iNotes - Sicherheitsbedenken

    Hallo Leute,


    ich überlege auf meinem (Mail + Applikations) Domino Server den HTTP-Task zu starten und den Port 80 über die Firewall freizugeben um von außen über iNotes auf die User-Mailboxen zugreifen zu können.
    Für wie sicher/unsicher haltet ihr das ?
    Die Applikationsdatenbanken sind an sich nicht Web-enabled, kann ich den Zugriff über's Web auf bestimmte Datenbanken generell sperren ?
    Hat man schon gehört, dass von Hackern an einem Notes-Server rumgefummelt worden ist?
    Oder ist es doch empfehlenswerter, einen eigenen Notes-Server in der DMZ aufzustellen, auf dem nur die benötigten Usermailboxen repliziert sind ?


    Danke für Eure Tipps,


    Günther

    Hi,


    in den Zugriffskontrollliste kanst Du den max. Internetzugriff auf DBs separat regeln.
    Die Sicherheit erhöst Du, wenn Du nur SSL Zugriff zuläßt, also 443 statt 80 und den Server entsprechend konfigurierst. Falls die Möglichkeit besteht, einen separaten Server in die DMz zu stellen, dann mach das. So kannst Du nur die wirklich benötigten DBs dorthin replizieren.
    Ansonsten gilt das, was bei allen öffentlichen Servern gilt: alle ACLs checken, die webadmin deaktivieren etc.


    Zu Schwachstellen im Domino befrage doch einfach SecurityFocus.
    Im Vergleich mit anderen Webservern ist die Gefahr aber relativ überschaubar.

    Für jedes Problem gibt es eine einfache Lösung, die es noch schlimmer macht.

    Zunächst einmal bedingt das, dass die ACLs absolut sauber sind. Dann bedingt das, dass die Maschine akurat aufgebaut ist. Eine Windows-Kiste würde ich dafür sicher nicht nehmen.


    Den Server in eine DMZ zu stellen, ist sicher keine falsche Idee. Allerdings würde ich dir vom Port 80 abraten. Wenn schon einen Standardport, dann 443 (SSL). Allerdings würde ich eher einen anderen Port nehmen, einen größer als 1024. Ist zwar nicht standardkonform, aber man stößt einen Postscanner nicht grad mit dem Kopf drauf, dass da was ist...

    Life is not a journey to the grave with the intention of arriving safely in a pretty and well-preserved body, but rather to skid in broadside, thoroughly used up, totally worn out, and loudly proclaiming "Wow, what a ride!!! :evil:
    Beschleunigung ist, wenn die Tränen der Ergriffenheit waagrecht zum Ohr hin abfliessen - Walter Röhrl

    Ich persönlich würd's aus sicherheitsgründen keinen Port nach aussen direkt freigeben, zumindest wenn auf dem Server auch Produktivdaten liegen, wozu ich MailDBs auch zähle.


    Der Domino ist sicherlich deutlich unanfälliger und auch weniger ein Ziel von Hackern, ich würds aber aus Prinzip nicht machen. Es gibt ja heutzutage auch elegantere Methoden z.B. SSL-VPN etc, hier sehe ich eigentlich den moderneren, besseren und sicheren, allerdings sicherlich auch aufwendigeren Ansatz...

    Also, ich sehe das nicht ganz so kritisch wie meine Vorgänger...


    Ich betreibe meinen Domino Server (Windows-basiert) seit >2 Jahren im Internet und hatte nie irgendwelche Sicherheitsprobleme.


    Allerdings gibts da ein bisserl was zu beachten, ich werfe hier einfach mal die Stichworte in den Raum:


    - CLient-Zertifkate mit Kennwort zur Authentifizierung nutzen
    - SSL unbedingt nutzen (bereits bei der Authentifizierung, nicht erst bei der Datenbank!!)
    - SSL aus Voraussetzungen zum Öffnen einer Datenbank machen
    - alle nicht im Internet benötigten Datenbanken vom HTTP-Zugriff ausschließen.
    - Öffnen von *.NTF (bzw. alle anderen sensioblen Datenbanken) per Substiution verhindern
    - WEBADMIN.NSF umbenennen
    - File protections erstellen
    - ID-Dateien (Server.ID) außerhalb des Domino Programm- bzw. Datenverzeichnis ablegen.
    - SPI-Firewall vorschalten, nur unbedingt benötigte Ports öffnen (80,443,25)
    - Advanced DOMLOG (siehe OpenNTF) nutzen und regelmäßig ansehen
    - SMTP-Relaying unterbinden (!!)
    - Datenbestand minimieren (alle Schablonen und nciht zwingend benötigten Datenbanken vom Server nehmen)
    - Serverversionsnummer aus Fehlermeldungen und SMTP-Mails entfernen (ggf. eigene Fehlemeldungen bauen)
    - Strikeout-DSAPI (o.ä.) nutzen, um die maximale Anzahl der Kennwortversuche zu begrenzen (gibts in der LDD Sandbox)
    - Viren- und Spamfilter einrichten



    Die o.a. Einstellungen haben zumindest bei mir bisher vor jedem Angriff

    Eigentlich recht einfach:


    Wenn du es global für jeden Zugriff willst einfach im Serverdokument HTTP deaktivieren und HTTPS aktiv lassen. Dann geht der Zugriff nur noch über SSL.
    Willst du es für einzelne Datenbanken dann in den Datenbankeigenschaften einstellen, daß die DB nur mit SSL benutzt werden darf.


    Vorrraussetzung ist natürlich ein korrekt konfigurierter SSL Zugriff.

    Hi,


    wie taurec schon sagte, benötigst Du erst einmal ein SSL-Zertifikat. Du kannst Dir mit Notes-Boardmitteln ein eigenes ("Bummi") Zertifikat erstellen, was zum testen allemal reicht, bzw. Dir ein offizielles kaufen.


    Ich unterstelle jetzt einmal, das Du mit WebSites arbeitest.


    Dann trage in dem entsprechenden WebSite Dokument unter Sicherheit das SSL-Zertifikat ein und aktiviere "TCP zu SSL umleiten". Das war's eigentlich schon ...

    Für jedes Problem gibt es eine einfache Lösung, die es noch schlimmer macht.