Vergleichsreport

Passwort-Qualitäts-Kriterien

Die Qualitätskriterien für die Passwörter können über die Systemparameter (Spring Beans Konfiguration) eingestellt werden. Folgende Qualitäts-Kriterien existieren (siehe Klasse PoPasswordQuality):

validityDays - die Anzahl Tage, nach der das Passwort geändert werden muss.

minimalLength - die gesamte minimale Länge

requiresUpperAndLowerCharacters - wenn true müssen sowohl klein- wie auch grossgeschriebene Zeichen vorkommen

minimalDigitsCount - minimale Anzahl Ziffern

Password quality criteria

The quality criteria for passwords can be set via the system parameters (Spring beans configuration). The following quality criteria exist (see class PoPasswordQuality):

• validityDays - the number of days after which the password must be changed.
• minimalLength - the total minimum length
• requiresUpperAndLowerCharacters - if true, both lowercase and uppercase characters must occur
• minimalDigitsCount - minimum number of digits "0-9"
• minimalSpecialCharactersCount - minimale Anzahl spezieller Zeichen wie minimum number of special characters such as "@" oder or "!"
• numberOfDifferingLatestPasswords - minimale Anzahl von verschiedenen Passwörtern, bis eines wiederholt werden darf
• resetPasswordTokenValidityInHours - Gültigkeit (in Stunden) des Links, den der Benutzer per E-Mail zum Setzen eines neuen Passworts erhält

Für einzelne Mandanten können die minimale Länge, Groß- und Kleinbuchstaben, die Mindestanzahl von Ziffern und Sonderzeichen, die Anzahl unterschiedlicher Passwörter und die Gültigkeit des Reset-Links in den Passwort-Einstellungen des Mandanten abweichend festgelegt werden. Ein dort gesetzter Wert hat Vorrang vor dem Systemparameter. Dort kann außerdem die 2-Faktor-Authentifizierung für alle Benutzer des Mandanten erzwungen werden ("2-Faktor Authentifizierung erzwingen").

Will man den Ablauf von Passwörtern generell deaktivieren, so stellt man die validityDays auf den Wert -1

Für die Passwortverwaltung relevante Systemparameter:

Modul

Bean Eigenschaft

Erklärung

Wert(e)

po

PoPasswordQuality

minimalDigitsCount

notwendige Anzahl der Ziffern im neuen Passwort

Zahl einzugeben (z.B. 4; Standard: 0)

po

PoPasswordQuality

minimalLength

die minimale Länge (Zeichen) des neuen Passworts

Zahl einzugeben (z.B. 6; Standard: 0)

po

PoPasswordQuality

minimalSpecialCharactersCount

notwendige Anzahl spezieller Zeichen wie "@" oder "!" im neuen Passwort

Zahl einzugeben (z.B. 2; Standard: 0)

po

PoPasswordQuality

numberOfDifferingLatestPasswords

minimale Anzahl von verschiedenen Passwörtern, bis ein vorheriges Passwort wiederverwendet werden darf

Zahl einzugeben (z.B. 3; Standard: 0)

po

PoPasswordQuality

requiresUpperAndLowerCharacters

wenn true, müssen sowohl klein- wie auch großgeschriebene Zeichen im neuen Passwort vorkommen

"true" oder "false" (Standard: false)

po

PoPasswordQuality

validityDays

die Anzahl Tage, nach der das Passwort geändert werden muss. Nach Ablauf wird der Benutzer bei der Anmeldung aufgefordert, ein neues Passwort zu setzen.

Ist diese Zahl -1, so müsssen die Passwörter NIE geändert werden. Der Wert 0 ist nicht vorgesehen (kleinster sinnvoller Wert: 1).

Tagesanzahl einzugeben (z.B. 30; Standard: 30)

po

PoPasswordQuality

resetPasswordTokenValidityInHours

Gültigkeit in Stunden des Links, den der Benutzer per E-Mail zum Setzen eines neuen Passworts erhält ("Passwort vergessen?", Ersteinrichtung des Passworts für neue Personen)

Zahl einzugeben (Standard: 24)

po

AuthenticationOptions

allowPasswordResetByUser

Auswahl, ob auf der Anmeldeseite der Link "Passwort vergessen?" angeboten wird. Der Benutzer erhält dann eine Mail (PoPasswordResetMail) mit einem Link, über den er selbst ein neues Passwort setzt.

