M 5.86 Einsatz von Verschlüsselungsverfahren beim Browser-Zugriff auf Lotus Notes
Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT
Verantwortlich für Umsetzung: Administrator
Um die Kommunikation zwischen Domino Server und Web-Client abzusichern, kann die Notes-eigene Port-Verschlüsselung (siehe M 5.84 Einsatz von Verschlüsselungsverfahren für die Lotus Notes Kommunikation) nicht genutzt werden, da Browser diese Art der Verschlüsselung nicht unterstützen. Mit Secure Socket Layer (SSL) steht jedoch auch für die Web-Schnittstelle ein Verfahren zur Kommunikationsabsicherung zur Verfügung.
Folgendes ist bei der Nutzung der SSL-Verschlüsselung zur Absicherung der Kommunikation zwischen Notes-Server und Browser zu berücksichtigen:
- Damit SSL verwendet werden kann, muss der Domino Server für die Nutzung von SSL konfiguriert werden. Dem Server muss unter anderem ein SSL-Zertifikat ausgestellt werden, mit dem er sich einem Browser gegenüber im Rahmen des SSL-Verbindungsaufbaus authentisiert.
- Auf dem Server muss die Zertifikatsverwaltung ("certsrv.nsf" aus der Vorlage "certsrv.ntf") eingerichtet werden. Mit Hilfe der Zertifikatsverwaltung können die Schlüsseldateien und Zertifikate des Servers verwaltet werden.
- Für die Ausstellung eines Server-SSL-Zertifikates bestehen zwei grundsätzliche Möglichkeiten:
- Durch die Server-Zertifikatsverwaltung wird ein Selbstzertifikat ausgestellt. Diese einfachste Variante hat jedoch den Nachteil, dass dieses Zertifikat in keine Vertrauenshierarchie eingebettet ist.
- Das SSL-Zertifikat wird durch eine Zertifizierungsstelle erstellt. Als Aussteller kann eine eigene Zertifizierungsstelle in der Behörde bzw. im Unternehmen dienen. Beispielsweise kann aus der Notes-Vorlagendatenbank "csrv50.ntf" eine Notes-Zertifizierungsstelle erstellt und realisiert werden. Alternativ kann auf eine externe Zertifizierungsstelle zurückgegriffen werden. Die Aussagekraft der verschiedenen Zertifikate ist sehr unterschiedlich, hierzu sollte man sich bei den Zertifikatstellen informieren.
Wird die Notes-Zertifizierungsstelle nicht genutzt, ist auf die Kompatibilität der Zertifikate zu achten, sowie auf die Möglichkeit des Imports von Zertifikaten.
- Damit das Server-Zertifikat durch den Browser geprüft werden kann, muss das so genannte Root-Zertifikat der Zertifizierungsstelle auch in den Browser importiert werden. Dies erfordert in der Regel Benutzeraktivitäten oder eine automatische Verteilung, z. B. bei der Installation der Browser-Software.
- Soll im Rahmen des SSL-Verbindungsaufbaus auch der Web-Client über ein Zertifikat authentisiert werden (siehe auch M 4.124 Konfiguration der Authentisierungsmechanismen beim Browser-Zugriff auf Lotus Notes), müssen alle Benutzer mit einem entsprechenden Zertifikat ausgestattet werden. Das Zertifikat muss in die Zertifikatsdatenbank des Browsers importiert werden. Auch hier muss der Benutzer unter Umständen selbst aktiv werden, was entsprechendes Know-How voraussetzt. Zusätzlich muss sichergestellt sein, dass mindestens die Version 3 des SSL-Protokolls verwendet wird, da frühere Versionen keine Client-Authentisierung unterstützen.
- Damit nach der Initialisierung der SSL-Verbindung die Kommunikationsabsicherung erfolgen kann, müssen Client und Server über kompatible kryptographische Verfahren verfügen (so genannte Cipher-Suites). Insbesondere ist sicherzustellen, dass im Rahmen des SSL-Verbindungsaufbaus die Option "Keine Verschlüsselung" nicht erlaubt ist.
- Sowohl im Web-Server als auch im Browser kann die Auswahl der kryptographischen Verfahren (und deren Schlüssellänge) eingeschränkt werden. Solche Einschränkungen sollten nicht zugelassen werden. Grundsätzlich sollten nur Browser eingesetzt werden, die starke kryptographische Algorithmen verarbeiten können.
Ergänzende Kontrollfragen:
- Sind die Administratoren in der Nutzung der SSL-Verschlüsselung und im Aufbau von Zertifizierungshierarchien geschult?
- Wissen die Benutzer, was bei der Nutzung von SSL zu beachten ist?