Sicherheitsempfehlungen

Sollten Sie alle oder eine der Anwendungen über das Internet bereitstellen, empfehlen wir Ihnen zusätzliche Sicherheitsmassnahmen am Webserver (IIS) zu treffen, um Angriffen aus dem Internet weiter vorzubeugen. Diese müssen manuell vorgenommen werden, da sie nicht pauschal über den Mobile Manager eingerichtet werden können und immer im Zusammenhang mit einer etwaigen weiteren Nutzung des IIS betrachtet werden müssen.

Alle in diesem Abschnitt genannten Links weisen auf Webseiten, die nicht von SelectLine stammen und für deren Inhalt und Richtigkeit keine Gewährleistung übernommen wird.

Hinweis: Bitte beachten Sie, dass Sie die Änderungen gewissenhaft und unter stetiger Kontrolle der weiteren Funktionsfähigkeit der Webanwendungen durchführen. Dokumentieren Sie Ihre Änderungsschritte um sie evtl. wieder rückgängig machen zu können.

TLS 1.0 und 1.1 abschalten

Die Protokolle zur Verschlüsselung TLS 1.0 und 1.1 erfordern den Einsatz von veralteten Verschlüsselungsverfahren, die mittlerweile als unsicher gelten. Beide Verfahren sind meist standardmässig aktiviert.

Ob diese Verfahren genutzt werden, kann z.B. auf dieser Seite überprüft werden:
https://www.ssllabs.com/ssltest/index.html

Um diese zu deaktivieren kann z.B. eine der beiden Anleitungen genutzt werden:
https://blog.stueber.de/posts/tls-unter-iis-10-absichern/
https://docs.microsoft.com/de-de/windows-server/security/tls/tls-registry-settings

Automatische Weiterleitung von HTTP auf HTTPS

Um bei einem Aufruf per HTTP direkt zu HTTPS Seiter weitergeleitet zu werden, kann dies manuell eingerichtet werden. Wenn diese Weiterleitung nicht gesetzt wird, kommt man bei einem Aufruf einer der Anwendungen über HTTP auf folgende Seite:

Sofern keine Seiten über HTTP bereitgestellt werden sollen, kann z.B. folgende Anleitung dienen:
https://gridscale.io/community/tutorials/http-https-iis-windows-server/

Standardseite entfernen

Standardmässig wird der IIS mit einer Standardseite eingerichtet, die über die Root URL aufgerufen wird. Da die SelectLine Anwendungen in eigenen Unterverzeichnissen angelegt werden („/slmobile“, „/mde“, …) bleibt die Hauptseite unbesetzt und man wird auf die Standardseite weitergeleitet.

Sollte die Hauptseite nicht anderweitig genutzt werden und die Weiterleitung zu HTTPS von Punkt 3.2 nicht umgesetzt wird, kann die Standardseite entfernt werden.

Hinweis: Diese Aktion kann nicht rückgängig gemacht werden!

Öffnen Sie den IIS Manager und wählen Sie Entfernen im Kontextmenü der Default Web Site.