Erste Schritte zum 7-Stufen-Aktionsplan „EFTA“ im Gange.

Wie in unserer Vorschau Update 7A – Fokus auf Sicherheit versprochen, haben wir heute Update 7A – Alpha veröffentlicht. Es dreht sich alles um Sicherheit. Lesen Sie weiter, um mehr über die hinzugefügten Funktionen, die 5 wichtigsten zu berücksichtigenden Punkte sowie die Maßnahmen zu erfahren, die Sie ergreifen müssen! Und schließlich, wenn Sie die aktuell veröffentlichte Desktop-App für Update 7 verwenden, gibt es einige bekannte Einschränkungen. Lesen Sie weiter!

Hashing der Passwörter

In Anbetracht der Notwendigkeit, diese bewährte Vorgehensweise in Update 7A anzugehen, und als Teil unseres kontinuierlichen Engagements zur Verbesserung und Erweiterung unserer Produktsicherheitsfunktionen, werden in diesem Update alle Webpasswörter im System gehasht. Dies bedeutet, dass eine Konvertierung durch den Systemdienst durchgeführt wurde, der alle aktuellen Passwörter erhält und sie hasht. Aus praktischer Sicht können sich Benutzer weiterhin mit ihrem aktuellen Passwort anmelden. Wir empfehlen jedoch, das Passwort regelmäßig zu ändern.

Wie wir in unserem vorherigen Blogeintrag beschrieben haben, gilt das Hashing von Passwörtern derzeit nur für die Webclient-Anmeldung. Aus Gründen der Abwärtskompatibilität hashen wir die SIP-Authentifizierungs-ID und das Passwort, die SIP-Trunk- und Gateway-Passwörter oder die Tunnelpasswörter nicht. Wenn sie gehackt werden, können diese Zugangsdaten nur verwendet werden, um Anrufzugriff auf die Telefonanlage zu erhalten. Sie können nicht dazu verwendet werden, sich bei der Telefonanlage anzumelden. In zukünftigen Builds werden wir diese Passwörter jedoch auch hashen.

Entfernen des Passworts und der Konfigurationsdatei aus der Willkommens-Email

Zuvor enthielt die Willkommens-Email das Webclient-Passwort – und wie erwähnt die Konfigurationsdatei für die Provisionierung der alten App. Zusammen mit der Konfigurationsdatei wurde auch das Webclient-Passwort aus der Willkommens-Email entfernt. Das bedeutet, dass Sie einige wichtige Schritte unternehmen müssen:

  1. Legen Sie VOR der Anmeldung Ihr Benutzerpasswort fest
  2. Verwenden Sie den QR-Code, um Ihre Android- und/oder iOS-App zu provisionieren

Einschränken des Webclient-Web-Admin-Zugriffs nach IP

Der Zugriff für die Managementkonsole konnte bereits eingeschränkt werden über die IP. Jetzt können Sie dies jedoch auch für Systemadministratoren tun, die Zugriff auf den Admin-Bereich im Webclient haben.

BLF-Ansicht hinzugefügt im Dialer des Webclients & PWA

BLF PWA Web Client

Obwohl es sich nicht um ein Sicherheitsfeature an sich handelt, wurde das Fehlen des BLF-Features in der PWA als Hauptgrund dafür angeführt, es nicht zu verwenden. Um dies zu beheben, haben wir die BLF-Ansicht im Dialer des Webclients und der PWA hinzugefügt. Wie wir besprochen haben, ist die PWA einfacher zu warten und zu sichern, daher ist sie immer noch sehr zu empfehlen.

Aus praktischer Sicht ahmt diese Funktion ein Tischtelefon nach, das BLFs ähnlich einem Tischtelefon zeigt. Es wird nicht nur der Status eines Benutzers angezeigt, sondern ermöglicht auch einfache Transfers mit einem Klick. Wenn Sie ein Administrator sind, können Sie BLFs für alle Benutzer konfigurieren, indem Sie auf „Admin > Benutzer > Benutzer hinzufügen/bearbeiten“ und dann auf die Registerkarte „BLF-Taste“ gehen. Wenn Sie ein Benutzer sind, konfigurieren Sie Ihre eigenen BLFs, indem Sie zu „Einstellungen > BLF-Taste“ gehen.

