Problem/Sicherheit: Homepage mit Überprüfung der notesid

[Martin7]

Hallo Forum-Mitglieder,

ich soll eine Website mit sensiblen Daten erstellen. Der wichtigste Punkt hierbei ist die Sicherheit. Es soll gewährleistet werden, dass auch wirklich nur die auf die Seite kommen, die auch nur wirklich bei uns arbeiten.

Meine Idee wäre folgende:

- Unser Lotus Notes besitzt eine eigene Startseite mit Menüführung. Auf dieser Startseite wollte ich einen Link setzen, der die Seite öffnet. Hierbei ist ja schon gewährleistet, dass ja die Leute nur auf die Seite kommen, die Zugriff zum Lotus Notes besitzen. Aber da ja dann die URL im Browser beim Öffnen angezeigt wird, könnte man die ja später kopieren und jemanden schicken und er könnte sich die auch anschauen.

Ist es irgendwie möglich, dass die Seite erst überprüfen kann,ob es eine NotesID gibt und die gültig ist mit User und vielleicht auch noch Passwort (Ohne das Internetpasswort zu pflegen?)?

Klappt dass dann auch nur, wenn ich dann die Seite auf den Notes-Server packe und mit Notes erstelle? Oder ist es auch möglich dann auf einen anderen Server mit apache und php zu verweisen?

Es klingt vielleicht alles ein bißchen kompliziert aber vielleicht stand ja jemand auch schon mal vor dem Problem und könnte mir da weiterhelfen.

Vielen Dank im Voraus.

[m3]

Das "Notespasswort" wird im ID-File gespeichert, das kannst vergessen. Du kannst auch nicht das Notes-ID-file für die Anmeldung an einem Webserver verwenden.

Für eine "sichere" Anmeldung an einen Webserver würde ich mit SSL-client-Zertifikate vergeben. Diese sind deutlich sicherer, als eine reine Username/Passwort Authentifizierung. Willst Du ganz sicher gehen, kannst auch noch eine 2-Weg-Authentifizieerung mit Einmal-Passwörtern (RSA-Key, ...) einrichten.

SSL-Verschlüsselung der Kommunikation ist ja wohl selbstverständlich.

Um die "Pflege" des Internet-Passwortes wirst Du (außer im Falle des SSL-Client-Zertifikats) nicht herum kommen.

Wenn Du die ACL der Notes-Datenbank "richtig" eingestellt hast, können die Leute den Link herumschicken, wie sie wollen, sie kommen trotzdem nicht rein. Sich darauf zu verlassen, dass eine vorgelagerte Datenbank die Authentifizeirung übernimmt und nur angemeldete User auf die "sensiblen Daten" kommen, halte ich für kein vernünftiges Sicherheitskonzept.

Was willst Du mit Apache und PHP? Wir sprechen hier doch von einer Notes-Datenbank, in welcher die "sensiblen Daten" liegen, oder?

Irgendwie hab ich den Eindruck, dass Du von Notes/Domino und den integrierten Sucherheitsfeatures wenig Ahnung hast, oder? Wenn Du ein wenig suchst, wirst Du wunderbare Redbooks und Artikel auf notes.net zum Thema "sichere Webanwendungen" finden.

P.S.: ES GIBT KEINE "INTERNETSEITEN" !!!!!! 

[Martin7]

Hi m3.

Vielen Dank für Deine Antwort. Ich glaube ich habe mich einfach falsch ausgedrückt.

Aufgabenstellung: Es soll eine Homepage erstellt werden mit verschiedensten  Sachen (Bildern, Text etc.). Diese Seite wollte ich schön mit php erstellen.

Alles schön und gut. Hier sind soweit keine Probleme.

Nun sagt mein Chef, dass die Page "sicher" sein soll. Ich habe vorgeschlagen ein Username und Passwort zu vergeben. Die Antwort lautete in etwa "Die User vergessen 100% das Passwort etc., dass können wir denen nicht zumuten.... Kann man das nicht irgendwie über die NotesID abwickeln?"