"true" oder "false" (Standard: true)

po

AuthenticationOptions

maxNumberOfFailedLoginAttempts

Anzahl fehlgeschlagener Anmeldeversuche innerhalb von maxNumberOfSecondsBetweenFailedLoginAttempts Sekunden, nach der der Benutzer gesperrt wird; er erhält darüber eine Mail (Bean PoLockUserMail). Über "Passwort vergessen?" kann er ein neues Passwort setzen und wird damit wieder entsperrt. 0 = keine Sperre.

Zahl einzugeben (z.B. 5; Standard: 0)

po

AuthenticationOptions

maxNumberOfSecondsBetweenFailedLoginAttempts

Zeitraum in Sekunden, in dem die fehlgeschlagenen Anmeldeversuche gezählt werden

Zahl einzugeben (Standard: 60)

po

AuthenticationOptions

allow2ndFactorPerUser

Auswahl, ob Benutzer in ihren Sicherheitseinstellungen die 2-Faktor-Authentifizierung selbst aktivieren bzw. deaktivieren können. Ist beim Mandanten "2-Faktor Authentifizierung erzwingen" aktiviert, gilt sie für alle Benutzer des Mandanten.

"true" oder "false" (Standard: false)

po

PoPasswordNewPersonCreated

explicitRecipient

Empfänger der Mail für die Ersteinrichtung des Passworts, falls nicht die für die Person gepeicherte E-Mail verwendet werden soll

E-Mail Adresse (z.B. empfänger@workflow.at)

po

PoPasswordNewPersonCreated

senderMailAddress

die als Absender für die Willkommens-Mail einzusetzende Mail-Adresse

E-Mail Adresse (z.B. welcome@workflow.at; Standard: office@workflow.at)

po

PoPasswordNewPersonCreated

subject

Betreff-Zeile der E-Mail zur Ersteinrichtung des Passworts

Freitext (z.B

• minimum number of different passwords before one may be reused
• resetPasswordTokenValidityInHours - validity (in hours) of the link that the user receives by e-mail for setting a new password

For individual clients, the minimum length, uppercase and lowercase letters, the minimum number of digits and special characters, the number of different passwords and the validity of the reset link can be set differently in the client's password settings. A value set there takes precedence over the system parameter. There, two-factor authentication can also be enforced for all users of the client ("Enforce two-factor authentication").

If you want to deactivate password expiry in general, set validityDays to the value -1

System parameters relevant to password management:

E-Mail Adresse (z.B. empfänger@workflow E-Mail Adresse (z.B Freitext (z.B Freier Mailtext, z.B Auswahl, ob eine Passwortänderung nach dem Zurücksetzen des Passworts durch den Administrator zwingend erforderlich ist (true = ja Freitext, Eingabe eines Standard-Passworts (z.B

