SSLv3 (CVE-2104 bis 3566), Domino ist nicht sicher ?

[datenbanken24]

Mal ehrlich.
Findet ihr, dass das Trolling ist ?

"Als Troll bezeichnet man im Netzjargon eine Person, welche die Kommunikation im Internet fortwährend und auf destruktive Weise dadurch behindert, dass sie Beiträge verfasst, die sich auf die Provokation anderer Gesprächsteilnehmer beschränken und keinen sachbezogenen und konstruktiven Beitrag zur Diskussion enthalten,..."

So sehe ich mich nach 11 Jahren atnotes und 381 Beiträgen eigentlich nicht.

Viele Business-Partner, Kunden und ISPs', so wie auch wir, installieren und konfigurieren sich derzeit nächtelang die Finger wund, um irgendwie aus dieser Nummer rauszukommen, darauf wollte ich mit den Downloadzeiten hinweisen. Um dadurch, die oben beschriebenen und lange bekannten Mißstände von IBM auszubaden, welche für die Maintenance von Notes/Domino jährlich mehrere hundert Millionen Dollar Lizenzgebühren abverlangt.

Ja, ich bin sauer auf IBM.
Wie viele andere auch, deren Businessgrundlage und Firmenkommunikation derzeit massiv bedroht ist.

Ich finde es wichtig - und sachlich richtig - in möglichst vielen Fach-Foren dazu aufzurufen,
gemeinsam und intensiv dem Hersteller IBM mitzuteilen, hier bitte schnell zu reagieren.
Das kann nur von Kunden und Business-Partnern kommen - und die sind hier im atnotes Forum.

Wenn das Trolling ist - gäbe es derzeit sehr viele Trolle in sehr vielen IBM/Domino Foren weltweit...
Und da geht es zum Teil noch viel schärfer ab.

Gruß,
Uwe

[Tode]

Wir sollten diese -off topic- Diskussion (wenn überhaupt) nicht hier in diesem Thread führen.

IBM hat reagiert, und es wird ein Fix kommen. Ob uns dabei die Geschwindigkeit passt, in der das passiert, ist ein völlig anderes Thema...

[Glombi]

Ich sehe hier auch kein trollen und ein bisschen Dampf ablassen darf man auch mal.
Aber nun bitte wieder nur sachdienliche Hinweise zu diesem Thema.

Andreas

[shiraz]

Nur zur Info:

Die Verwundbarkeit lässt sich z.B. über einen kostenfreien aber seriösen Service im Internet überprüfen:
https://www.ssllabs.com/ssltest/analyze.html?d="Ihre Domain"

[m3]

Ist Euch auch aufgefallen, welches Detail (abgesehen vom Liefertermin) bei dem SHA-2 Announcement fehlt?

[datenbanken24]

m3: Nein. Welches ?

Glombi: Danke.

Tode:

Darf ich mal fragen, was Du überhaupt willst, ausser zu trollen? Wenn Dir das IBM Verhalten nicht gefällt, dann beschwer Dich doch dort... Anstatt permanent zu jammern, was alles mit SSL nicht funktioniert bei ibm...
IBM hat reagiert, und es wird ein Fix kommen.

Amen - Gott beschützt euch - und die Welt ist ab sofort wieder in Ordnung.

Diese Einstellung kann ich nicht teilen.

Sicher trägt der Stress, der uns gegenwärtig entgegenschlägt, ein wenig zur Wortwahl bei. Sorry.
Aber "polemisches Jammern" ist das sicher nicht.

Hier ein paar sachliche Zahlen.

Selbstverständlich haben wir uns an IBM gewandt.
SPR 2008, SPR 2009, SPR 2010, ..., SPR 2013

IBM sagte noch vor kurzem dazu offiziell:
"We've not head that our customers want this."

"The 2009 created SPR has already a weight of 3000+ (never seen such value in 15 years), usually above 200 a SPR gets attention."
I'm wondering how much more feedback is required to get this fix implemented?
Steve Pitcher zeigt auf dieses IBM Zitat in dieser Diskussion:
http://www-10.lotus.com/ldd/ndseforum.nsf/xpTopicThread.xsp?documentId=0BBA1D75D92075FC85257D3B006FABB8#020FC4F3619B289B85257D77004CA737

2010 wurde TLS und sha-2 für die nächste Domino Version verbindlich zugesagt.
Auch dieser Link ist im Web - finde ihn aber heute nicht.