Und da war halt meine Frage, ob das irgendwie ginge. Die einfachste Möglichkeit wäre ja mir eine DB zu erstellen, die webbasiert läuft, dann kann man aber von anderen PCs die Seite auch aufrufen. Dieses wollte ich eigentlich durch die Abfrage der notesid unterbinden?

Ich hoffe, dass es so ein bissl verständliche rübergekommen ist.

[m3]

OK. Besser. 

1) Grundsatzentscheidung Notes oder PHP
Beides ist -- aus der Websicht -- gleich "sicher" da auch Notes nur die Mechanismen verwenden kann, die für andere Weblösungen gelten. Für die Entscheidung Notes oder PHP ist dies also kein Argument.
Die Entscheidung Notes oder PHP muss also auf einer technischen Ebene getroffen werden.

2) "Einfache" aber "sichere" Anmeldung
Wenn Dein Chef keine Username/Passwort Anmeldung will, braucht er entweder Smartcards, Tokens oder andere Hilfsmittel. IMHO wird er dafür aber nicht das Budget locker machen.
Nochmals: Die Notes-ID kann NICHT zur Authentifizierung im Web hernagezogen werden, dafür braucht man SSL-Client-Zertifikate, die mit dem Notes-ID-File NICHTS zu tun haben.

3)

Die einfachste Möglichkeit wäre ja mir eine DB zu erstellen, die webbasiert läuft, dann kann man aber von anderen PCs die Seite auch aufrufen. Dieses wollte ich eigentlich durch die Abfrage der notesid unterbinden?

WTF? Was soll diese Aussage? Sinn und Zweck einer Website ist es doch, von unterschiedlichen Rechnern aus aufrufbar zu sein, oder? Und wenn Du nur bestimmten Personen ZUgriff gewähren willst, dann musst Du halt entweder im Notes die ACL korrekt setzten oder unter Apache eine entsprechende .htaccess-Datei erstellen oder in PHP entsprechenden Authentifizerungscode schreiben.
Und nochmals zur Notes-ID: Siehe (2) !!!

[Martin7]

Danke m3 für Deine Bemühungen.

Die Homepage soll für unseren Aussendienst erstellt werden. Und jeder der ADler hat von uns einen Laptop. Von diesem soll er halt nur auf die Seite kommen.

Mit php hab ich halt mehr Möglichkeiten also designtechnisch. im notes hat man das ja leider nicht?

so wie ich das jetzt sehe, wäre die einfachste möglichkeit eine DB mit masken zu erstellen, worauf sich die informationen befinden. so brauchen sie kein extra kennwort und es ist relativ "sicher". leiderist es die lösung die ich nicht nehmen wollte.

[Tode]

jetzt muss ich mich mal einschalten....

1. Mit Notes- Datenbanken / Masken hast Du im Web fast die selben Möglichkeiten wie im Notes selbst, also an Designerischen Freiheiten sollte es Dir da wirklich nicht fehlen.

2. Man kann das Notes- Kennwort über Policies mit dem Web- Kennwort synchronisieren. Dann muss sich kein User ein "weiteres" Passwort merken, er meldet sich im Web einfach mit dem selben Passwort an wie in Notes.

3. Wenn Du keine Notes- Lösung willst, dann bist Du in diesem Forum falsch. Die Antwort auf die eigentliche Notes- Frage (kann man sich mit dem Notes- kennwort bei PHP authentifizieren) wurde mehrfach beantwortet, und wie man eine sichere PHP- Web- Site baut, dafür musst Du Dich an ein anderes Forum wenden....

Gruß
Tode

[m3]

Danke m3 für Deine Bemühungen.

Die Homepage soll für unseren Aussendienst erstellt werden. Und jeder der ADler hat von uns einen Laptop. Von diesem soll er halt nur auf die Seite kommen.

