Alexander Speshilov (speshuric) wrote,
Alexander Speshilov
speshuric

Category:

наконец-то

Сегодня вышел релиз 8.2.13.199 платформы 1С:Предприятие 8.2. В этом релизе исправлена серьёзная проблема безопасности клиент-серверного варианта платформы (у файлового варианта нет безопасности и нет проблемы). Если совсем коротко, то проблема следующая: "Приложение «Агент сервера 1С:Предприятия» не требует авторизации от другого сервера для создания рабочего процесса." Т.е. протокол обмена между серверами предприятия, таков, что один сервер может запустить рабочий процесс на любом другом сервере (доступному по служебному порту, обычно 1540), при этом если второй сервер является центральным сервером предприятия, а первый подконтролен злоумышленнику (например, развёрнут на компьютере злоумышленника), то при типичных настройках злоумышленник получает полный доступ к базам данных.
Исплавлено следующим образом
Для рабочего сервера кластера, не являющегося центральным, в котором имеется не пустой список администраторов центрального сервера, в списке администраторов должен присутствовать администратор, у которого определена аутентификация ОС пользователя, от имени которого запущен "ragent" центрального сервера кластера или должен присутствовать администратор с именем и паролем, совпадающими с именем и паролем одного из администраторов центрального сервера кластера.
На самом деле, мне кажется это решение очень и очень спорным (начиная с того, что теперь сервер будет пытаться авторизоваться всеми своими администраторами на чужом сервере), но какое уж есть. Дополнительно следует учесть, что желательно реализовать запуск ragent и rphost от имени разных пользователей и, возможно, ограничить доступ к служебному порту сервера (1540).
Subscribe

  • Странная штука powershell...

    Странная штука powershell... Простой скрипт: $start = get-date for($i=1; $i -le 1000000; $i++){} $end = get-date ($end-$start).TotalMilliseconds #…

  • про Linux

    С IE на оперу я перелез, когда мне понадобилось сильно экономить трафик. Других достоинств у оперы нет и не было. Как появилась возможность - перелез…

  • Об эффективности отечественной государственной системы

    Только Факты: 1. Сегодня курс доллара 1$ = 28.223 (по данным rbc.ru) 2. По данным BBC: Соединенные Штаты уже потратили на участие в военной и…

  • Post a new comment

    Error

    default userpic

    Your reply will be screened

    Your IP address will be recorded 

    When you submit the form an invisible reCAPTCHA check will be performed.
    You must follow the Privacy Policy and Google Terms of use.
  • 1 comment