Nun haben wir 2014 und Poodle.

Ich schätze, die Zahl an SPR's diesbezüglich hat sich mindestens auf 30.000 verzehnfacht.
Ein "beschwer Dich doch dort"
ist wohl etwas zu einfach formuliert, oder ?

> 10.000 Posts zu diesem Thema lt. google in den letzten 5 Tagen.
Gab es so etwas schon mal bei N/D?

Was wir hier gerade erleben, ist leider nicht das Problem selbst -
es ist die Eskalation eines lang vorhergesehenen und tausendfach gemeldeten Problems.

187 Not-Anrufe diesbezüglich bei uns - nur heute -  
22 not-installierte reverse Proxy server - nur heute -
17 umgeleitete SOAP Schnittstellen zu Kunden ERP's oder Partnerfirmen - nur heute -

"IBM hat reagiert, und es wird ein Fix kommen."
Sag' DAS mal Kunden am Telefon... Vertragskündigung am gleichen Tag. Zu recht.

Sachlich faktisch fest steht auch:

Es gibt ab sofort keine sha-1 SSL Zertifikate mehr von fast keinem Zertifikat-Aussteller.
 --> keinerlei N/D bas. SSL Webseiten mehr, weltweit
Die Browserhersteller kündigen an, sha-1 bzw. SSL-3 fall backs in Kürze nicht mehr zuzulassen.
 --> keinerlei Zugang zu N/D bas. SSL Webseiten mehr, weltweit
 
Läßt man derzeit eine zusätzliche Domain (z.B. neuer Kunde) in ein bestehendes sha-1 Multi-Domain Zertifikat hinzufügen,
bekommt man automatisch ein sha-2 Zertifikat zurück geliefert - obwohl das Zertifikat bisher ein sha-1 Zertifikat war.
Mit dem Ergebnis in N/D, dass das gesamte Zertifikat nicht mehr nutzbar ist.

Das ist nicht irgendein Bug in irgendeiner @-Formel,
das ist ein Existenz - ielles Sicherheitsproblem.

Diskutieren wir zu scharf? Ist das "rumgetröte" ?
Nein. Es dürfte diese Diskussion überhaupt nicht geben:
Using anything less than the maximum available security options is necessarily insecure.
Das sollte das unbedingte Motto eines professionellen Webserver-Herstellers sein.

In den offiziellen IBM Foren wird derzeit von "death knell", "end of domino", "most critical ever", etc diskutiert.
http://www-10.lotus.com/ldd/ndseforum.nsf/xpTopicThread.xsp?documentId=026BD2D47421025985257D7200452B47
http://www-10.lotus.com/ldd/ndseforum.nsf/xpTopicThread.xsp?documentId=0BBA1D75D92075FC85257D3B006FABB8

Dieser Poodle beißt N/D richtig tief in die Wade - und hat möglicherweise die Tollwut.

"könntest Du ja mal Tipps geben, wie man das Problem umgeht..."

Das würde ich gerne - es gibt aber bisher keine - weltweit.
IBM HTTP Server (IHS) (32bit, win only, HTTP only) ist keine Lösung.
Die kann diesmal einzig und allein von IBM kommen.
Dem galt und gilt mein dringender Aufruf von oben.  
Ich bin kein Troll. Mit der Bitte um Verständnis.  

Gruß,
Uwe

[WildVirus]

Guten Morgen Uwe,

ja, die IBM hat sich hier wirklich blamiert. Aber dennoch bist Du mit Deinem Verhalten hier fehl am Platz.

... Denn darum geht es hier: anderen mit Ihren Fragen und Problemen zu helfen, und nicht auf IBM einzuschlagen... Atnotes ist nicht IBM, und die wenigsten hier arbeiten bei denen. Und die meisten sind vermutlich, was die ganze aktuelle ssl Thematik angeht, Deiner Meinung, nur Dein polemisches rumgetröte, wie sch... iBM ist, hilft keinem weiter...