Und warum nicht einfach eine Notes-DB, die sich die ADler auf den Laptop replizieren? Dann brauchen sie nicht online sein, wenn sie die Daten benötigen und sicherer wäre es auch.

Hmm. eigentlich sollte ich langsam meinen Stundenzähler anwerfen ...

Mit php hab ich halt mehr Möglichkeiten also designtechnisch. im notes hat man das ja leider nicht?

LOL, das meinst jetzt aber nicht ernst, oder? Ich kann HTML in Notes-DBs fürs Web genauso verwenden wie CSS, Javascript und alles andere. Wo bin ich da "eingeschränkt? Abgesehen davon, dass ich in Notes bereits eine Infrastruktur habe, dich ich mir unter PHP erst mühsam zusammenkratzen muss. Von der quasi nicht vorhandenen Qualität der verfügbaren Zusatzmodule mal ganz abgesehen.

so wie ich das jetzt sehe, wäre die einfachste möglichkeit eine DB mit masken zu erstellen, worauf sich die informationen befinden. so brauchen sie kein extra kennwort und es ist relativ "sicher". leiderist es die lösung die ich nicht nehmen wollte.

Und warum nicht? Weil Du Dich in PHP besser auskennst als in Notes? Brrrrrrrrrrrrrrrrrrr.

Und weils grad so schön passt: Wenn man als Werkzeug nur einen Hammer hat, sieht jedes Problem
plötzlich wie ein Nagel aus.

[Martin7]

Guten Morgen,

erstmal vielen Dank für die eindeutigen Antworten. Bin jetzt doch schon um einiges schlauer. Mir ist da nun eine andere Idee gekommen. Ich weiß nicht, ob man das so machen kann. Dazu eine letzte Frage

- Ich erstelle eine DB mit einer Seite, die sich im LN öffnet. Ich erstelle mehrere andere Seiten in der DB die dann für den Browser bestimmt sind. Auf die Seite, die sich dann im LN öffnet erstelle ich einen Link zu den Seiten, die sich dann im Internet Explorer öffnen, aber in der gleichen DB sind.

Die Frage ist nun, ob er dann trotzdem nach dem Username und Passwort dann fragt, wenn man dann die Seite(Homepage) über die Seite im LN aufruft, oder ob er sich das aus der ACL der Seite merkt, weil es ja die gleiche DB ist. Wenn nicht wäre ja mein Problem fast gelöst, weil wenn man nun die URL kopiert und bei jemand anders eingibt verlangt er dann ja nach dem Internetpasswort, welches nicht gesetzt ist. Also kann so dann auch keiner zugreifen.

Es ist nur eine Idee. Bitte nicht wieder so hart zu mir sein.

[diali]

also wenn du Web-Links einbaust, dann öffnet der Notes-Client auch nur den Browser und der fragt das Kennwort ab. Du musst sicher stellen, dass beim Arbeiten mit dem Notes-Client Notes nicht verlassen wird.

[Tode]

was genau hast Du an dem Satz

"Nochmals: Die Notes-ID kann NICHT zur Authentifizierung im Web hernagezogen werden, dafür braucht man SSL-Client-Zertifikate, die mit dem Notes-ID-File NICHTS zu tun haben."

nicht verstanden !?

Es ist doch vollkommen Wurscht, wie Du eine Websíte aufrufst, sie bleibt immer eine Website....

Tode

[m3]

Warum pochst Du so auf den Browser? Sind die Aussendienstler bei Euch "allways on"?
Man kann auch im Notes-Client verlinken (Doclinks).

[umi]

Du könntest ja das ganze auf einem tieferen Layer absichern :-)

z.B. mit RSA Cleartrust oder VPN verbindungen auf deinen Webserver

Warum wollt Ihr eigentlich das Internetpasswort nicht pflegen?

Da wollt Ihr Sicherheit, aber nichts dafür tun ?