[RSA] OMA beveiligen

[Cai]

Situatie
Functionerende Ace/Radius server
RSA authenticatie wordt gebruikt voor VPN toegang en Outlook Web Access (OWA)

Probleem
15 gebruikers hebben Symbian S60 toestellen met Roadsync om te connecten met Outlook Mobile Access (OMA).

Roadsync wordt gebruikt met name door de (betere) ondersteuning op subfolders dan Mail for Exchange.

RSA biedt op haar site software tokens aan, maar dit zijn puur digitale versie van de hardware tokens.

Het gevolg is dat OWA beveiligd is door een SSL certificaat en RS authenticatie, maar OMA te benaderen is door windows username/wachtwoord.

Op deze manier is het redelijk een wassen neus om OWA te beveiligen.

Wij zoeken dus ook een oplossing om de beveiliging voor OMA op te schroeven.

[Cai]

*schop*

[Cai]

Laatste poging, in de tussentijd flink gezocht, maar ik kan niks vinden. Dit topic staat 2e in de google search op RSA en OMA

[Verwijderd]

Publish je via een ISA server?

[ Voor 81% gewijzigd door Verwijderd op 23-12-2008 13:21 ]

[Cai]

Verwijderd schreef op dinsdag 23 december 2008 @ 13:18:
Publish je via een ISA server?

Waar het mij om gaat is het volgende. We beveiligen Owa dusdanig dat Bruce Force aanvallen, Sniffen, e.d. geen zin hebben. Immers het wachtwoord wijzigt elke minuut. Maar Oma is beveiligd met een 'standaard' wachtwoord. Hier zit dan meteen de zwakke schakel. En uiteindelijk is dezelfde data te verkrijgen.

Is er een methode naast SSL encryptie en verplichte lock op telefoons om Mobile Access dicht te gooien.

De firewall detecteerd Brute-Force aanvallen vanaf 1 IP, maar niet vanaf bijvoorbeeld een zombie netwerk (hoe groot is de kans dat, maar als er methodes zijn)

[pennenlikker]

Ik snap je probleem niet, je hebt toch een certificaat die je wachtwoord, ook voor OMA encrypt met een 128.256 bits encryptie.
Iets wat met sniffen bijna onmogelijk is om te hacken, wat wil je nu precies?

En lees bijvoorbeeld eens deze wiki als je twijfelt over de beveiliging hiervan. je hebt 15 gebruikers met een wachtwoord, die moet je toch toe kunnen vertrouwen dat ze die niet kwijtraken of doorgeven aan andere.

Of even erbij zeggen dat als er iets gebeurt, dat ze dit gelijk melden bij jou.

[DataGhost]

pennenlikker schreef op zondag 28 december 2008 @ 14:18:
gebruikers met een wachtwoord

kees/fikkie
Dit is nog steeds bruteforce te kraken, zeer makkelijk zelfs. TS wil vooral dat dit soort aanvallen onmogelijk worden, iets wat met OWA al werkt maar compleet overbodig wordt gemaakt door OMA. Encryptie voegt helemaal niks toe bij het beveiligen tegen een bruteforce-aanval.

[ Voor 10% gewijzigd door DataGhost op 28-12-2008 14:27 ]

[Verwijderd]

Zoals ik het begrijp heb jij de RSA software geinstalleerd op de Exchange server of niet?

Je hebt een punt. Ik snap wat je bedoelt, maar als je gaat publishen via een ISA server en daarop de RSA software installeerd dan moeten de gebruikers ten alle tijden hun RSA token code en pin invoeren?

[alt-92]

Volgens mij is het probleem van de topicstarter ook niet dat de RSA tokens niet werken (want dat doen ze wel op de OWA interface) maar dat de OMA interface by design hier gewoon niet aan mee lijkt te werken.
die is ook bedoeld voor de meest simpele telefoons (mijn oude 6210 met enkel WAP doet het op OMA nog, en ik gok er zomaar op dat die niks met een RSA token prompt aankan).

Welke Exchange versie hebben we het eigenlijk over? Dat mist hier in het verhaal nogal

[pennenlikker]

Ow bedoel je dat... Voor 15 gebruikers zou ook de gebruikers een 10+ character wachtwoord kunnen geven en een audit/event trigger aanzetten op je exchange/oma log.

Eventtriggers is een command tooltjuh, erg handig in sommige gevallen. Niet echt de oplossing hier, maar als je er echt niet uit komt kan dit altijd nog natuurlijk.

[Qwerty-273]

Als je al RSA gebruikt lijkt mij het doorlopen an de documentatie voldoende, daar wordt namelijk over gesproken om met een RSA SecureID token het gebruik van de mobile toegang te beveiligen. Zie bijvoorbeeld deze voor de voorlooper van oma, Mobile Information Server 2002 rsa mis pdf of deze pdf om oma te beveiligen op exchange 2003 icm een RSA ACE/Server.
Geen idee of Roadsync op je telefoons dit ondersteunt maar lijkt me een kwestie van uitproberen.