Habe gerade mal wieder ein wenig mit Google nach offenen, schlecht konfigurierten Domino-Servern gesucht...
Schaut es Euch selbst an:
Suche nach CATALOG.NSF, da sollte man mal die Ansichten nach ACL ansehen und nach -Default- suchen...
Suche nach LOG.NSF
Erschreckend, kann ich nur sagen....
Hi,
ichfinde es gut wenn Ihr auf solche Probleme hinweist, jedoch das zu Schau stellen von den Ergebnissen verurteile ich.
Was ist wenn jetzt aufgrund dieses Beitrag etwas passiert? Jemand diese Infos nutzt um Schaden anzurichten?
"Ja das habe ich im Dominoforum gelesen und wollte mal testen was ich damit alles machen kann".
Ist es das was Ihr damit erreichen wollt?
Ein Hinweis auf diese Problem hätte auch gereicht.
Gruß
Markus
böser bastian böser...
aber mal spaß bei seite...wenn jemand wirklich schaden anrichten will, dann tut er das bestimmt nicht erst wenn er diesen artikel gelesen hat...
und zum glück hab ich keinen server im internet *schwitz*
Sehr interessant und erschreckend zugleich! Der Tip mit dem allinurl: kannte ich übrigens noch nicht, sehr hilfreich bei anderen Dingen - Danke.
Ein "zur Schau stellen" finde ich das nicht, es wird ja ganz allgemein nach *.nsf Datenbanken gesucht. Das kann ja jeder, wenn er eben diesen Trick mit allinurl: kennt. Wie gesagt, vielleicht sind auf diesen Thread hin ja einige sensibilisiert worden. Wenn jemand Schaden verursachen will, dann tut er dies auch ohne diesen Hinweis. Ansonsten: Die Leute die in der heutigen Zeit noch offen ihre Domino Server im Web stehen haben, sind dann eh selbst schuld.
Salut,
interessanter Beitrag.
ZitatDie Leute die in der heutigen Zeit noch offen ihre Domino Server im Web stehen haben, sind dann eh selbst schuld.
Was meint Ihr hier mit "offen" genau? Den Domino direkt ins Internet zu stellen?
Bei uns steht der Domino in der DMZ und der interne (Apache)-Webserver läuft auf selbigen damit mit inotes von extern auf die Mails zugreifen kann. D.h., dass unsere Firewall POP, SMTP und SSL nur über den Domino verwaltet.
Grüße, e2e4
Es geht um die Grundkonfiguration des Domino_Servers.
- Wird der anonyme Zuriff auf Datenbanken auf wichtige Systemdatenbanken wie NAMES.NSF, CATALOG.NSF,...) erlaubt ?
- Wie authorisieren sich die Benutzer (Kennwort, Zertifikat)
- Wird die Internetverbindung per SSL verschlüsselt
- Unterbindet der SMTP-Server offenes Mail-Relaying
- ....
Diese Liste könnte man noch länger machen, aber ich denke, das zeigt die wesentlichen Probleme schon mal an. Der DOmino-Server ist - in der Grundkonfiguration - offen wie ein Scheunentor. Unter R5 ist das besonders heftig, in ND6 ist das schon besser geworden.
Anbei ein paar hilfreiche Informationen, für alle, die ihre Server "nackig" ohne FW im Internet stehn haben 
Dort auf Publikationen - Sicherheit von Domino R5 im Web (direkte Linkangabe funzt nicht)
Gibt natürlich noch weitere Security Seiten bezüglich Domino Server im Web.
Irgendwo gabs auch mal ein Domino Security Checker, der auf einem Webserver alle Schablonen und Datenbanken etc. auf "Lücken" bzw. Fehleinstellungen in der ACL untersucht etc.
