22.05.2015

Domino von LogJam-Lücke in TLS nicht betroffen

Category: Administration, IBM Domino, Sicherheit

IBM Domino
Tja...
Anfang der Woche schrieb ich bereits über eine bekannt gewordene Lücke in SSL/TLS nun folgt direkt die Nächste.

Diese nun LogJam genannte Lücke mit der CVE-ID "CVE-2015-4000" betrifft Server wie Clients gleichermaßen. Diese Lücke im DHE ermöglicht wohl einem "Man-In-The-Middle" eine Downgrade-Attack auf andere Verschlüsselungsstärken, so dass mitgeschnittener Netzwerkverkehr gelesen bzw. manipuliert werden kann.
Ich habe von IBM bisher keine offiziellen Statements gefunden, die eine Auskunft über die Betroffenheit der IBM-Produkte gibt. Wenn einer unserer Leser mehr weiß, ist er herzlich gebeten einen entsprechenden Kommentar zu hinterlassen .

Aber mehrere Dinge lassen sich sagen:
Domino kann vor 9.0.1 FP3 IF2 kein DHE. Ältere Domino-Versionen sind also deswegen schonmal nicht betroffen.

DHE muss in Domino 9.0.1 FP3 IF2 explizit eingestellt werden. In der Standardeinstellung ist Domino 9.0.1 FP3 IF2 also ebenfalls nicht betroffen.

Man kann seinen Server auf weakdhe.org auch testen lassen und erhält nebenbei auch Auskunft über die Verwundbarkeit seines Browsers . Darren Duke hat das einmal für einen seiner Domino-Server mit aktiviertem DHE getan und der Test bestätigt ihm keine Verwundbarkeit.
Wer sich nicht auf diese Webseite verlassen möchte oder Server testen möchte, die nicht im Web stehen, kann dies auch mit openssl tun.

Diese Aussagen ersetzen zwar m.E. kein offizielles Statement von IBM, lassen aber mit ausreichender Sicherheit vorläufig feststellen, dass
IBM Domino nicht von der LogJam-Lücke betroffen ist.

18.05.2015

Sicherheitslücke in SSL RC4 Cipher betrifft auch Domino

Category: Administration, IBM Domino, Sicherheit

IBM Domino
Die Welle der auf SSL bezogenen Sicherheitslücken reißt nicht ab. Diesmal betrifft es die Cipher RC4.
Mit dieser, "Bar Mitzvah" genannten, Sicherheitslücke kann ohne "Man-In-The-Middle" gesniffter Netzwerkverkehr zwischen einem beliebigen Client und Domino-HTTP entschlüsselt werden.

Diese Sicherheitslücke betrifft alle Domino-Server vor 9.0.1 FP3 IF2.

Wer in den letzten Monaten von uns einem Sicherheitsaudit unterzogen wurde, hat nichts mehr zu tun . Alle Anderen sollten die RC4 ciphers deaktivieren oder gleich auf die letzte Domino-Version aktualisieren, sofern möglich.

06.05.2015

Firmenkontaktmesse 2015, Fachhochschule Wedel

Category: assono, Veranstaltungen, Karriere

Auch in diesem Jahr möchten wir Euch, als zukünftige BWL- oder Informatikabsolventen, auf der Firmenkontaktmesse der Fachhochschule Wedel kennenlernen und spannende Gespräche mit Euch führen.
Ihr habt hier die perfekte Gelegenheit, sich über Ein- und Aufstiegsmöglichkeiten in unserem Unternehmen, das in der innovativen IT-Dienstleistungsbereich tätig ist, zu informieren.

Wir bauen unser Team aus und suchen Verstärkung aus den Studien-Bereichen Wirtschaftsinformatik, BWL und Informatik. Sehr gerne vergeben wir auch Praktika und betreuen Euch bei Euren Bachelor- bzw. Master-Arbeiten.

Trefft uns am Mittwoch, 27. Mai 2015, am Stand 28.
Kommt vorbei!

Wir freuen uns, Euch kennenzulernen und Eure Fragen zu beantworten!