Bitte beachten! 5 wichtige Punkte

Wir haben 5 wichtige Dinge für Sie, die Sie beachten und befolgen sollten. Hier mehr Details:

  • Bevor Sie Ihre TK-Anlage aktualisieren, stellen Sie sicher, dass Sie ein Backup erstellen. Sobald das Update abgeschlossen ist, werden alle Passwörter gehasht und sind nicht mehr zugänglich. Benutzer können sich mit ihrem aktuellen Passwort anmelden, aber wie gesagt, wir empfehlen, es regelmäßig zu ändern!
  • Wir haben die Begrüßungs-Emails aktualisiert, um die Funktion „Passwort setzen/zurücksetzen“ zu unterstützen. Wenn Sie eine benutzerdefinierte Email-Vorlage verwenden, müssen Sie diese anpassen, damit sie die neuen Variablen enthält.
  • Wir haben die Option „Konfiguration anfordern“ aus den Webclient-Einstellungen entfernt. Sie können nun im Anmeldebildschirm „Passwort vergessen“ auswählen.
  • Aufgrund von Passwort-Hashing können wir nicht mehr wissen, ob ein Passwort sicher ist oder nicht. Das bedeutet, dass die alte Warnung „schwaches Passwort“ aus dem Produkt entfernt wurde.
  • Alle unsere Builds wurden mit VirusTotal verglichen. Seit gestern, dem 24. April 2023, gibt es null (0) Erkennungen.

Desktop Electron App nicht aktualisiert in Build-Nummer 18.12.425

Sie werden sich erinnern, dass die Update 7 Windows Electron App von unseren Beratern Mandiant überprüft wurde, die keine Hinweise auf eine Kompromittierung fanden. In dieser Version wird die Desktop Electron App jedoch nicht gepusht. Dies bedeutet, dass, wenn Sie die aktuell veröffentlichte Desktop-App für Update 7 verwenden, diese weiterhin funktioniert, jedoch mit Einschränkungen. Hier ist eine Zusammenfassung dessen, was Sie erwarten können:

  • Auch wenn aktiviert, ist die Konsoleneinschränkung /Admin nicht zugänglich
  • Sie können keine Dateien für die Windows-App auf der Seite „Apps“ herunterladen
  • Die Funktion „Passwort ändern“ funktioniert nicht, auch wenn sie global aktiviert ist

Geplante Fixes Update 7A BETA

  • Aufgrund einiger Updates im Zusammenhang mit unseren internen Packages funktioniert der Webclient in Safari nicht.
  • Bei der Überprüfung der 3CX PWA wurde ein Fehler gefunden, bei dem je nach verwendetem Browser das Chrome- oder Edge-Logo unter dem Avatar bei einem neuen Benutzer zum ersten Mal nicht angezeigt wird, wenn er sich einloggt. Das bedeutet, dass der Benutzer die PWA nicht installieren kann.

So erhalten Sie Update 7A Alpha

Benutzer können wie folgt auf das Update zugreifen:

  • Nutzer von Windows und Linux Debian 10
    • Melden Sie sich bei Ihrer Verwaltungskonsole an
    • Update auf „New 18.0 Update 7A Alpha Security“

StartUP-Nutzer, aktuelle NFRs, Testversionen und kommerzielle Instanzen, die auf 3CX Hosted ausgeführt werden, werden (außerhalb der konfigurierten Geschäftszeiten) aktualisiert, wenn U7A Final veröffentlicht wird.

Sehen Sie sich hier das vollständige Changelog an.

Bleiben Sie informiert

Folgen Sie auf Twitter und LinkedIn, um Blog-Updates zur Beta-/Finalversion von Update 7A am schnellsten zu erhalten.