Tode hat es m.E. recht gut zusammen gefasst.

Ja, IBM hat Mist gebaut und fängt an, es zu begreifen. Fängt an bezieht sich auf ...in a few weeks....
Ja, damit gefährden Sie den Ruf und die Existenz von Notes mehr als mit ihrem -in meinen Augen miserablen Marketing- der letzten 10 Jahre
Ja, wer seine Dominos direkt nach draußen stellt, hat ein Problem

ABER - hier ist nich IBM, hier sind wenig bis keine IBM-Angestellten. (Die Hotliner, die hier zur kostenfreien Weiterbildung mitlesen, lassen wir mal außen vor.) Das stört mich und die anderen hier.

Bei uns läuft -mal wieder- die Diskussion "Notes raus, gebt uns endlich Outlook". Wenn die Großkopferten solche Threads lesen, ist das Öl auf die Mühlen. Und es hilft nichts. Wie gesagt, hier ist nicht IBM.

Musste ich als langjähriger atNotesler mal loswerden.

VG,
Axel

[shiraz]

Hallo Alex,

ABER - hier ist nich IBM

ja du hast recht, hier ist nicht IBM aber IBM ist hier.
Wenn man hier nicht über ein Sicherheitsloch bei Domino und das Verhalten von IBM diskutieren kann und die Notes-Gemeinde aufmerksamer machen kann, dann wo ...

[DerAndre]

Hi.

Habe ich gerade gesehen. Einfach nur als Teil der Sammlung

Sasa Brkic - How to use TLS and SHA-2 certificates in Domino Web Service Consumer

Und ich kenne mich damit nicht aus. 

[umi]

Bei dem ganzen SSL Thema fehlt mir noch die SNI unterstützung :-)

[m3]

TLS 1.2 wird auch nicht erwähnt ....

[Micha B]

Könnte das ganze auch Einfluß auf Traveler haben?
https://developer.apple.com/news/?id=10222014a

[m3]

Soweit ich weiß nein, aber Du solltest im Zweifelsfall via PMR bei IBM nachfragen, da bekommst Du offizielle Antwort.

[Micha B]

Danke für Deine Meinung!

[Andrew Harder]

TLS 1.2 wird auch nicht erwähnt ....

Warum sollte es erwähnt werden?
Der Patch wird nur die Version 1.0 unterstützen.

Mal eine kleine Übersicht:
TLS 1.0 - 1999
TLS 1.1 - 2006
TLS 1.2 - 2008
TLS 1.3 - draft 07/2014

SHA-2 support ist aber dabei, das ist doch schon mal positiv.

[datenbanken24]

Andrew:

Der Patch wird nur die Version 1.0 unterstützen.

Das befürchte ich auch.

Nimmt man Andrews Tabelle

Mal eine kleine Übersicht:
TLS 1.0 - 1999
TLS 1.1 - 2006
TLS 1.2 - 2008
TLS 1.3 - draft 07/2014

in Verbindung mit m3's Post

TLS 1.2 wird auch nicht erwähnt ....

und liest man dieses IBM Webcast
http://www-01.ibm.com/support/docview.wss?uid=swg27039743
ihs und domino: "They are very different HTTP servers; one is based on Apache server and one is Domino (homegrown about 15 years ago)."

(2014 - 15 Jahre = 1999)

kann man das erwarten.

Ein alsbaldiger TLS 1.0 Fix wäre ein Riesen-Schritt für Domino.
Da SSL-3 und TLS 1.0 aber nicht sehr weit auseinander liegen,
ist die Frage, ob das ausreicht...



WildVirus:
Decke drüber?
Wer darüber redet - ist hier fehl am Platz?

Das Thema eskaliert in allen N/D Foren weltweit.
Zum Glück.

Das atnotes.de Forum ist zusammen mit dem dominoforum.de
sicherlich der 95-prozentige Treffpunkt aller N/D Experten in DACH.

Das MUSS hier rein.

