11 WebShare Webserver für Port 80 konfigurieren

In diesem Abschnitt erfahren Sie mehr darüber, wie Sie WebShare konfigurieren müssen um den Standard HTTP-Port nutzen zu können und wie Sie WebShare parallel zu dem auf derselben Maschine existierenden Webserver für die HTTP-Kommunikation auf Port 80 betreiben können.

Einige Kunden erlauben nur den HTTP-Port 80. Hier würde durch die Änderung des WebShare Ports auf 80 eine höhere Kompatibilität mit anderen Benutzern, die sich hinter Proxy-Servern und Firewalls befinden, erreicht.

Standardmäßig akzeptiert WebShare eingehende HTTP-Verbindungen von allen IP-Adressen und Netzwerkkarten über Port 2009. Wird die Präferenz WOPort auf Port 80 geändert, kann dies zu Problemen mit dem existierenden Webserver (z. B. Apache) auf derselben Maschine führen. Dieses Problem kann umgangen werden indem man eine zweite IP-Addresse (Alias) für dieselbe Netzwerkkarte einrichtet und WebShare so konfiguriert, dass es die zweite IP-Addresse über Port 80 benutzt. Die DNS- bzw. Hostkonfiguration muss für die zweite IP-Addresse aktualisiert werden, z. B. indem „webshare.<ihredomain>.com“ auf der zweite IP-Addresse abgebildet wird:

# ifconfig eth0:0 192.168.1.6 up

Im Beispiel handelt es sich um das Kommando für einen Linux-Host, der die Netzwerkkarte „eth0“ für die Zuweisung der zusätzlichen IP-Adresse verwendet. Der Befehl oder die Syntax kann von Plattform zu Plattform variieren, lesen Sie also bitte die entsprechende Dokumentation zu „ifconfig“ und „ip“. Die IP-Adresse muss innerhalb des Netzwerkbereichs bzw. der Klasse liegen.

Zuerst müssen Sie WebShare beibringen, nur auf das neue Interface statt auf alle Interfaces zu „hören“.

Setzen Sie die WebShare Webserver Präferenz WOHost. Der neue Name muss sich zu der neuen IP-Adresse auflösen lassen:

# prefvalue -k Programs/websharewoa/WOHost -t str
  "webshare.meinedomain.com"

Setzen Sie dann die Präferenz WOPort, stoppen Sie dann den WebShare Webserver und starten Sie ihn dann erneut:

# prefvalue -k Programs/websharewoa/WOPort -t int 80

# srvutil stop websharewoa 
# srvutil start websharewoa

HELIOS Handbücher 29. September 2020