Vergleichsreport

Diese Seite beschreibt, was zu tun ist, wenn die Datenbank eines Produktivsystems in ein bestehendes Test- oder Integrationssystem (im Folgenden „Testsystem“) übernommen wird und man sich danach wieder als Systemadministrator sadmin anmelden möchte. Sie gilt ab Webdesk 4.56 und richtet sich an Systemadministratoren und Berater. Grundlagen zur Konfigurationsdatei und zum Schlüssel finden Sie in Konfigurationsdatei webdesk.properties und Umgebungsvariablen.

Warum die Anmeldung nach der Übernahme scheitert

Webdesk verschlüsselt Passwörter, die in der Datenbank gespeichert sind, mit einem Schlüssel (AES-256). Dazu gehört auch das Passwort von sadmin: Es ist kein gewöhnlicher Benutzer, sondern ein verschlüsselt gespeicherter Systemparameter. Bei jeder Anmeldung entschlüsselt Webdesk den gespeicherten Wert und vergleicht ihn mit dem eingegebenen Passwort.

Der Schlüssel liegt aber nicht in der Datenbank, sondern bei der Installation: im Eintrag webdesk.encryption.key der Datei webdesk.properties oder in der Datei enc.key. Das Testsystem hat seinen eigenen Schlüssel. Nach der Übernahme enthält die Datenbank Werte, die mit dem Schlüssel des Produktivsystems verschlüsselt wurden, das Testsystem entschlüsselt sie aber weiter mit seinem eigenen Schlüssel:

This page describes what to do when the database of a production system is copied into an existing test or integration system (called "test system" below), and you then want to log in as the system administrator sadmin again. It applies to Webdesk 4.56 and later and is meant for system administrators and consultants. For background on the configuration file and the key, see Configuration file webdesk.properties and environment variables.

Why the login fails after the copy

Webdesk encrypts passwords stored in the database with a key (AES-256). This includes the password of sadmin: it is not an ordinary user but a system parameter stored in encrypted form. On every login, Webdesk decrypts the stored value and compares it with the password entered.

The key, however, is not stored in the database but with the installation: in the entry webdesk.encryption.key of the file webdesk.properties, or in the file enc.key. The test system has its own key. After the copy, the database contains values encrypted with the production system's key, but the test system still decrypts them with its own key:

Production system: database (encrypted with key P) + webdesk.properties mitwith Schlüsselkey P
TestsystemTest system:      Datenbank übernommencopied database (Schlüsselkey P)          + webdesk.properties mitwith Schlüsselkey T
                   → Entschlüsselndecrypting mitwith T schlägt fehl

Folgen:

fails

Consequences:

• Logging in as sadmin fails, even with the correct (production) password. The log contains a message with javax.crypto.AEADBadTagException: Tag mismatch.
• Alle anderen verschlüsselt gespeicherten Passwörter aus der Produktivdatenbank sind im Testsystem ebenfalls unlesbar, z. B. von Konnektoren, Repositories der Dokumentenverwaltung oder Groupware-Zugriffen.

Die Lösung ist, dem Testsystem den Schlüssel des Produktivsystems zu geben.

Vor dem ersten Start: Produktivkonfiguration beachten

Achtung: Mit der Produktivdatenbank übernimmt das Testsystem auch die Konfiguration des Produktivsystems, z. B. Zeiterfassungs-Anbindungen, Konnektoren, E-Mail-Versand und geplante Jobs. Sobald die Passwörter wieder entschlüsselt werden können, kann das Testsystem auf produktive Umsysteme zugreifen, Daten schreiben oder E-Mails versenden. Prüfen und deaktivieren bzw. umstellen Sie diese Einstellungen, bevor Sie das Testsystem mit dem Produktivschlüssel in Betrieb nehmen.

Hinweis: Mit dem Produktivschlüssel kann das Testsystem alle verschlüsselten Produktivdaten lesen. Schützen Sie die Konfiguration des Testsystems danach genauso wie die des Produktivsystems.

Vorgehen

• All other passwords stored in encrypted form in the production database cannot be read on the test system either, for example those of connectors, document management repositories or groupware access.

The solution is to give the test system the production system's key.

Before the first start: mind the production configuration

Attention: With the production database, the test system also takes over the production system's configuration, for example time and attendance connections, connectors, e-mail sending and scheduled jobs. As soon as the passwords can be decrypted again, the test system can access production systems, write data or send e-mails. Check and deactivate or change these settings before you put the test system into operation with the production key.

Note: With the production key, the test system can read all encrypted production data. From then on, protect the test system's configuration as carefully as the production system's.