Ob hier direkt nun ein paar IBM Mitarbeiter "mitlesen" oder nicht - ist mir sowas von egal.
IBM muss die weltweite Eskalation dieses Topics mitbekommen.
Die müssen aufwachen. Der Wecker muß klingeln. Überall !
Dein Arbeitsplatz ist sicherer danach als davor.
Genauso wie meiner.


Gruß,
Uwe

[m3]

TLS 1.2 wird auch nicht erwähnt ....

Warum sollte es erwähnt werden?
Der Patch wird nur die Version 1.0 unterstützen.

Mal eine kleine Übersicht:
TLS 1.0 - 1999
TLS 1.1 - 2006
TLS 1.2 - 2008
TLS 1.3 - draft 07/2014

SHA-2 support ist aber dabei, das ist doch schon mal positiv.

Aber IMHO zu wenig.
Ohne TLS 1.2 gibt es nur den RC4 cipher, der (serverseitig) gegen die BEAST Attacke hilft. Und RC4 wird nicht mehr als sicher angesehen.
Also bräuchten wir TLS 1.2 Support eigentlich wie einen Bissen Brot.

[Micha B]

Bezüglich Traveler habe ich noch folgendes gefunden:
http://www-10.lotus.com/ldd/ndseforum.nsf/xpTopicThread.xsp?documentId=8906EA6748C9CFFC85257D7B0032AD66#FB43F3EC7CD77D4385257D7B006BF894

[flaite]

Ich steh da weit draussen.
Ich war übrigens bei den letzten beiden erfolgreichen Gesprächen zwecks Projekt-Akquise einigermassen schockiert über die Detailliertheit mit denen da auf XSS und SQL Injektion rumgeritten wurde. Ich konnte da alles andere als druckreif liefern, vermittelte aber nach Ansicht der Interviewer den Eindruck, dass mir die entsprechenden Probleme schon hinreichend bewusst waren.
Als ich dann die vorhandene Codebasis sah, verstand ich dann auch warum. Da war massiv viel Logik in JSPs, naiver JavaScript code - JavaScript ist ja nix für "wirkliche" Programmierer - und natives SQL, gerne in seitenlangen stored procedures. Ich selbst setze eigentlich seit 2003 auf frameworks wie hibernate/JPA und dann diese Kette an Webframeworks. Oft kamen da Einwände von wegen, dass das alles nur kompliziert und es low level ja viel, viel einfacher ginge. Nicht nur von n00bs sondern oft auch von Leuten, die in ihrer Freizeit rfcs lesen und von denen ich mir bash Tricks abschaue.
Der Framework-code wird von Leuten geschrieben, die einfach mehr Zeit haben, um sich auf Sicherheitsaspekte zu fokussieren. Natürlich muss man auch als Anwendungsprogrammierer eine Vorstellung davon haben, wie eine Web- oder Intranetanwendung angegriffen werden kann. Nur hilft es halt enorm, dass der Anwendungsentwickler bzw. die inhouse Administratoren von dem Bereitsteller des frameworks hinreichend unterstützt werden. Es gibt Schalter um die eingebaute Sicherheit in (Beispiel) JSF und JPA für einzelne features auszuschalten. Nur betätige ich die nie oder nur im äussersten Notfall mit eingehenden security review. Selbst bei hochmotivierten Mitgliedern der do it yourself Fraktion hab ich zu viele Lücken wg. übersehener Details gesehen.

In der frühen Hochkultur der Khmer war es ja auch Aufgabe der Staatsspitze, das grundlegende Bewässerungssystem in Ordnung und v.a. auch sicher zu halten. Oder das Straßennetz im Inka-Reich und in Rom.

Wenn es innerhalb von IBM "Realisten" beginnen das anders zu sehen, ist es wirklich höchste Eisenbahn, dass die Anwendungsentwickler/Administratoren die andere Seite innerhalb von IBM zu unterstützen. Weil es nämlich ansonsten eine Frage der Zeit ist, dass da wirklich mal eine Mine öffentlichkeitswirksam hochgeht.

Gruß Axel

[m3]

Zum Traveler gibts jetzt auch eine Technote:
http://www-01.ibm.com/support/docview.wss?uid=swg21688179