M 4.122 Konfiguration für den Browser-Zugriff auf Lotus Notes
Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT
Verantwortlich für Umsetzung: Administrator
Soll auf einen Lotus Domino Server mittels Browser zugegriffen werden, so muss auch bei dieser Zugriffsart angemessene Sicherheit gewährleistet werden.
Zur Absicherung des Browser-basierten Zugriffs sollten folgende Empfehlungen umgesetzt werden, die Server, Client und deren Kommunikationsmechanismen betreffen:
- Jeder Zugriff, der eine Authentisierung benötigt, sollte mit SSL geschützt werden (siehe M 4.124 Konfiguration der Authentisierungsmechanismen beim Browser-Zugriff auf Lotus Notes).
- Es müssen Browser eingesetzt werden, die das SSL-Protokoll beherrschen (siehe M 4.127 Sichere Browser-Konfiguration für den Zugriff auf Lotus Notes). Der Browser sollte starke Verschlüsselung unterstützen, also Verfahren mit mindestens 80 Bit Schlüssellänge.
- Der Domino Server muss für den SSL-geschützten Web-Zugriff konfiguriert werden (siehe M 4.123 Einrichten des SSL-geschützten Browser-Zugriffs auf Lotus Notes). Um starke Verschlüsselung zu gewährleisten, sollte mindestens die Version 5.0.4 des Domino Servers zum Einsatz kommen.
- Auch auf Datenbankebene sollten Zugriffsbeschränkungen eingerichtet werden (siehe M 4.125 Einrichten von Zugriffsbeschränkungen beim Browser-Zugriff auf Lotus Notes Datenbanken).
Wird der Web-Zugriff auf ein Notes-System geplant, so sind außerdem noch folgenden sicherheitsrelevanten Aspekte zu berücksichtigen:
- Das Notes-ID-Passwort darf nicht mit dem Internet-Passwort übereinstimmen.
Für die Authentisierung an der Web-Schnittstelle kann u. a. der Mechanismus "Benutzername und Passwort" eingesetzt werden. Dabei kann das so genannte Internet-Passwort für jeden Benutzer frei festgelegt werden. Dies geschieht meist schon beim Anlegen neuer Benutzer. Es muss dabei jedoch darauf geachtet werden, dass hier nicht von der Option Gebrauch gemacht wird, das Internet-Passwort auf den Wert des Notes-ID-Passwortes zu setzen. Dies hat im wesentlichen zwei Gründe: einmal besteht die Möglichkeit, dass das Internet-Passwort auch im Klartext zwischen Client und Server übertragen wird, sodass es leicht kompromittiert werden kann. Weiterhin wird der Passwort-Hash im Personendokument eines Benutzers im Namens- und Adressbuch gespeichert. Je nach Konfiguration kann dieser Wert auch von anderen Personen eingesehen werden, sodass eine Wörterbuchattacke auf den Hash-Wert durchgeführt werden könnte. In beiden Fällen kann nach Kenntnis des Internet-Passwortes auch auf eine Notes-ID-Datei zugegriffen werden, wenn hier das gleiche Passwort gewählt wurde (siehe auch M 4.124 Konfiguration der Authentisierungsmechanismen beim Browser-Zugriff auf Lotus Notes). - Die gewünschte "Zugriffsart" für Benutzer auf das Namens- und Adressbuch muss eingerichtet werden.
Der Zugriff für Benutzer auf das Namens- und Adressbuch kann "lesend" und "schreibend" eingerichtet werden. Bei schreibendem Zugriff können Benutzer nur ihr eigenes Personendokument verändern. Dadurch ist insbesondere das Verändern des Internet-Passwortes durch den Benutzer möglich, was u. U. die Administration vereinfacht. Nachteilig ist jedoch, dass damit keine Kontrolle über das Internet-Passwort, z. B. in Bezug auf Qualität und Länge, besteht und der Benutzer auch andere Einträge seines Personendokumentes editieren kann. Die "lesende" Konfiguration verhindert dies, erfordert jedoch das Eingreifen eines Administrators, wenn ein Benutzer sein Internet-Passwort verändern will. Der Benutzerzugriff auf das Namens- und Adressbuch kann auch ganz unterbunden werden. Dies hat den Vorteil, dass der Hash-Wert des Internet-Passwortes vor Kenntnisnahme durch Dritte geschützt ist. Dies verhindert jedoch auch, dass das Namens- und Adressbuch für die Adressierung, z. B. von E-Mails, zur Verfügung steht (siehe auch M 4.120 Konfiguration von Zugriffslisten auf Lotus Notes Datenbanken und M 4.121 Konfiguration der Zugriffsrechte auf das Namens- und Adressbuch von Lotus Notes).
Ergänzende Kontrollfragen:
- Sind alle Browser-Zugriffe auf Lotus Notes SSL-gesichert?
- Wurde festgelegt, welche Zugriffsart für den Browser-Zugriff auf Lotus Notes eingerichtet wird?