SecureDomino: Einbrecherwarnung für Lotus Domino
Browser-Clients können beliebig häufig versuchen, sich mit Benutzernamen und Passwort an einem Domino Server anzumelden. Der Domino Server bietet keinen Schutz gegenüber einer solchen "Brute Force Attack". Mit im Internet frei verfügbaren Programmen können Hacker innerhalb von Minuten zu einem bekannten Benutzernamen mehrere tausend Passwörter ausprobieren. Das Erraten des Passwortes ist dann nur eine Frage der Zeit.
SecureDomino ist ein DS API-Filter-DLL, der einfach in das Serverdokument eingebunden werden kann. SecureDomino filtert dann alle Authentifizierungsversuche. Sobald die vorgegebene Anzahl erfolgloser Authentifizierungsversuche erreicht ist, sperrt die DLL das Benutzerkonto (das Personendokument) und verhindert alle weiteren Authentifizierungsversuche.
Darüber hinaus wird eine Mail an einen Administrator mit Datum des Hack-Versuchs, dem Namen des Benutzers und der IP-Adresse des Hackers versendet. Der potenzielle Einbrecher wird über die Sperrung des Benutzerkontos informiert. Redliche Anwender, die ihr Passwort nur vergessen haben, können sich dann an die Administration zur Entsperrung des Benutzerkontos wenden.
Darüber hinaus soll SecureDomino Schutz vor einer "Smart-Force Attack" bieten, die eine gezielte Eingabe von URL-Kommandos zum Ausspionieren einer Domino-Datenbank bezeichnet. Kleine Nachlässigkeiten des Anwendungsentwicklers vorausgesetzt, lassen sich durch die gezielte Eingabe von URLs wie z.B. $DefaultNav, $DefaultView, $DefaultForm und ?ReadViewEntries Domino-Datenbanken leicht weit mehr Informationen auslesen, als dem Anwendungsentwickler recht ist. So öffnet z.B. die URL $DefaultNav eine Notes-Datenbank mit einer Übersicht aller (nicht gesperrten) Ansichten. Zwar können Ansichten auch einzeln vor dem Zugriff durch Browser geschützt werden, einfacher ist es jedoch, einen ganzen Server vor dem Ausspionieren zu schützen.
Mit SecureDomino können mittels einer HTTP-Redirection unerwünschte URLs-Kommandos auf Fehlermeldungen "This URL is not allowed" umgeleitet werden. Die HTTP-Redirection kann auch nach dem Relaunch einer Website eingesetzt werden. Alle alten URLs aus Bookmarks werden pauschal auf die neue Website umgeleitet.
Über eine kleine Konfigurationsdatenbank können die Anzahl der Login-Versuche, die zu überwachenden Dateien/Pfade, die Fehlermeldungen bei erfolglosen Authentifizierungsversuchen und die HTTP-Redirection konfiguriert werden.
SecureDomino wird in einer Server-Lizenz und als Unternehmenslizenz vertrieben.