Blockieren Sie Cookie-Wiederholungsangriffe in Dataverse

  • Artikel

Verhindern Sie Sitzungs-Hijacking-Exploits in Dataverse mit IP-Adressen-basierter Cookie-Bindung. Angenommen, ein böswilliger Benutzer kopiert ein gültiges Sitzungscookie von einem autorisierten Computer, auf dem die Cookie-IP-Bindung aktiviert ist. Der Benutzer versucht dann, das Cookie auf einem anderen Computer zu verwenden, um sich unbefugten Zugriff auf Dataverse zu verschaffen. In Echtzeit vergleicht Dataverse die IP-Adresse des Ursprungs des Cookies mit der IP-Adresse des anfragenden Computers. Wenn die beiden unterschiedlich sind, wird der Versuch blockiert und eine Fehlermeldung angezeigt.

IP-basierte Cookie-Bindung ist nur verfügbar für Verwaltete Umgebungen über alle Mandanten hinweg, einschließlich Regierungs-Clouds. Sie können diese Funktion im Power Platform Admin Center aktivieren.

  1. Melden Sie sich als Administrator beim Power Platform Admin Center an.

  2. Wählen Sie Umgebungen und dann Ihre Umgebung aus.

  3. Wählen Sie Einstellungen>Produkt und dann Sicherheit und Datenschutz aus.

  4. Wählen Sie unter IP-Adresseinstellungen die Option IP-Adress-basierte Cookie-Bindung aktivieren.

  5. Wählen Sie Speichern.

Die IP-basierte Cookiebindung legt den IP-Adressanspruch im Sitzungscookie fest. Jede Anfrage wird ausgewertet, um die aktuelle IP-Adresse mit der Quell-IP-Adresse zu vergleichen, die bei der Erstellung des Cookies im Cookie gespeichert wurde. Wenn die Adressen nicht übereinstimmen, wird dem Benutzer der Zugriff verweigert.

Szenarien, in denen Benutzenden aufgefordert werden, sich erneut zu authentifizieren

  • Wenn ein VPN-Client ein- oder ausgeschaltet wird
  • Beim Verbinden mit einem drahtlosen Hotspot
  • Wenn die Internetverbindung vom Internetdienstanbieter zurückgesetzt wird
  • Wenn ein Router zurückgesetzt oder neu gestartet wird

So testen Sie die Funktion

  1. Löschen Sie alle Cookies aus dem Browser. Dieser Schritt ist wichtig, um sicherzustellen, dass ein neues Cookie generiert wird.

  2. Melden Sie sich bei einer Dynamics 365-Umgebung an, in der die IP-basierte Cookiebindung aktiviert ist.

  3. Verwenden Sie ein Client-Tool wie Fiddler, um das Sitzungscookie zu kopieren.

  4. Senden Sie eine Anforderung von einem anderen Computer (außerhalb des ursprünglichen Netzwerks) und verwenden Sie dabei das zuvor erhaltene Sitzungscookie. Als Antwort sollten Sie einen HTTP-403-Fehler.

Ausschlüsse

  • Wenn der Benutzende sich von derselben IP-Adresse aus mit dem alten, gültigen Cookie mit Dataverse verbindet, akzeptiert Dataverse das Cookie.
  • Wenn der Datenverkehr zwischen Ihrem Netzwerk und Power Platform so konfiguriert ist, dass ein Reverse-Proxy mit dynamischer IP-Adresse verwendet wird, funktioniert die IP-basierte Cookie-Bindung nicht.

Häufig gestellte Fragen

Ist diese Funktion in Dataverse verfügbar?

Die Cookie-IP-Bindung ist für das CrmOwinAuth-Cookie in der einheitlichen Benutzeroberfläche verfügbar.

Wie schnell wird die Änderung wirksam, nachdem sie im Power Platform Admin Center vorgenommen wurde?

Die Änderung wird normalerweise in etwa fünf Minuten wirksam.

Funktioniert diese Funktion in Echtzeit?

Die Funktion wertet das Cookie in Echtzeit aus, mit Ausnahme der anfänglichen Anforderung, die nach der Aktivierung der Funktion gestellt wird.

Ist diese Funktion standardmäßig in allen Umgebungen aktiviert?

Standardmäßig ist die Funktion zur Cookie-IP-Bindung deaktiviert. Administratoren müssen sie im Power Platform Admin Center aktivieren.