Mobilchange news Obsah dokumentace Uživatelská dokumentace Administrátorská dokumentace Rejstřík pojmů Technická podpora Hledání on-line
Bezpečnostní otázky WCfO a WAPových aplikací

Tento dokument zodpoví vaše otázky týkající se bezpečnosti WAP a WCfO.

Bezpečnost WAP je závislá na typu připojení, které používáte:

Bezpečnost WAP s vlastním serverem pro vytáčené spojení a vlastní WAP bránou

Pokud používáte vlastní server pro vytáčené spojení a vlastní WAP bránu, získáváte nejlepší možnou bezpečnost.

(Předpokládáme, že se server pro vytáčené spojení nachází ve vaší vlastní síti nebo (lépe) v demilitarizované zóně mezi interním a externím firewallem. Nadále se také předpokládá použití Microsoft RRAS jako serveru pro vytáčené spojení.)

Popis komunikace (a tipy)

  1. Mezi WAP telefonem a vaším serverem pro vytáčené spojení. GSM komunikace je šifrované, takže získat data ze vzduchu je téměř nemožné. Je velmi nepravděpodobné, že budou data získána z centra vašeho GSM operátora nebo z vaší ISDN linky (pokud ji využíváte), ale (níže v tomto článku) heslo může být (je) posíláno šifrovaně.

    Telefon se sám autentifikuje serveru pro vytáčené spojení přes standardní PPP autentifikační protokol (CHAP, PAP, ...). Některé z těchto protokolů jsou zabezpečené, takže heslo se přenáší šifrovaně mezi mobilním telefonem a serverem pro vytáčené spojení. Téměř všechny mobilní telefony umí používat zabezpečené PPP protokoly pro přihlašování.

    Můžete použít standardní Windows NT nástroje pro nastavení RRAS (vytáčené spojení) parametrů, takže pouze někteří uživatelé mohou vytáčet spojení na RRAS server, případně se mohou připojovat pouze ve vybraných hodinách během dne a další nastavení.

    Přihlášený uživatel může ve výchozím nastavení přistupovat k celé síti Windows NT. Nicméně je možné nastavit RRAS server na větší zabezpečení: můžete nastavit, že uživatelé mohou přes vytáčené spojení přistupovat pouze k počítači, na kterém běží RRAS server. WAP brána pak musí samozřejmě běžet na stejném počítači. (Nebo - lépe - můžete umístit váš server pro vytáčené spojení do demilitarizované zóny.)

    Bezpečnostní varování: Je možné zapnout logování na RRAS serveru. Popsáno v Microsoft KB záznam Q161426. V takovém případě mohou být všechna data posílaná přes RRAS server, včetně hesla (pokud není šifrováno) zapsána do logu ve složce WinNT/Tracing/.

  2. Mezi serverem pro vytáčené spojení a WAP bránou. Žádné přihlašovací údaje, včetně hesla, nejsou posílány z RRAS serveru (vytáčené spojení) na WAP bránu. Data samotná jsou posílána bez šifrování, ale pokud běží WAP brána na stejném počítači jako RRAS server, nejsou po síti posílána žádná data.
  3. WAP brána čte informace o autentifikovaném uživateli přímo z RRAS serveru. Čte pouze jméno uživatele. Žádné další informace o uživateli, včetně hesla, nejsou po síti přenášeny.
  4. WAP brána posílá požadavky na WWW server a získává z něj odpovědi. Žádné heslo se po síti neposílá - WAP brána jej nezná. Jméno uživatele (získané od RRAS serveru v kroku 3) je posláno v HTTP hlavičce, takže jej WWW server může použít. HTTP hlavička je digitálně podepsána, takže není možné poslat požadavek na WWW server a tvrdit "Já jsem pan XXX, dej mi obsah mé poštovní schránky". Aplikace WAP Connection takové požadavky rozpozná a přístup umožní pouze uživatelům autentifikovaným na RRAS serveru.

    Požadavek a odpověď jsou posílány bez šifrování. Pokud zapnete logování na WAP bráně a nastavíte úroveň logování na hodnotu vyšší než 5, uvidíte obsah všech posílaných paketů.

    Také všechny parametry posílané WWW serveru mohou být na WWW serveru logovány. Ve výchozím nastavení je logování vypnuto.

    ASP stránky komunikují s Query Serverem přes COM rozhraní - přímo. Query server pak přistupuje k MS Exchange serveru přes CDO a MAPI rozhraní. Data z těchto rozhraní mohou být pravděpodobně dostupná v sítí, nicméně mohou být šifrována. Data zpracované Query serverem mohou být logována na disk pokud je povoleno logování.

Pokud chcete získat nejvyšší možnou bezpečnost, doporučujeme:

zpět na začátek

Bezpečnost WAP využívající WAP bránu GSM operátora

Využití WAP brány operátora je levnější, nicméně ne příliš bezpečné. Své zabezpečení je možné zvýšit speciálním nastavením, nicméně správná cesta je použít vlastní server pro vytáčené spojení a vlastní WAP bránu.

Popis komunikace (a tipy)

  1. Mezi WAP telefonem a WAP bránou GSM operátora. GSM komunikace je šifrovaná, takže získání dat ze vzduchu je téměř nemožné. Přihlašovací údaje, včetně hesla nastaveného ve vašem telefonu, jsou použity k autentifikaci na WAP bráně GSM operátora a často jsou veřejně známy ("wap"/"wap").

    Všechny vaše data mohou být logovány někde u operátora.

    Pokud váš GSM operátor podporuje šifrované WAP připojení, je to mnohem lepší. Žádná data pak nemohou být logována v systému operátora. Nicméně mnoho GSM operátorů nepodporuje šifrovanou komunikaci v jejich veřejných WAP bránách.

  2. Mezi WAP bránou GSM operátora a vaším WWW serverem jsou všechna data posílána přes internet.

    Z WAP brány GSM operátora se neposílá žádná autentifikace na váš WWW server. Takže WAP aplikace posílá uživateli pro autentifikaci standardní formulář "Zadejte uživatelské jméno a heslo", který je potřeba vyplnit. To je poměrně nepohodlné.

    Pokud nepoužíváte zabezpečenou (SSL - HTTPS) komunikaci (není příliš podporována na WAP bránách - popsáno v bodě 1), posílají se všechna vaše data, včetně jména NT účtu a hesla, bez šifrování, takže mohou být získána a zneužita.

    WWW sever může zapisovat všechny parametry do log souborů - včetně jména uživatele a hesla. Ve výchozím nastavení je logování v IIS vypnuto.

    A posledním problémem je, že váš WWW server musí být přístupný z internetu. Takže jej musíte zabezpečit - použít všechny nejnovější záplaty, service packy apod.

    ASP stránky komunikují s Query Serverem přes COM rozhraní - přímo. Query server pak přistupuje k MS Exchange serveru přes CDO a MAPI rozhraní. Data z těchto rozhraní mohou být pravděpodobně dostupná v sítí, nicméně mohou být šifrována. Data zpracované Query serverem mohou být logována na disk pokud je povoleno logování. Nikdy se však neukládá do log souborů heslo.

Pokud chcete získat nejvyšší možnou bezpečnost, doporučujeme:

zpět na začátek