SICHERHEIT
Warum und wann dieser Vorgang ausgeführt wird
Beispiele für Übergriffe auf Kennwörter:
Internetkennwörter mithilfe von xACLs sichern
Eine Möglichkeit zum Sichern von Internetkennwörtern besteht in der Verwendung von erweiterten ACLs, auch xACLs genannt, zur Kontrolle des Zugriffs auf Grundlage von Ebenen in der Namenshierarchie sowie auf Masken- und Feldebene. Für die im Domino-Verzeichnis gespeicherten Kennwörter können Administratoren xACLs einrichten, um den Zugriff auf Internetkennwörter auf den jeweiligen Benutzer selbst und Administratoren zu beschränken, sodass der Benutzer auf sein eigenes Kennwort zugreifen kann und administrative Änderungen an Kennwörtern durchgeführt werden können.
Prozedur
1. Aktivieren Sie zunächst den erweiterten Zugriff für das Domino-Verzeichnis:
b. Stellen Sie sicher, dass Sie in der Datenbank-ACL über Managerzugriff verfügen.
c. Klicken Sie auf Erweitert und wählen Sie anschließend Erweiterten Zugriff aktivieren aus.
d. Klicken Sie auf Ja, wenn Folgendes angezeigt wird: Das Aktivieren der erweiterten Zugriffskontrolle erzwingt zusätzliche Sicherheitsüberprüfungen. Weitere Informationen dazu finden Sie in der Domino Administratorhilfe. Möchten Sie fortfahren?
e. Wenn die erweiterte Datenbank-ACL-Option Konsistente ACL über alle Repliken dieser Datenbank erzwingen noch nicht aktiviert ist, wird folgende Nachricht angezeigt: Zuerst muss die konsistente Zugriffskontrolle aktiviert sein. Möchten Sie sie jetzt aktivieren? Klicken Sie auf Ja.
f. Klicken Sie auf OK, wenn die folgende Nachricht angezeigt wird: Wenn mehr als ein Administrator die Zugriffsrechte für den erweiterten Zugriff auf diese Datenbank verwaltet, aktivieren Sie für diese Datenbank die Dokumentsperre, um Konflikte zu vermeiden.
g. Klicken Sie im Dialogfeld "Zugriffskontrollliste" auf OK.
h. Wenn die Nachricht "Aktivieren von Beschränkungen bei der erweiterten Zugriffskontrolle. Bitte warten. angezeigt wird, klicken Sie auf OK.
b. Klicken Sie auf Erweiterten Zugriff. Das Dialogfeld "Erweiterter Zugriff" wird angezeigt.
c. Wählen Sie im Teilfenster "Ziel" die Root [ /] aus und klicken Sie auf Hinzufügen.
d. Wählen Sie im Teilfenster "Zugriffsliste" die Option Vorgabe aus.
e. Klicken Sie auf Masken- und Feldzugriff. Das Dialogfeld "Masken- und Feldzugriff" wird angezeigt.
f. Wählen Sie im Listenfeld Masken die Maske Person aus. Lassen Sie die Zugriffseinstellungen für Masken leer.
g. Gehen Sie im Listenfeld Felder wie folgt vor:
h. Klicken Sie auf OK.
i. Wiederholen Sie diesen Vorgang für die Einstellungen HttpPassword und dspHttpPassword (wenn dieses angezeigt wird) in der Maske "Person":
Anmerkung: Nach dem Aktivieren von xACLs für ein Domino-Verzeichnis wird der anonyme LDAP-Zugriff nicht mehr von der Liste der Felder im Konfigurationsdokument für alle Server gesteuert. Da für "Anonymous" die standardmäßige xACL-Einstellung "Kein Zugriff" gilt, schlagen nach dem Aktivieren von xACLs alle anonymen LDAP-Suchen fehl.
Wenn Sie ein Internetkennwort eingeben und das Personendokument speichern, vergibt Domino automatisch einen Hash-Wert für das Feld "Internetkennwort". Sie können das Standardkennwort verbessern, indem Sie das sichere Kennwortformat verwenden. Sie können das Kennwortformat für bereits vorhandene Personendokumente aktualisieren oder automatisch das Kennwortformat mit höherer Sicherheit für alle Personendokumente verwenden, die Sie erstellen.
Für vorhandene Personendokumente
1. Klicken Sie in Domino Administrator auf Personen und Gruppen und wählen Sie die Personendokumente aus, die Sie auf ein sichereres Kennwortformat aktualisieren möchten.
2. Wählen Sie Aktionen -> Aktualisierung auf ein sichereres Internetkennwortformat aus.
3. Wenn alle Server in der Domino-Domäne die Version 8.0.1 oder höher ausführen, wählen Sie Ja - Kennwortüberprüfung ist kompatibel mit Version 8.0.1 oder höher aus. Wählen Sie anderenfalls Ja - Kennwortüberprüfung ist kompatibel mit Version 4.6 oder höher aus.