04.05.2015

IBM veröffentlicht SSL/TLS Dokumentation für Domino

Category: Administration, IBM Domino, Sicherheit

IBM Domino
Ich suche schon lange nach einer guten und detaillierten Dokumentation für die SSL/TLS Fähigkeiten des Domino HTTP Dienstes. Diese Suche hat im Zusammenhang mit den SSL-bezogenen Sicherheitsproblemen der letzten Monate noch etwas mehr Brisanz gewonnen.
IBM hat nun endlich am Anfang diesen Monats eine solche Dokumentation veröffentlicht. Und da ich davon ausgehe, dass ich nicht der Einzige bin, der danach gesucht hat, möchte ich das unseren Lesern nicht vorenthalten :
TLS Cipher Configuration

Natürlich gilt diese Dokumentation nur für die Domino Versionen ab 9.0.1 FP3 IF2, aber sie wird bestimmt/hoffentlich in der Zukunft aktualisiert.

Mehrere Dinge sind wichtig.
Zum Einen geschieht die Konfiguration nicht mehr über das Serverdokument, sondern ausschließlich über die notes.ini. Zum Anderen sind nicht alle wichtigen Features, wie zum Beispiel Forward Secrecy, im Installationsstandard aktiviert. Das bedeutet, dass zwar die Standardkonfiguration mit Auslieferungszustand solide ist, es sich jedoch dennoch lohnt, sich darüber Gedanken zu machen.

Damit kann man den Domino nun übrigens auch weitestgehend entsprechend den Empfehlungen des BSI konfigurieren. Dazu gehört aber auch, dass SSLv3 und TLS 1.0 deaktiviert werden.
Wer sein Zertifikat mit der Cert-Admin-DB angelegt hat, sollte es erneut anlegen, um den aktuelleren Hash SHA256 nutzen zu können.

29.04.2015

contacts Messe 2015, Christian-Albrechts-Universität in Kiel

Category: assono, Veranstaltungen, Karriere

Auch in diesem Jahr möchten wir Euch, als zukünftige BWL- oder Informatikabsolventen, auf der contacts Messe in Kiel kennenlernen und spannende Gespräche mit Euch führen.
Ihr habt hier die perfekte Gelegenheit, sich über Ein- und Aufstiegsmöglichkeiten in unserem Unternehmen, das in der innovativen IT-Dienstleistungsbereich tätig ist, zu informieren.

Wir bauen unser Team aus und suchen Verstärkung aus den Studien-Bereichen Wirtschaftsinformatik, BWL und Informatik. Sehr gerne vergeben wir auch Praktika und betreuen Euch bei Euren Bachelor- bzw. Master-Arbeiten.

Trefft uns am Donnerstag, 21. Mai 2015, am Stand A3 im Audimax der Christian-Albrechts-Universität in Kiel.

contacts.jpg Kommt vorbei!

Wir freuen uns, Euch kennenzulernen und Eure Fragen zu beantworten!

29.04.2015

BankersCampus 2015: Weniger säen, mehr ernten - 7 Wege, mit weniger Arbeit mehr zu erreichen

Category: BankersCampus, Konferenzen

BankersCampus
Vielen Dank noch einmal an Herrn Hentschel und sein Team! Auch dieses Jahr haben Sie uns ein tolles, informatives und im besten Sinne des Wortes "soziales" Anwendertreffen IBM Notes Domino 2015 im Rahmen des BankersCampus beschert!

merged.jpg

Wie versprochen ist hier die Präsentation zu meinem heutigen Vortrag: Weniger säen, mehr ernten - 7 Wege, mit weniger Arbeit:

08.04.2015

Upgrades der IBM Notes- und Domino-JVMs für 8.5.3 FP5+FP6 und 9.0.1 FP3

Category: Administration, IBM Domino, IBM Notes

IBM NotesIBM Domino
Java erweist sich leider immer wieder als problematisch in Punkto Sicherheit.

Es ist sehr mächtig und gleichzeitig weit verbreitet, also ein ideales Ziel für Hacker. Und alle, die Java in der einen oder anderen Form benötigen, dürfen immer wieder ihre Systeme aktualisieren.
Ich weiß nicht, ob es gut, notwendig oder überflüssig ist, aber IBM hat seine eigene Java Virtual Machine (JVM), die in ihren Produkten wie z. B. IBM Notes und IBM Domino genutzt werden, und muss daher getrennt aktualisiert werden. Und genau dafür gibt es jetzt eine entsprechende Korrektur, die
viele Sicherheitslöcher stopft.