Module	Bean	Property	Explanation	Value(s)
po	PoPasswordQuality	minimalDigitsCount	required number of digits in the new password	Enter a number (e.g. 4; default: 0)
po	PoPasswordQuality	minimalLength	the minimum length (characters) of the new password	Enter a number (e.g. 6; default: 0)
po	PoPasswordQuality	minimalSpecialCharactersCount	required number of special characters such as "@" or "!" in the new password	Enter a number (e.g. 2; default: 0)
po	PoPasswordQuality	numberOfDifferingLatestPasswords	minimum number of different passwords before a previous password may be reused	Enter a number (e.g. 3; default: 0)
po	PoPasswordQuality	requiresUpperAndLowerCharacters	if true, both lowercase and uppercase characters must occur in the new password	"true" or "false" (default: false)
po	PoPasswordQuality	validityDays	the number of days after which the password must be changed. After expiry, the user is asked at login to set a new password. If this number is -1, passwords must NEVER be changed. The value 0 is not intended (smallest sensible value: 1).	Enter the number of days (e.g. 30; default: 30)
po	PoPasswordQuality	resetPasswordTokenValidityInHours	Validity in hours of the link that the user receives by e-mail for setting a new password ("Forgot password?", initial setup of the password for new persons)	Enter a number (default: 24)
po	AuthenticationOptions	allowPasswordResetByUser	Selection of whether the "Forgot password?" link is offered on the login page. The user then receives a mail (PoPasswordResetMail) with a link through which they set a new password themselves.	"true" or "false" (default: true)
po	AuthenticationOptions	maxNumberOfFailedLoginAttempts	Number of failed login attempts within maxNumberOfSecondsBetweenFailedLoginAttempts seconds after which the user is locked; the user receives a mail about this (bean PoLockUserMail). Via "Forgot password?" the user can set a new password and is thereby unlocked again. 0 = no lockout.	Enter a number (e.g. 5; default: 0)
po	AuthenticationOptions	maxNumberOfSecondsBetweenFailedLoginAttempts	Period in seconds in which the failed login attempts are counted	Enter a number (default: 60)
po	AuthenticationOptions	allow2ndFactorPerUser	Selection of whether users can activate or deactivate two-factor authentication themselves in their security settings. If "Enforce two-factor authentication" is activated for the client, it applies to all users of the client.	"true" or "false" (default: false)
po	PoPasswordNewPersonCreated	explicitRecipient	Recipient of the mail for the initial setup of the password, if the e-mail stored for the person is not to be used	E-mail address (e.g. recipient@workflow.at)
po	PoPasswordNewPersonCreated	senderMailAddress	the mail address to be used as sender for the welcome mail	E-mail address (e.g. welcome@workflow.at; default: office@workflow.at)
po	PoPasswordNewPersonCreated	subject	Subject line of the e-mail for the initial setup of the password	Free text (e.g. "You need to setup your Webdesk password")
po	PoPasswordNewPersonCreated	templateBody	Mail -Text für neue Personen in Webdesk zur Ersteinrichtung des Passworts. Kann die Variablen text for new persons in Webdesk for the initial setup of the password. Can contain the variables $person.firstName und and $person.lastName enthalten. Der Text muss den Link zum Setzen des Passworts mit der Variable $resetId enthalten (z.B. The text must contain the link for setting the password with the variable $resetId (e.g. <Webdesk-URL>/changepassword?resetId=$resetId).	Freier Mailtext (der Standardtext enthält noch keinen Link und muss angepasst werden Free mail text (the default text does not yet contain a link and must be adapted)
po	PoPasswordResetMail	explicitRecipient	Empfänger der Mail zur Passwortänderung, wenn nicht die für die Person gepeicherte E-Mail genommen werden soll	Recipient of the password change mail, if the e-mail stored for the person is not to be used	E-mail address (e.g. recipient@workflow.at)
po	PoPasswordResetMail	senderMailAddress	die als Absender einzusetzende Mail-Adresse	the mail address to be used as sender	E-mail address (e.g. password-service@workflow.at; Standarddefault: office@workflow.at)
po	PoPasswordResetMail	subject	Betreff-Zeile der Mail	Subject line of the mail	Free text (e.g.: "Your Webdesk password has been reset")
po	PoPasswordResetMail	templateBody	Mail -Text; die Mail enthält kein Passwort, sondern einen Link, über den der Benutzer ein neues Passwort setzt. Der Text muss den Link mit der Variable $resetId enthalten und kann $person.xxx (Personen-Daten) enthalten.	text; the mail contains no password, but a link through which the user sets a new password. The text must contain the link with the variable $resetId and can contain $person.xxx (person data).	Free mail text, e.g.: Dear $person.firstName $person.lastName, please click this link to set a new password: <Webdesk-URL>/changepassword?resetId=$resetId (der Standardtext enthält noch keinen Link und muss angepasst werden)	po	PoPasswordResetPolicy	forcePasswordChangeAfterReset	the default text does not yet contain a link and must be adapted)
po	PoPasswordResetPolicy	forcePasswordChangeAfterReset	Selection of whether a password change is mandatory after the administrator has reset the password (true = yes)	"true" oder or "false" (Standarddefault: true)
po	PoPasswordResetPolicy	forcePasswordChangeAfterResetToRandomPassword	Ohne Wirkung: Beim Zurücksetzen per E-Mail-Link ("Passwort vergessen?") wird kein Zufallspasswort mehr vergeben, der Benutzer setzt über den Link selbst ein neues PasswortHas no effect: When resetting via e-mail link ("Forgot password?"), a random password is no longer assigned; the user sets a new password themselves via the link.	"true" oder or "false" (Standarddefault: false)
po	PoPasswordResetPolicy	standardResetPassword	Standard-Passwort, auf das rückgesetzt wird, falls „useUsernameAsStandardPassword“ auf false gesetzt ist	Default password to which the password is reset if "useUsernameAsStandardPassword" is set to false	Free text, entry of a default password (e.g. "webdesk"; Standarddefault: webdesk)
po	PoPasswordResetPolicy	useUsernameAsStandardPassword	Auswahl, ob der UserName beim zurücksetzen des Passworts als Standardpasswort verwendet werden soll	Selection of whether the user name is to be used as the default password when the password is reset	"true" oder or "false" (Standarddefault: true)

