Benutzer

[Cavallino]

Hallo zusammen,

ich habe mich jetzt definitiv von MonoWall verabschiedet und habe OPNSense von neu auf installiert und konfiguriert. Soweit funktioniert alles super auser die Benutzer sind irgendwie unpraktisch. Main Hauptproblem ist folgendes:

Ich habe eine Gruppe admins und eine gruppe mit normalen Benutzern. Wenn ich nun für den normalen Benutzer nur die "WebCfg - System: User Manager page" freischalte und mich dann auch als normaler Benutzer in OPNSense einloge wird mir die Möglichkeit geboten die accuonts bzw. Passwörter der Admins zu ändern. Das soll doch nicht sein dass ein normaler Benutzer das Passwort des Administrators ändert. Kann mir bitte jemand helfen?

Danke schon mal

[fabian]

Vielleicht die falsche Berechtigung erwischt: "WebCfg - System: User Password Manager page".

Schaut gleichzeitig nach Arbeit aus - die Berechtigungen scheinen noch nicht übersetzt zu sein...

MfG

Fabian

[Cavallino]

Danke für die schnelle Antwort! Bedeutet das dass es ist im Moment so ist und ich muss auf ein Update warten?

Cava

[fabian]

Ich habe den Text so wie er ist aus der GUI kopiert. Bei mir gibt es diese Berechtigung (habe die aktuelle Beta am laufen aber die Berechtigung gibt es sicher auch in der aktuellen Version der Produktiv-Reihe (Stable)).

Mit Arbeit meine ich, dass hier noch Text bei der Übersetzung auf Deutsch fehlt

[wuerfel]

Jop den Punkt gibt es, such im Such/Filter-Feld mal nach "pass"

[Cavallino]

Bei mir gibt es die Berechtigung auch aber das verhindert nicht die Passwortänderung des Admins. Ja bin aus Südtirol....mein Deutsch ist nicht perfekt!

Cava

[fabian]

War auch nicht an dich gerichtet - mehr ne Notiz an mich - da ich an der Übersetzung von OPNsense arbeite - sowohl an der Übersetzung selbst als auch an den Teilen im Code und hier scheint noch etwas  zu fehlen

[Cavallino]

Achso...ja dann ok! Aber wie ist das jetzt mit der Passwortänderung? Dürfen normale Benutzer weiterhin das Admin Passwort ändern? Oder wird da noch was gemacht?

Cava

[fabian]

Sollte diese Berechtigung nicht erlauben - hast du die alte Berechtigung noch drin?

[Cavallino]

Nein, habe ich rausgenummon....aber so kann ich nur mein eigenes Passwort ändern. Ich muss neue normale Benutzer anlegen/ändern können ohne auch auf Admin zugreifen können. So wie es eben im Monowall auch war!

Cava

[fabian]

Dann weiß ich nicht ob es geht - Die Berechtigungen für die Webkonfiguration richten sich in erster Linie danach, ob man Zugriff auf eine Seite hat oder nicht.

[Cavallino]

Dann muß man da dringend was machen denn der Kunde kann sozusagen den Admin rausschmeissen und sich selbst Privilegien setzen. Das ist schlimm!

Grüße
Cava

[franco]

Hi Cava,

Es ist schlimm, und doch etwas besser als vor dem Fork. De facto hat die ACL früher niemand wirklich nutzen können. Einige Lücken wurden geschlossen, andere, wie diese, finden sich nun wo diese benutzbarer wird, z.B. durch die Einführung der Filterfunktion in der Rechteliste.

Technisch gesehen funktioniert die ACL in der Implementation wie vom System aus implementiert/gewollt: der Nutzer mit Rechten greift auf die Seite zu, und wenn er auch schreibrechte hat (die nur global verboten werden können), dann darf er auf der Seite alles tun. Sicherheitstechnisch kann man hier debattieren: automatisch findet diese Lücke keine Anwendung.

Für das Schließen dieser Lücke muss der Use-Case diskutiert werden: warum bekommt ein normaler Nutzer Zugriffsrechte auf die User-Liste? Wie viel sollte er tun können? Wieviel sollte er sehen können? Die Antworten auf die Fragen sollten so wenig Code-Modifikationen wie möglich bedeuten, da die ACL vertikal zur Seite eingesetzt wird und nicht pro Seite implementiert werden soll.

Schön wäre, wenn die ACL außer den Seiten-Rechten ein getrenntes Lese/Schreib-Recht hätte. Dann wäre schon bei der Konfiguration klar was passiert. Weitere Restriktionen könnten eher zur Entwertung von POLA führen

Möglichkeiten für Mix and Match:

o Dokumentation und Beschreibung verbessern
o ACL grundlegend verbessern (für 17.1 geplant)
o Das Editieren/Löschen von Admin Accounts verbieten
o Das Anzeigen von Admin Accounts verbieten
o Das Hinzufügen von Rechten zum eigenen User verbieten
o Die Seite trotz Konfiguration für Nicht-Admins nicht anzeigen (Bestimmt nicht kompatibel zum Use-Case, aber ein guter Fix)
o Nur Leserechte für nicht-Admins (selbes Use-Case Problem vermutlich)

Ich bitte um Feedback.


Grüße
Franco