In questa sezione: |
|
Una contraffazione della richiesta del sito incrociato, anche conosciuta come attacco con un click o session riding, abbreviato con CSRF, è un tipo di sfruttamento malizioso di un sito web, quindi non i comandi non autorizzati sono trasmessi da un utente di cui il sito web si fida.
Il token CSRF impedisce attacchi selezionando un valore codificato, generato a caso e memorizzato nella sessione web dell'effettivo utente autenticato.
Per assicurarsi che il server venga sempre avviato in modo sicuro, il fornitore di sicurezza predefinito configurato dal processo di installazione è ora il fornitore PTH (server interno). Durante l'installazione del server, si crea un ID utente di amministratore in admin.cfg. L'installatore è in grado di accettare l'ID utente predefinito (srvadmin) o di cambiarlo, ma l'installatore deve fornire una password per questo ID. L'ID utente verrà creato come nome a due parti nella forma security_provider\user_ID, per esempio, PTH\srvadmin.
Con questo fornitore di sicurezza configurato, il server si avvia con la sicurezza attiva (con il fornitore PTH), immediatamente dopo l'installazione, senza bisogno di configurare ulteriori privilegi.
Quando il server inizia con sicurezza PTH, l'ID utente PTH\srvadmin (o quello configurato durante l'installazione) è l'utente amministratore server, usato per connettersi alla console web server e quell'utente è in grado di eseguire ulteriori modifiche di sicurezza al server, cme l'aggiunta e la modifica di fornitori di sicurezza attivi e la modifica dei privilegi di controllo accesso per utenti, gruppi e ruoli. Si consiglia di mnatenere il fornitore PTH come fornitore di sicurezza attivo, per consentire l'uso di utente PTH\srvadmin come Amministratore Server di backup.
LDAP01\grp1
OPSYS\IBI\user1
Nota: Se si usa l'installazione silenziosa,è necessario fornire l'ID utente dell'amministratore server con password associata.
Si apre la pagina Codifica e Decodifica.
Alcune delle funzioni che verranno nascoste quando ci si connette alla console web o console di gestione dati (DMC) sono la versione server, il nome e release server, le informazioni di accesso e l'elenco di privilegi per l'utente. Per utenti che si connettono da applicazioni front-end (Console Web, DMC, WebFOCUS), si visualizzeranno messaggi generici piuttosto che messaggi di errore server dettagliati.
Se una procedura genera un errore, l'utente visualizzerà il seguente messaggio:
(FOC1240) Please contact your WebFOCUS Administrator
Per impostare il privilegio UINFO per un ruolo, gruppo o utente:
Ogni parametro di ogni forma visualizzata dalla console web viene registrata con una tabella interna che documenta i valori validi per ogni parametro e i permessi necessari per cambiarlo.
L'amministratore server è in grado di calcolare i privilegi di qualsiasi utente o gruppo registrato o non registrato sul server, facendo clic con il tasto destro del mouse sulla cartella Controllo Accesso e selezionando Mostra Privilegi dal menu contestuale.
Si apre la pagina Mostra Privilegi, come mostrato nella seguente immagine.
È possibile selezionare un fornitore di sicurezza e se visualizzare i privilegi di un utente o gruppo, nel fornitore di sicurezza, o se visualizzare i privilegi di qualsiasi ruolo di sicurezza.
Quindi, il server calcolerà i privilegi, a seconda dell'appartenenza utente e alla propria registrazione al gruppo.
Quando si fa clic su Avanti, il server calcola i privilegi appropriati e restituisce una pagina di proprietà per l'utente, gruppo o ruolo scelto con schede per Privilegi Generali e Privilegi Directory/File. Se il proprio server è configurato con profile_setting=all e si seleziona un utente che appartiene a multipli gruppi registrati, tutti i privilegi verranno combinati nella visualizzazione.
Si apre la pagina Impostazioni Varie, come mostrato nella seguente immagine.
Per visualizzare il prospetto delle funzioni di sicurezza e sistema, fare clic sul pulsante Informazioni Funzioni Sicurezza/Sistema sul nastro della pagina Controllo Accesso, o fare clic con il tasto destro del mouse sulla cartella Controllo Accesso e selezionare Funzioni Sicurezza/Sistema sul menu contestuale.
La nuova funzione CHECKPRIVS, dato un codice privilegio generale (per esempio, NODPT), restituisce il valore Y (sì) o N (no), a seconda se l'utente connesso presenta quel privilegio. L'elenco completo dei privilegi generali è disponibile dalla pagina Controllo Accesso Console Web, in Proprietà Gruppo/Utente/Ruolo o dal pulsante C nella Console Web, nell'opzione My Console-/Show My General Privileges.
Nota: La variabile &FOCSECGROUP restituisce solo un gruppo principale, non un elenco di gruppi.
Se il server è configurato con profile_setting=all, la connessione alla console web o la console di gestione dati restituirà l'elenco di gruppi per l'utente connesso, se l'utente è un membro di più gruppi.
Si apre la pagina Variabili Sistema Principale, come mostrato nella seguente immagine.
Si visualizza la pagina dell'elenco gruppi, come mostrato nella seguente immagine.
Per disabilitare un account PTH:
Si apre la finestra di dialogo delle proprietà Utente PTH.
Le impostazioni SESSION_EXPIRATION e foccache_maxage sono state combinate nell'impostazione foccache_maxage. Quando una sessione scade, anche i file foccache di sessione scadono e sono rimossi dal sistema operativo,quindi nessun file non scaduto viene lasciato nelle directory foccache, dopo la scadenza della sessione utente.
Se si sta usando un file odin.cfg da un release precedente e presenta una impostazione SESSION_EXPIRATION, si sceglie l'intervallo più lungo dei due (foccache_maxage or SESSION_EXPIRATION), per far scadere sia il file foccache di sessione che il file di sessione.
Per impostare la scadenza di una sessione, usare l'impostazione foccache_maxage.
Un utente che presenta solo i privilegi per eseguire procedure server predefinite non sarà in grado di eseguire direttamente la sintassi WebFOCUS, dal browser, usando ibiweb.exe con il parametro IBIF_cmd.
Quando si configurano più fornitori di sicurezza, è necessario identificarne uno come fornitore predefinito per connessioni protette, quando WebFOCUS o un altro software client invia un ID gruppo sicuro, senza un fornitore di sicurezza al server.
Per impostare il fornitore predefinito per gruppi protetti:
Si apre la pagina Impostazioni Controllo Accesso, come mostrato nella seguente immagine.
| WebFOCUS |