Download des JVM-Upgrades JVMPatch SR16FP3 IF1 gibt es für IBM Notes und Domino 8.5.3 mit Fix Pack 5 bzw. 6 und für 9.0.1 mit Fix Pack 3.

01.04.2015

IBM Notes Traveler 9.0.1.3 erschienen

Category: IBM Notes Traveler, Administration

IBM Notes Traveler
Es ist Frühling, überall sprießen die Aktualisierungen und neue Versionen.

Nach den Interims Fixes der letzten Tage hat IBM jetzt die Version 9.0.1.3 vom IBM Notes Traveler heraus gebracht.
Neben
vielen Korrekturen gibt es einige neue Funktionen:
  • Clientunterstützung für IBM Verse für iOS
  • Papierkorbordnersynchronisation (Yay!) - Gelöschte Elemente werden im Ordner "Papierkorb" angezeigt und können wiederhergestellt oder dauerhaft aus dem Papierkorb gelöscht werden.
  • Status von Eingeladenen - Als Besprechungsorganisator oder Vorsitzender können Sie jetzt den Antwortstatus für die Teilnehmer Ihrer Besprechung auf Ihrem mobilen Gerät anzeigen.
IBM Traveler Server 9.0.1.3-Downloads
IBM Traveler Server 9.0.1.3 Release Documentation

30.03.2015

IBM Notes 9.0.1 Fix Pack 3 Interims Fix 3 bringt TLS 1.2

Category: Lotus Notes, Administration, Sicherheit

IBM Notes
Kleine Ergänzung zum Blog-Eintrag von eben: Auch für den IBM Notes-Client stellt IBM den neuen Interims Fix 3 für die Version 9.0.1 mit Fix Pack 3 bereit.
Neben anderen Verbesserungen versteckt sich die wahrscheinlich wichtigste unter SPR KLYH9QKT4B: "Notes / Domino Support for TLS 1.2 (Transport Layer Security 1.2) with protocols: HTTP, SMTP, LDAP, POP3 & IMAP".


Details unter Interim Fixes for 9.0.1.x versions of IBM Notes, Domino, iNotes & Notes Browser Plug-in, Downloads im IBM Fix Central.

30.03.2015

TLS 1.2 kommt demnächst für den Domino-Server 9.0.1 FP3 (Update 30.03.)

Category: IBM Domino, Administration, Sicherheit

IBM Domino
Mit den letzten Aktualisierungen (9.0.1 FP3, 9.0.1 FP2 IF3 und anderen) hat IBM dem HTTP-Prozess des Domino-Servers beigebracht, verschlüsselte Kommunikation mit dem Browser auch über TLS 1.0 abzuwickeln und so das unsichere SSL v3 kurzfristig überflüssig zu machen.

Die nächste Stufe ist die Unterstützung für die aktuelle Version 1.2 des TLS-Protokolls, die uns jetzt in Form eines Interims Fix für die 9.0.1 Fix Pack 3 noch für diesen Monat versprochen wurde. Für 8.5.3 wird die TLS 1.2-Unterstützung nicht mehr kommen, weil notwendige Crypto-Bibliotheken erst mit Version 9 eingebracht wurden.

Im Gegenzug soll dafür die Unterstützung (und die Nutzungsberechtigung) für den IBM HTTP Server (IHS) als vorgelagerter HTTP-Server wieder entfallen. Ist eben einfach nicht mehr notwendig...

Quelle: Planned TLS 1.2 deliveries for IBM Domino 9.x
What are IBM's plans surrounding IBM HTTP Server (IHS) support in Domino?

Update 30.03.: Interim Fix wie erwartet erschienen


Wie nachzulesen unter Interim Fixes for Domino 9.0.1 ist der versprochene Interims Fix 2 nun erschienen. Die wichtigsten Neuerungen sind aus unserer Sicht:
  • Die Einführung von TLS 1.2 und
  • SHA-256 Support
Dieses Interims Fix  gibt es nur für die Version 9.0.1 Fix Pack 3.

Download des Interims Fix über die IBM Fix Central.

Jetzt gibt der SSL Server Test der Qualys SSL Labs tief grünes Licht (95 von 100 Punkten im Bereich Protokolle):
A picture named M2

Kalender (Calendar)

Tags

Deutsche RSS-Feeds (German)

Custom Button Custom Button

English RSS feeds

Custom Button Custom Button