Für neue Personendokumente
1. Klicken Sie in Domino Administrator auf Konfiguration und wählen Sie Alle Serverdokumente aus.
2. Wählen Sie Aktionen -> Verzeichnisprofil bearbeiten aus.
4. Speichern und schließen Sie das Dokument.
Tipp: Eine weitere Möglichkeit, das Erraten von Kennwörtern zu verhindern, besteht ganz einfach darin, die Kennwörter so festzulegen, dass sie schwieriger zu erraten sind, z. B. indem man ein längeres, komplexeres Kennwort wählt, viele verschiedene Zeichen dafür verwendet, keine Wörter verwendet, die in einem Wörterbuch zu finden sind usw.
Mithilfe der Internetkennwortsperre können Administratoren einen Schwellenwert für Internetkennwort-Authentifizierungsfehler für Benutzer von Domino Web und Domino Web Access festlegen. Dies hilft, Brute-Force- und Wörterbuch-Angriffen auf Benutzer-Internet-Konten zu verhindern, indem jeder Benutzer ausgesperrt wird, bei dem eine voreingestellte Anzahl von Anmeldefehlversuchen aufgetreten ist. Informationen zu Authentifizierungsfehlern und Sperren werden in der Internetsperrenanwendung aufbewahrt, wo der Administrator Fehler beheben und Benutzerkonten entsperren kann.
Es muss beachtet werden, dass diese Funktion anfällig für Denial of Service-Angriffe (DoS) ist. Bei einem DoS-Angriff verhindern böswillige Benutzer die Benutzung eines Service durch rechtmäßige Benutzer. Im Fall der Internetkennwortsperre kann es vorkommen, dass Angreifer absichtlich fehlgeschlagene Anmeldeversuche herbeiführen, um zu verhindern, dass berechtigte Internetbenutzer sich auf einem Domino-Server anmelden können.
Anmerkung: Die Internetkennwortsperre hat keine Auswirkungen auf die Domino Off-Line Services (DOLS).
Es bestehen einige Benutzungseinschränkungen für die Internetkennwortsperre:
Die Internetsperrdatenbank
Die Internetsperrdatenbank (inetlockout.nsf) wird in einer der beiden folgenden Situationen aus der Schablone inetlockout.ntf erstellt:
Für jeden Benutzer, der mit einem Internetnamen und -kennwort versucht, sich bei Domino anzumelden, werden Informationen zum Sperrzustand in der Internetsperrdatenbank aufbewahrt, darunter der Benutzername, die Anzahl der fehlgeschlagenen Versuche und der Sperrstatus. Sperrversuche werden nicht in der Sperrdatenbank gespeichert, wenn der Benutzer bereits ausgesperrt ist oder sich erfolgreich anmeldet. Während die Internetsperrdatenbank Sperrstatusinformationen speichert, sollten Anmeldefehlversuche und historische Sperrinformationen im Domino Domain Manager (DDM) gespeichert werden, der Ihnen historische Datensätze mit Anmeldefehlversuchen bereitstellt.
Alle Änderungen an den Zugriffsinformationen für Benutzer, die in der Internetsperrdatenbank gespeichert sind, werden unmittelbar implementiert. Sie müssen den HTTP-Server nicht neu starten, damit die Änderungen wirksam werden.
In der Sperrdatenbank gibt es zwei Ansichten:
Sie können mehrere Datensätze zum Entsperren oder Löschen markieren, indem Sie in der Symbolleiste auf Mark for Delete/Unlock klicken, und sie dann löschen, indem Sie auf Delete Marked Items klicken.
Es wird empfohlen, in regelmäßigen Abständen zu überprüfen, ob die Internetsperrdatenbank nur Datensätze für gültige Benutzer enthält. Entfernen Sie die Namen von Benutzern, deren Namen sich geändert haben, oder die als Benutzer des Domino-Servers entfernt wurden. Es findet keine automatische Bereinigung der Datenbank statt. Veraltete Benutzerdatensätze verursachen zwar keine Funktionsprobleme, eine zu große Anzahl von Datensätzen in der Datenbank kann jedoch die Arbeitsgeschwindigkeit der Internet-Authentifizierung beeinträchtigen.
Sie können benutzerdefinierte Anmeldemasken für die Internetsperrdatenbank erstellen, die dazu verwendet werden können, um Benutzern mitzuteilen, dass sie möglicherweise ausgesperrt werden.
Die Internetsperrdatenbank replizieren
Als Administrator müssen Sie entscheiden, ob die Replizierung der Internetsperrdatenbank auf andere Server für Sie nützlich ist. Ein großer Vorteil der Datenbankreplizierung besteht darin, dass Sperrinformationen auf mehrere Server repliziert wird. Sie können alle Repliken ansehen und den Sperrstatus von Benutzern über mehrere Server hinweg ermitteln, anstatt die Internetsperrdatenbank auf jedem Server, auf dem die Internetkennwortsperre aktiviert ist, öffnen zu müssen.
Allerdings hat die Replizierung auch ihre Nachteile: So kann es beispielsweise zu Replizierungsstürmen kommen, wenn Ihr Netzwerk angegriffen wird oder Denial-of-Service-Angriffe eintreten. Wenn Ihre Replizierung langsam abläuft, kann es außerdem vorkommen, dass jemand, der die Sperrdatenbank auf einem bestimmten Server überprüft, erst dann sehen kann, dass eine Person gesperrt ist, wenn die Replizierung stattgefunden hat (die Replik kann jedoch immer direkt auf dem fraglichen Server geöffnet werden).
