Alfresco en Internet y Seguridad

[vlopez]

Saludos a todos.

Estamos estudiando la posibilidad de utilizar Alfresco como repositorio en Internet para colgar información protegida. El repositorio debe estar disponible para clientes que intercambiaran documentación.
Mis preguntas son ¿cómo establecemos la seguridad?, ¿es a nivel de Alfresco?, ¿a nivel de sistema?. ¿Dónde puedo encontrar información al respecto?

[venzia]

Hola tini! .. a ver .. vamos por puntos :
La seguridad deberías aplicarla en cada uno de los elementos que componen la arquitectura .. a saber :
1-A nivel de sistema configurando las cuentas de usuario correctamente (permisos, procesos que ejecutan, claves "fuertes"), el firewall (e iptables en linux).
2-A nivel de BD configurando la cuenta de usuario q se conecta a Alfresco (establecer una clave "fuerte") y delimitar esta conexion para ips concretas.
3-A nivel de tomcat una buena practica en seguridad puede ser establecer una conexion SSL cliente/servidor (es decir .. para que un cliente pueda conectarse a Alfresco debera tener el certificado de servidor en el almacen de certificados para autoridades de confianza y por otro lado poseer uno de cliente emitido por la misma autoridad que sera solicitado al apuntar a la url de Alfresco).
4-A nivel de aplicación Alfresco .. en este sentido con establecer claves "fuertes" para los usuarios sera mas que suficiente.

*claves "fuertes" -> aquellas formadas por una serie de 8 caracteres alfanumericos como minimo y que no pertencen a ningun diccionario.
No se si se me escapa algo.
Este entorno es extremadamente seguro siempre y cuando los usuarios sepan mantener protegido su equipo (y es que esto de la seguridad siempre depende en ultima instancia de las buenas practicas del usuario).

[vlopez]

Gracias Javier, como siempre rápido.

Me quedó muy claro. En resumen podemos decir que la seguridad para la instalación que se pretende está basada más en un sistema (Linux, TOMCAT, MySQL, etc.) seguro con soporte SSL, que en el propio Alfresco. En Alfresco en este caso tan sólo debemos tener en cuenta la generación de clave y el "comportamiento de los usuarios" (eso agujeros negros de la seguridad… :lol: ).

Gracias de nuevo.

[psantis]

Hola,

te suguiero que no expongas la jvm directamente a internet, como sugerencia ponle un apache en frente para que cumpla la funcion de front end, adicionalmente puedes activar el mismo apache para que utilice certificados ssl y asi tendrias un sitio para internet con https, si estas en linux puedes crear el certificado tu mismo

[unknown-user]

Hola, he escrito un artículo sobre consejos básicos de seguridad en Alfresco que contempla algunos de los puntos vistos en este hilo, hago, copy-paste de http://blyx.com, posiblemente sean demasiado obvios pero, por algún punto hay que empezar no

   1. No uses la contraseña de administrador por defecto (admin/admin), debe ser lo primero que cambies al acceder por primera vez a Alfresco. Incluso puedes crear un usuario super administrador diferente a admin. A partir de la versión 3.1 puedes añadir tantos administradores como quieras en el grupo ALFRESCO_ADMINISTRATORS (vía Alfresco Explorer).
   2. No uses el usuario y contraseña de base de datos por defecto. Como sabes, se usa usuario alfresco, contraseña alfresco y base de datos alfresco, para tenerlo en local está bien, pero no lo uses en un servidor, la salud de tu Alfresco depende de ello.
   3. Nunca ejecutes Alfresco con un super usuario (root). Crea un usuario específico para levantar la aplicación. También recuerda que al repositorio físico (alf_data), índices y a la base de datos sólo debe acceder el usuario que levante la aplicación alfresco o el usuario que conecta a la base de datos, restringe acceso a cualquier otro usuario para evitar inconsistencias en BBDD y/o repositorio.
   4. Usa un firewall como IPtables en la máquina donde está instalado Alfresco para hacer portforward de los puertos inferiores al 1024.
   5. Usa un Apache y ProxyPass para proteger tu servidor de aplicaciones, no expongas tu servidor de aplicaciones. Esta configuración de Apache te puede servir de ejemplo, yo uso un fichero llamado alfresco.conf en /etc/httpd/conf.d/ (RedHat, CentOS y derivados):captura-de-pantalla-2009-11-09-a-las-114605
   6. Revisa los logs de Apache y del servidor de aplicaciones continuamente (en Apache el access_log y el error_log así como sus variantes SSL). En cuanto a Alfresco, recuerda que existe el log4j.properties y te permite investigar cualquier evento que ocurra en Alfresco.
   7. Protege los accesos y autenticaciones con SSL. Esto se consigue, por ejemplo, instalando el módulo de Apache mod_ssl, de esa forma las conexiones serán seguras (independientemente si se accede desde Internet o Intranet). Además también aseguras las conexiones vía Webdav. Recuerda que accediendo por FTP las contraseñas viajan en claro.
   8. Cuidado con los permisos y roles heredados en Alfresco, pueden ser un problema. Recuerda que en Alfresco el protagonista es el contenido, es en él donde hay que aplicar los permisos.
   9. Aprovecha el encadenamiento (chaining) que soporta Alfresco en la autenticación y deja siempre para el final la autenticación con la BBDD local, sobre todo si no puedes acceder al LDAP de turno y quieres usar el usuario admin.
  10. Realiza backup del repositorio y la base de datos todos los días, ya sea en frío (parando Alfresco) o en caliente, haciendo backup de la base de datos e inmediatamente del repositorio (en este orden). También puedes usar la aplicación de copia de seguridad de Intecna (ver repositorio de software libre de la Junta de Andalucía).

[vlopez]

Muchas gracias tanto a psantis como a toni.
Estoy afinando la instalación para acceder a Alfresco a través de Apache con SSL.
Iré contando conforme avance.
Saludos.