Das Notes Forum
Domino 9 und frühere Versionen => ND6: Administration & Userprobleme => Thema gestartet von: SvenB am 24.02.05 - 10:52:19
-
Hallo, ihr Wissenden.
Wir möchten unsere Homepage übder den Domino abbilden und nun stellt sich mir die Frage: wie sieht es da mit Sicherheit aus? Wenn ich z.B. hier intern auf den Domino mittels Webbrowser gehe springt uns die page auch entgegen. Hänge ich aber an die Adresse einen expliziten Datenbanken- oder Dateinamen, öffnet er mir diese Datei ... und das sollte latürnich keineswegs so sein.
Kennt da wer eine gute Resource, an der ich mich schlau machen kann? Oder brauchen wir da nen Profi? :)
Gruß,
Sven
-
Kennt da wer eine gute Resource
Aktion "Suchen" in diesem Forum ;)
Andreas
-
:-[
Ja okay - ich bin faul, bzw. dumm, weil ich finde nichts zu meinen Stichworten die ich der Suche vorwerfe.
Die erwähnte Resource ist 1A - keine Frage ... ;)
Ich quäle die Suche nochmal mit anderen Stichworten.
Gruß,
Sven
-
Siehe hier:
http://www.atnotes.de/index.php?topic=21053.0
Andreas
-
:D
Herrlich - ich habe eben zwar auch welche gefunden, aber nicht diesen umfangreich Artikel (evtl. sollte ich mal ein Search-Howto durchlesen ;) )
Ich habe mir auch gerade nochmal die Security-configs angesehen, da Meff in der Abteilung Tipps und Tricks mal meinte, dass die ja nun ab version 6 auch endlich auf nicht-Lotusclients greifen würden.
Nu muss ich mir beides mal zu Gemüte führen.
Danke Glombi!
Gruß,
Sven
-
:-[ ... zwei dumme Fragen habe ich noch:
1.) Das Teil rennt nun. Gefällt mir sehr gut, aber: gebe ich von extern mehr als nur die Adresse ein (z.B. ein /names.nsf) dann kommt ein Screen zum einloggen.
Wir benutzen kein WebAccess (iNotes) oder ähnliches, ich könnte also liebend gerne auf dieses Angriffspunkt verzichten ... nur wie?
2.) Ich habe versucht möglichst alles umzusetzen, was ich in den Threads hier gelesen habe. Dabei wird auch immer wieder gesagt "WebAdmin" ausschalten. Klingt gut - ich administriere das eh anders. Nur wie schalte ich den nun wieder aus?
Oder sind evtl. Punkt 1 und 2 dasselbe Problem?
Gruß,
Sven
-
Warum soll ein Login-Screen ein Angriffspunkt sein? Nur wenn man da durch kommt, ist ein Angriff geglückt. Wenn der HTTP-Task gestartet ist, lässt sich logischerweise alles aufrufen, was auf dem Server ist. Ob der Server das dann zulässt, ist die entscheidende Frage, und offenbar tut er das ja nicht.
-
Warum soll ein Login-Screen ein Angriffspunkt sein?
Vielleicht weil er - im Gegensatz zur Notes-ID - eine Brute Force Attack zulässt.
Es ist kein Problem ein Tool zu bauen, dass ständig neue HTTP Requests mit unterschiedlichen Username-Password Kombinationen gegen einen Internetserver zu senden.
Jedoch gibt es Abhilfe durch Drittherstellertools.
Z.B:
http://www.timetoact.de/ttacms.nsf/id/SecureDominoDE
(s. der erste Punkt).