Die Internetsperrdatenbank wird mit einer Replik-ID erstellt, die für alle Repliken auf allen Servern in einer Domäne, für die die Internetkennwortsperre aktiviert ist, gleich bleibt. Standardmäßig wird die Replizierung für Internetsperrdatenbanken vorübergehend deaktiviert. Dies dient dazu, die bereits beschriebenen Replizierungsstürme zu verhindern. Um die Datenbank auf einen anderen Server zu replizieren, deaktivieren Sie die Option "Replizierung dieser Replik vorübergehend deaktivieren" im Abschnitt "Andere" des Dialogfelds "Replizierparameter". Anschließend können Sie die Datenbank für die Replizierung einrichten (entweder periodisch oder im Cluster).
Anmerkung: Wenn Sie diese Datenbank auf andere Server replizieren, werden die Informationen zu den ungültigen Versuchen für jeden Server einzeln berechnet. Wenn beispielsweise der Schwellenwert für "Jochen Doering" drei ist und dieser zwei ungültige Anmeldeversuche auf Server A und einen auf Server B zu verzeichnen hat, wird er auf keinem der Server ausgesperrt. Die Versuche werden nicht zu einer Summe von drei kombiniert. Der Grund für die Replizierung ist die Vereinfachung der Administration, nicht die Einrichtung globaler Schwellenwerte.
Internetkennwortsperre konfigurieren
Die Internetkennwortsperre kann im Serverkonfigurationsdokument aktiviert werden. Dies erlaubt Administratoren, die Internetsperrenfunktion auf mehreren Servern gleichzeitig zu aktivieren.
Es wird empfohlen, die Serverdokumentenoption Fewer name variations with higher security zu aktivieren. Dadurch wird das Problem nicht eindeutiger Namen minimiert. Domino unterstützt die Anmeldung auf einem Web-Server durch eine Kurzform des Benutzernamens (sofern das Kennwort korrekt ist), selbst wenn der Kurzname auf zwei oder mehr Personen im Verzeichnis zutrifft. Falsche Anmeldungen, die auftreten, wenn ein Benutzer einen nicht eindeutigen Name eingibt, führen zu einem Fehler bei jedem nicht eindeutigen Treffer, da es keine Möglichkeit gibt, um festzustellen, welcher Benutzer sich anmelden wollte. Außerdem werden nur für Benutzer, deren Benutzername und Kennwort erfolgreich übereinstimmen, fehlgeschlagene Versuche mithilfe der Einstellungen für das Ablaufdatum der Sperre gelöscht.
1. Klicken Sie in Domino Administrator auf Konfiguration -> Server -> Konfigurationen. Öffnen Sie das Konfigurationsdokument für den Server, für den Sie die Internetkennwortsperre aktivieren möchten.
2. Klicken Sie auf Sicherheit. Ihnen stehen drei Optionen für die Einstellung Sperre des Internetkennworts erzwingen zur Verfügung:
Anmerkung: Wenn die Internetkennwortsperre im Serverdokument nicht erzwungen wird, sind alle anderen Einstellungen für die Internetsperre, beispielsweise diejenigen in einem Richtliniendokument, deaktiviert.
Wenn in einer Benutzerrichtlinie ein anderer Wert für diese Einstellung vorhanden ist, setzt dieser den im Serverkonfigurationsdokument festgelegten Wert außer Kraft.
Anmerkung: Wenn dieser Wert auf 0 gesetzt ist, ist eine unbegrenzte Anzahl von Kennwortversuchen erlaubt.
Anmerkung: Wenn dieser Wert auf 0 gesetzt ist, läuft die Sperrung nicht automatisch ab. Das Benutzerkonto muss manuell entsperrt werden.
Dies gilt nicht für gesperrte Benutzer. Wenn ein Benutzer gesperrt ist, kann das Löschen fehlgeschlagener Versuche nur manuell in der Internetsperrdatenbank oder durch Ablauf des Sperrzeitraums erfolgen; dasselbe gilt für das Entsperren des Benutzerkontos.
Anmerkung: Falls dieser Wert 0 ist, löscht jede erfolgreiche Anmeldung eines vorgegebenen Benutzers, der nicht ausgesperrt ist, alle falschen Kennwortversuche dieses Benutzers.
Anmerkung: Mit Ausnahme der Protokolleinstellungen können die oben beschriebenen Optionen auch in einer Benutzerrichtlinie angegeben werden. Dies kann hilfreich sein, wenn ein Administrator die Sperre des Internetkennworts nur für bestimmte Benutzer in einer Organisation erzwingen möchte. In diesem Fall können diese Einstellungen für die entsprechende Benutzergruppe festgelegt werden.
Zugehörige Tasks Benutzerdefinierte Web-Server-Nachrichten Einstellungsdokument für Sicherheitsrichtlinien