Procedure

1. Stop Webdesk on the test system (on all nodes if there are several).
2. Back up the test system's webdesk.properties (and enc.key, if present).
3. Find the production system's key. In the production system's webdesk.properties, the entry webdesk.encryption.key.source tells you where the key is:
   • webdesk_properties: the key is the value of webdesk.encryption.key in the same file.
   • file: the key is in the file enc.key next to webdesk.properties.
   Transfer the key over a secure channel, not by e-mail or in a ticket.
4. Enter the key on the test system, in one of two ways:

   webdesk.encryption.key.source = webdesk_properties
   webdesk.encryption.key = <Schlüssel<key des Produktivsystems>
   

   oder enc.key durch die Datei des Produktivsystems ersetzen und

   of the production system>
   

   or replace enc.key with the production system's file and set webdesk.encryption.key.source = file setzen (der Eintrag the entry webdesk.encryption.key entfällt dann). Bei mehreren Knoten auf jedem Knoten. Zugangsdaten der Datenbank neu verschlüsseln. Benutzername und Passwort der Testdatenbank in webdesk.properties sind mit dem bisherigen Schlüssel des Testsystems verschlüsselt und passen nach dem Schlüsselwechsel nicht mehr. Ohne diesen Schritt kann sich das Testsystem nicht mehr mit seiner Datenbank verbinden. Den Schritt brauchen Sie nur, wenn is then not used). With several nodes, do this on every node.
5. Re-encrypt the database credentials. The username and password of the test database in webdesk.properties are encrypted with the test system's previous key and no longer match after the key change. Without this step, the test system can no longer connect to its database. You only need this step if webdesk.credentials.encrypted = true gesetzt ist is set; bei with false (Klartext) oder beim alten Eintrag plain text), or with the old entry webdesk.connection.encrypted hängen die Werte nicht vom Schlüssel ab. Zwei Möglichkeiten: Webdesk verschlüsselt beim Start (empfohlen): Benutzernamen und Passwörter der Webdesk- und der Shark-Datenbank im Klartext eintragen und die Zeilen , the values do not depend on the key. Two ways:
   • Let Webdesk encrypt them at startup (recommended): enter the usernames and passwords of the Webdesk and Shark databases in plain text and delete the lines webdesk.credentials.encrypted und and shark.credentials.encrypted löschen (nicht auf false setzen (do not set them to false):

     webdesk.connection.username = <Datenbank-Benutzer><database user>
     webdesk.connection.password = <Datenbank-Passwort><database password>
     shark.connection.username = <Datenbank-Benutzer><database user>
     shark.connection.password = <Datenbank-Passwort>
     

     Beim nächsten Start verschlüsselt Webdesk die Werte mit dem neuen Schlüssel, trägt die Einträge

     <database password>
     

     At the next start, Webdesk encrypts the values with the new key, adds the entries ...credentials.encrypted = true wieder ein und speichert die Datei. Der Benutzer, unter dem Webdesk läuft, braucht dafür Schreibrechte auf die Datei. Bei false würde Webdesk die Werte als gewollten Klartext stehen lassen. Mit dem Werkzeug: Auf Windows-Installationen manageWebdeskDBProps.bat im Verzeichnis bin von Tomcat starten, „Basic“-Modus wählen und im Menü die Option zur Eingabe neuer Werte verwenden. Das Werkzeug verschlüsselt die eingegebenen Werte mit dem Schlüssel aus der Datei. Verwenden Sie dafür nicht die Parameter webdeskLogin= / webdeskPassword= des „Expert“-Modus: Bei bereits verschlüsselten Dateien werden sie unverschlüsselt gespeichert. Das Werkzeug unterstützt nur again and saves the file. The user Webdesk runs as needs write access to the file. With false, Webdesk would leave the values as intentional plain text.
   • With the tool: on Windows installations, start manageWebdeskDBProps.bat in Tomcat's bin folder, choose "Basic" mode and use the menu option for entering new values. The tool encrypts the values entered with the key from the file. Do not use the "Expert" mode parameters webdeskLogin= / webdeskPassword= for this: on files that are already encrypted, they are saved unencrypted. The tool only supports webdesk.encryption.key.source = webdesk_properties.
6. Start Webdesk starten. Prüfen, dass das System startet, und dass . Check that the system starts and that the credentials in webdesk.properties die Zugangsdaten wieder verschlüsselt (als Base64-Text) stehen.
7. Als sadmin mit dem Passwort des Produktivsystems anmelden.
8. Die geänderte are encrypted again (as Base64 text).
9. Log in as sadmin with the production system's password.
10. Back up the test system's changed webdesk.properties (bzw. or enc.key) des Testsystems neu sichern.

Fehlersuche

1. again.

Troubleshooting

• The test system does not start after the key change, the database connection fails: the database credentials are still encrypted with the test system's old key (step 5).
• Logging in as sadmin still fails, the log contains AEADBadTagException: the test system does not use the production system's key. Check the key source and the key or enc.key on all nodes.
• After the start, the credentials are still in plain text in the file: Webdesk could not write the file (write access), or the lines ...credentials.encrypted are still in the file with false.
• The production system's key can no longer be found: the encrypted values from the production database, including the sadmin password, then cannot be recovered. Contact Webdesk support.