Zertifikatssicherheit in Notes und Domino: Handlungsbedarf erkennen und gezielt beheben
Der eMudhra-Vorfall zeigt: Sichere Verbindungen brauchen gepflegte Vertrauensspeicher. Wir helfen Ihnen, betroffene Systeme zu identifizieren und notwendige Maßnahmen kontrolliert umzusetzen.
Ihre Domino-Anwendungen laufen zuverlässig. Schnittstellen tauschen Daten aus und Benutzer melden sich wie gewohnt an. Trotzdem kann eine veröffentlichte Sicherheitsmeldung unmittelbaren Handlungsbedarf auslösen. Genau das zeigt der aktuelle Vorfall rund um Zertifizierungsstellen im Umfeld von eMudhra.
Die entscheidende Frage lautet jetzt: Welche Ihrer Systeme vertrauen den fraglichen Zertifikaten? Erst eine gezielte Prüfung zeigt, welche Maßnahmen in Ihrer Umgebung erforderlich sind.
Warum funktionierende TLS-Verbindungen allein nicht genügen
TLS schützt die Übertragung von Daten. Zertifikate helfen dabei, die Identität des Kommunikationspartners zu prüfen. Dafür greifen Anwendungen auf Vertrauensspeicher mit anerkannten Zertifizierungsstellen zurück. Wird dieses Vertrauen erschüttert, müssen auch die hinterlegten Zertifikate überprüft werden.
Eine technisch erfolgreiche Verbindung belegt deshalb noch nicht, dass alle verwendeten Vertrauensanker weiterhin geeignet sind. Beim aktuellen Vorfall geht es um dieses Zertifikatsvertrauen. TLS als Verschlüsselungsverfahren ist damit nicht pauschal gebrochen.
Welche Bereiche von Notes und Domino geprüft werden müssen
HCL nennt in seiner Handlungsempfehlung Notes und Domino bis einschließlich 12.0.2 Fix Pack 8, 14.0 Fix Pack 5 sowie 14.5.1 Fix Pack 1. Maßgeblich bleiben die jeweils aktuellen Herstellerangaben zur eingesetzten Version und Plattform.
Die Prüfung umfasst mehrere Stellen:
- Java-Vertrauensspeicher: Mitgelieferte CA-Zertifikate der Java-Laufzeit müssen gemäß HCL-Anleitung bereinigt werden.
- cacert.pem: Diese Datei dient libcurl zur Prüfung vertrauenswürdiger Zertifizierungsstellen. Sie wird beispielsweise bei bestimmten LotusScript-Aufrufen, OIDC-Funktionen und DominoIQ-Verbindungen verwendet.
- Domino-Verzeichnis: Auch der von HCL benannte Comodo-Eintrag in names.nsf gehört zur Bereinigung. Replikation und gegebenenfalls lokale Client-Verzeichnisse sind zu berücksichtigen.
- Individuell ergänzte Zertifikate: Entsprechende Einträge in weiteren Speichern und in certstore.nsf müssen ebenfalls geprüft werden.
Die Details unterscheiden sich nach Betriebssystem und Laufzeit. So nennt HCL besondere Hinweise für IBM i und Notes auf dem Mac. Eine pauschale Änderung auf allen Systemen würde diesen Unterschieden nicht gerecht.
Von der Sicherheitsmeldung zum konkreten Maßnahmenplan
Wir beginnen gemeinsam mit Ihrer IT bei den tatsächlich eingesetzten Systemen. Welche Domino-Server und Notes-Clients sind vorhanden? Welche Versionsstände laufen dort? Welche Anwendungen verwenden Java oder greifen über HTTP und TLS auf andere Dienste zu?
Diese Bestandsaufnahme verbindet die Herstellerhinweise mit Ihrem Betrieb. Daraus entsteht ein Maßnahmenplan mit betroffenen Komponenten und erforderlichen Anpassungen. Zuständigkeiten und Wartungsfenster stimmen wir mit Ihnen ab.
Die von HCL genannten Zertifikate werden entsprechend der jeweiligen Anleitung entfernt. Wo bislang genutzte Verbindungen auf den fraglichen Zertifizierungsstellen beruhen, muss auch die vertrauenswürdige Zertifikatskette der Gegenstelle geklärt werden. Ein bloßes Abschalten der Zertifikatsprüfung ist keine geeignete Lösung.
Änderungen kontrolliert umsetzen und Verbindungen testen
Vor der Umsetzung sichern wir die relevanten Dateien und Konfigurationen. Erforderliche Neustarts planen wir passend zur Umgebung. Bei mehreren Servern berücksichtigen wir deren Abhängigkeiten sowie die Verteilung der Verzeichniseinträge.
Danach prüfen wir die vereinbarten Verbindungen und Anwendungen. Dazu können Anmeldungen über OIDC, ausgehende Schnittstellenaufrufe oder die Anbindung eines KI-Modells gehören. Welche Tests erforderlich sind, richtet sich nach Ihrer tatsächlichen Nutzung.
So wird sichtbar, ob die Bereinigung wie vorgesehen greift und wichtige Geschäftsprozesse weiter funktionieren. Auffälligkeiten werden dokumentiert und gezielt nachverfolgt. Die TLS-Prüfung bleibt aktiv.
Was Sie aus dem Sicherheitscheck mitnehmen
Sie erhalten einen nachvollziehbaren Überblick über die geprüften Komponenten und den festgestellten Handlungsbedarf. Umgesetzte Änderungen und Testergebnisse halten wir fest. Offene Punkte werden mit den nächsten Schritten dokumentiert.
Damit hat Ihre IT eine konkrete Grundlage für den weiteren Betrieb. Aktualisierte HCL-Hinweise und verfügbare Herstellerkorrekturen fließen in die Updateplanung ein. Auch nach späteren Aktualisierungen sollten die relevanten Vertrauensspeicher erneut kontrolliert werden.
Der aktuelle Anlass hilft zugleich, bislang wenig sichtbare Abhängigkeiten zu erfassen. Welche Anwendung nutzt welchen Vertrauensspeicher? Wer verantwortet die Schnittstelle? Diese Klarheit erleichtert auch die Reaktion auf künftige Sicherheitsmeldungen.
Jetzt den Handlungsbedarf Ihrer Umgebung klären
Möchten Sie wissen, welche Maßnahmen für Ihre Notes- und Domino-Umgebung erforderlich sind? Wir unterstützen Ihre IT von der ersten Bestandsaufnahme bis zur dokumentierten Umsetzung.
Teilen Sie uns für die erste Abstimmung Ihre Versionsstände und Betriebssysteme mit. Hilfreich sind außerdem Hinweise auf genutzte Schnittstellen und bereits durchgeführte Maßnahmen. Gemeinsam legen wir den passenden Prüf- und Umsetzungsumfang fest.
Sicherheitscheck für Ihre Notes- und Domino-Umgebung anfragen
Weiterführende Herstellerinformationen
Die technischen Schritte und plattformspezifischen Hinweise finden Sie in der aktuellen HCL-Handlungsempfehlung:
Knowledge Article View HCL – Customer Support
zurück zur Blogübersicht