wird der Benutzer beim nächsten Aufruf von Webdesk von demselben Browser innerhalb eines Zeitraums von 14 Tagen automatisch angemeldet. Dabei werden weder Benutzername noch Passwort im Browser gespeichert, sondern ein Anmelde-Token, das in der Webdesk-Datenbank hinterlegt ist. Nach jeder Verwendung wird es durch ein neues ersetzt, beim Abmelden wird es ungültig. Wie ist das Sicherheitsrisiko einzuschätzen? Wenn jemand Zugang zum Computer des Benutzers hat und sich mit seinem Windows User einloggen kann, so kann er auch seinen Webdesk öffnen (analog zum klassischen SSO Szenario). Damit diese Funktion verwendet werden kann, muss der Systemparameter po->AuthenticationOptions->allowRememberMe auf true gesetzt sein (Standard

In "Erweiterte Funktionen" befinden sich bei den "Modul-spezifische Aktionen" zwei neue Aktionen in der Select-Box:

Alle Passwörter zurücksetzen alle Passwörter werden auf jenen Wert zurückgesetzt, den die Password-Reset-Policy angibt Alle Passwörter zurücksetzen auf Zufallswerte und Mails senden trotz der Bezeichnung werden keine Zufallspasswörter mehr vergeben: Jeder Benutzer erhält eine Mail (PoPasswordResetMail) mit einem Link, über den er ein neues Passwort setzen kann (gültig gemäß resetPasswordTokenValidityInHours); das bisherige Passwort bleibt bis dahin gültig. Voraussetzung ist eine gültige E-Mail-Adresse bei der Person.

Funktion "angemeldet bleiben"

Die Funktion "angemeldet bleiben" ist als Hilfe für jene System-Installationen gedacht, wo kein SingleSignOn mit dem Betriebssystem vorgesehen ist. Damit der Benutzer nicht jedes Mal sein Passwort neu eingeben muss, kann beim Einloggen die Option "angemeldet bleiben" gewählt werden und dadurch

Advanced functions" there are two new actions in the select box under "Module-specific actions":

• Reset all passwords
  all passwords are reset to the value specified by the password reset policy
• Reset all passwords to random values and send mails
  despite the name, random passwords are no longer assigned: Each user receives a mail (PoPasswordResetMail) with a link through which they can set a new password (valid according to resetPasswordTokenValidityInHours); the previous password remains valid until then. A valid e-mail address for the person is required.

"Stay logged in" function

The "stay logged in" function is intended as an aid for those system installations where no single sign-on with the operating system is provided. So that the user does not have to re-enter their password every time, the option "stay logged in" can be selected when logging in, and the user is then automatically logged in the next time they access Webdesk from the same browser within a period of 14 days.
Neither the user name nor the password is stored in the browser; instead a login token stored in the Webdesk database is used. After each use it is replaced by a new one, and on logout it becomes invalid. How should the security risk be assessed? If someone has access to the user's computer and can log in with their Windows user, they can also open their Webdesk (analogous to the classic SSO scenario).

For this function to be used, the system parameter po->AuthenticationOptions->allowRememberMe must be set to true (default: true).