Passwort zur Anmeldung

100%

SmartNotes speichert die Passwörter der Benutzer in der Datenbank. Die Umwandlung des Passworts in einen Schlüssel erfolgt mit dem Password-Based Key Derivation Function 2 (PBKDF2) Verfahren. Die Beschreibung des angewandten Algorithmus ist hier zu finden.

Kommunikation zwischen Client- und Server-Anwendung

100%

Der Kommunikationskanal wird mit dem asymmetrischen kryptographischen Verfahren RSA aufgebaut. In dem sogenannten Handshake zu Beginn der Kommunikation wird dabei ein Schlüssel zwischen Client und Server ausgehandelt, welcher im Anschluss für die symmetrische Verschlüsselung mit Advanced Encryption Standard (AES) verwendet wird. AES verwendet eine definierte Schlüssellänge von 256 Bit. Bei RSA wird eine Schlüssellänge von 3072 Bit verwendet.

Diese Schlüssel können derzeit nicht über ein Zertifikat festgelegt werden. Wird Single-Sign-On in Verbindung mit Kerberos eingesetzt, so wird der Kerberos Token verwendet, um den AES Schlüssel auszutauschen.

Zertifikat (Ab Version 2.8.1.287 bzw. > 2.9.0.88)

Als weitere Möglichkeit der Verschlüsselung haben wir für Kunden mit einem SmartNotes Server außerhalb des eigenen Firmennetzwerks die Verschlüsselung per SSL implementiert.

Client und Server müssen sich hier mit einem gültigen Zertifikat authentifizieren und die Daten werden per SSL verschlüsselt.

Um die SSL Verschlüsselung zu aktivieren, müssen in der Server und Client Config die Schlüssel UseSslForEncryption, SslServerAuthenticationX509CertificateSubjectName und SslClientAuthenticationX509CertificateSubjectName hinterlegt und die entsprechenden Client / Server Zertififikate auf den jeweiligen Maschinen installiert werden.

Zur Umsetzung und bei Fragen wenden Sie sich gerne an unseren Support.

SQL Serververschlüsselung

Zwar ist die Verschlüsselung ein wertvolles Mittel, Sicherheit zu gewährleisten, sollte jedoch nicht für alle Daten oder Verbindungen verwendet werden. Bevor Sie sich dafür entscheiden, Verschlüsselung zu verwenden, prüfen Sie, wie Benutzer auf die Daten zugreifen. Wenn Benutzer über ein öffentliches Netzwerk auf Daten zugreifen, könnte die Datenverschlüsselung die Sicherheit erhöhen. Wenn sich aber der gesamte Zugriff innerhalb einer sicheren Intranetkonfiguration abspielt, ist eine Verschlüsselung möglicherweise nicht erforderlich. Jede Verwendung der Verschlüsselung sollte auch eine Wartungsstrategie für Kennwörter, Schlüssel und Zertifikate einschließen.

CloudEncryption