- √ - Administration freischalten über KO?

[AlexS]

Hallo,

ich möchte gerne die Software meines HS via Internet updaten können. Damit das ganze aber ein bisschen sicherer wird, wollte ich die entsprechenden Rechte über ein KO freischalten (per Visu). Geht das?

[svenkonstanzer]

Hallo!

Du kannst den IEts Zugriff per KO sperren oder freischalten.
Aber den Zugriff für den HS sperren geht m.E. nicht.
Habe auch schonmal daran rumprobiert.

Sven :-)

[MatthiasS]

Beim Benutzer/Rechte kann man angeben, ob er adminstrieren kann oder nicht!

[AlexS]

Hallo Matthias,

ja, das mit den Benutzerrechten kenne ich. Aber wenn man die ändern möchte, muß man ja immer die Software übertragen. Ich wollte das ohne übertragen hinkriegen. Habe jetzt verstanden, daß es nicht geht.

Schade & Danke.

[MatthiasS]

Du kannst doch einen Benutzer anlegen, der administrieren kann, mit dem updatest du aus der Ferne deinen HS.

Andere Benutzer können eben nur bedienen.

Dein Problem verstehe ich - ehrlich gesagt - nicht.

[AlexS]

Naja, bei mir steht das Thema Sicherheit noch nicht so ganz. Im Moment ist der HS am Internet angeschlossen und in meiner Fritzbox habe ich Portforwarding eingerichtet. Meine Benutzer dürfen im Moment alles. Benutzt wird noch der Standardport 80. Ich hatte den mal umgestellt auf einen exotischen Wert, da läßt mich das Netz meiner Firma nicht raus und ich möchte ja schonmal tagsüber nach dem rechten schauen, wenn ich im Büro bin. Die einzige Sicherheitsmassnahme ist halt im Moment die Passwortabfrage vom HS und da weiß ich nicht wie sicher die ist. Deshalb wollte ich das Administrieren von außen nur temporär zulassen.

Ich habe keine Ahnung, wie der externe Zugriff über VPN oder das Gira Portal funktioniert und habe ehrlich gesagt auch noch nicht im Forum gesucht. Sollte sich dennoch jemand berufen fühlen, mich hier zu beraten, wäre das natürlich klasse.

[MatthiasS]

Deshalb wollte ich das Administrieren von außen nur temporär zulassen.

Da gewinnst du doch nichts an Sicherheit - das ist ein Trugschluss: Wenn du dich als Benutzer einloggst (HS-Passwort-Sicherheit), dann die Adminstration freischaltet, dann kannst du doch gleich einen Admin mit saulangemundschwerzuerratendem Passwort als Adminstrator-Benutzer nehmen!?

Die "Sicherheit" ist in beiden Varianten gleich, bei letzterer Version tendenziell sogar höher.

[AlexS]

ok, überzeugt, dann lege ich halt folgende Benutzer an:
1. Interner Vollzugriff
2. externer Zugriff nur auf Visu & Listen
3. externer Vollzugriff mit saulangemundschwerzuerratendemsuperduperpasswort

Was mir noch aufgefallen ist: Vielleicht möchte ich mal einen Gastzugang einrichten. Der soll bei aber natürlich nix schalten können. Jetzt habe ich aber die Navigation über Buttons realisiert, die natürlich auch geschaltet werden müssen, damit man auf eine andere Seite kommt. Kann man hier unterscheiden zwischen "Licht schalten" und "Visu-Seite aufrufen"? Wenn nein, müßte ich für alle Schaltfunktionen, die der Gast nicht aufrufen soll, transparente Buttons einführen, die dann nur für die erlaubten User bedienbar sind. Das ist mir aber eindeutig zuviel Arbeit. Gibt es einen anderen Weg?

[MatthiasS]

Klar. Wenn die Benutzergruppen (Projekt) aktivierst, kannst du bei jdem Visu-Objekt angeben, welche benutzergruppe darf und welchen nicht. Kann man auch nachträglich mehreren Objekten zuweisen, Rechtsklick....

[AlexS]

Sorry ist immer noch nicht so ganz klar. Was ist denn der Unterschied zwischen einem "Benutzer" und einer "Benutzergruppe"?

Mein Verständnis:

1. Ein Benutzer hat Name und Passwort
2. Ein Benutzer hat individuelle Rechte für Oberfläche/Listen/Admin
3. Ein Benutzer muß mindestens einer Benutzergruppe zugeordnet sein, damit er irgendwas machen darf.
4. Die VisuElemente werden den Benutzergruppen zugeordnet damit diese entsprechend Ihrer Rechte die Visu-elemente sehen und eventuell bedienen können.

Ich muß also für meinen Gast 2 Gruppen einrichten:
a) Gast_Lesen
b) Gast_Lesen+Schreiben
Dem User "Gast" würde ich dann Leserechte bei beiden Gruppen und Schreibrechte (=Bedienen) nur bei Gruppe b) einräumen.

Den Visuobjekten muß ich dann entweder a) geben oder a)+b) geben, je nachdem ob er das Objekt nur sehen oder auch bedienen können soll.

Stimmt das so?

In dem Zusammenhang ist mir ein Fehler im Experten aufgefallen: Die Mehrfachselektion geht nicht. Wenn ich mehrere Elemente ausgewählt habe und die Gruppen angeklickt habe, wird die Mehrfachmarkierung nach dem Klick auf OK aufgehoben und es ist nur ein Element markiert. Und genau für dieses Element ist die Gruppeneinstellung übernommen worden; für die anderen der Mehrfachmarkierung nicht. Kennt Ihr das?

[gunnar]

Die einzige Sicherheitsmassnahme ist halt im Moment die Passwortabfrage vom HS und da weiß ich nicht wie sicher die ist.

Per Definition werden Passwörter über Port 80 unverschlüsselt - also im Klartext - übertragen. Jeder der "lauscht", kann diese mitlesen. Ein längeres Passwort erschwert zwar das zufällige/automatische Erraten von Passwörtern, verhindert aber nicht das gezielte Lauschen.

Unterstützt dein Router den Aufbau eines VPNs? Ansonsten kannst du dein Glück auch mal mit Fernwartungssoftware versuchen. Da gibt es genug, die für private Zwecke kostenfrei ist und auch durch Firewalls funktioniert. Die Sicherheit dürfte besser sein, da dort meist Verschlüsselung zum Einsatz kommt. Einfach mal bei Google suchen.

-Gunnar

[MatthiasS]

Man kann den HS auch statt mit /hs mit /shs aufrufen. Dann wird auch das Passwort verschlüsselt.

[AlexS]

Hallo,

danke für die Tips. Das Thema VPN werde ich mir wohl für den Winter aufheben. Den Aufruf /shs nutze ich schon. Mir stellte sich aber die Frage, kann man von außen die Login-Seite des HS hacken (Natürlich nicht mit einer Brute-Force-Attack, das ist klar)? Das ist eigentlich meine Hauptsorge.

[MatthiasS]

Dazu gabe es schon einen Hack-Versuch eines Security-Profis hier (oder im alten) Forum, der misslang.

[AlexS]

Das klingt ja gut. Wofür brauch ich dann noch VPN?