Endurecimiento de la AEM Forms en el entorno JEE

Aprenda una variedad de configuraciones de seguridad para mejorar la seguridad de AEM Forms en JEE que se ejecuta en una intranet corporativa.

El artículo describe recomendaciones y prácticas recomendadas para proteger los servidores que ejecutan AEM Forms en JEE. Este no es un documento completo que endurece el host para su sistema operativo y servidores de aplicaciones. En su lugar, en este artículo se describe una serie de ajustes de seguridad que debe implementar para mejorar la seguridad de AEM Forms en JEE que se ejecuta dentro de una intranet corporativa. Sin embargo, para garantizar que AEM Forms en los servidores de aplicaciones JEE permanezca seguro, también debe implementar procedimientos de supervisión, detección y respuesta de seguridad.

El artículo describe técnicas de endurecimiento que deben aplicarse durante las siguientes etapas durante el ciclo de vida de instalación y configuración:

• Preinstalación: utilice estas técnicas antes de instalar AEM Forms en JEE.
• Instalación: utilice estas técnicas durante el proceso de instalación de AEM Forms en JEE.
• Después de la instalación: utilice estas técnicas después de la instalación y periódicamente después.

AEM Forms en JEE es altamente personalizable y puede funcionar en muchos entornos diferentes. Es posible que algunas de las recomendaciones no se ajusten a las necesidades de la organización.

Preinstalación

Antes de instalar AEM Forms en JEE , puede aplicar soluciones de seguridad a la capa de red y al sistema operativo. En esta sección se describen algunos problemas y se formulan recomendaciones para reducir las vulnerabilidades de seguridad en estas áreas.

Instalación y configuración en UNIX y Linux

No debe instalar ni configurar AEM Forms en JEE con un shell raíz. De forma predeterminada, los archivos se instalan en el directorio /opt y el usuario que realiza la instalación necesita todos los permisos de archivo en /opt. Alternativamente, una instalación se puede realizar en el directorio /user de un usuario individual donde ya tiene todos los permisos de archivo.

Instalación y configuración en Windows

Debe realizar la instalación en Windows como administrador si está instalando AEM Forms en JEE en JBoss mediante el método llave en mano o si está instalando PDF Generator. Además, al instalar PDF Generator en Windows con compatibilidad con aplicaciones nativas, debe ejecutar la instalación como el mismo usuario de Windows que instaló Microsoft Office. Para obtener más información sobre los privilegios de instalación, consulte el documento* Instalación e implementación de AEM Forms en JEE* para su servidor de aplicaciones.

Seguridad de capa de red

Las vulnerabilidades de seguridad de red están entre las primeras amenazas para cualquier servidor de aplicaciones orientado a Internet o a la intranet. En esta sección se describe el proceso de endurecimiento de los hosts de la red contra estas vulnerabilidades. Se ocupa de la segmentación de red, el refuerzo de la pila del Protocolo de control de transmisión/Protocolo Internet (TCP/IP) y el uso de cortafuegos para la protección del host.

En la tabla siguiente se describen procesos comunes que reducen las vulnerabilidades de seguridad de red.

Seguridad del sistema operativo

En la tabla siguiente se describen algunos enfoques posibles para minimizar las vulnerabilidades de seguridad que se encuentran en el sistema operativo.

Para obtener información de seguridad adicional para su sistema operativo, consulte "Información de seguridad del sistema operativo".

Instalación

En esta sección se describen las técnicas que puede utilizar durante el proceso de instalación de AEM Forms para reducir las vulnerabilidades de seguridad. En algunos casos, estas técnicas utilizan opciones que forman parte del proceso de instalación. En la tabla siguiente se describen estas técnicas.

Pasos posteriores a la instalación

Después de instalar correctamente AEM Forms en JEE, es importante mantener periódicamente el entorno desde una perspectiva de seguridad.

En la siguiente sección se describen en detalle las diferentes tareas recomendadas para proteger el servidor de formularios implementado.

Seguridad de AEM Forms

Las siguientes configuraciones recomendadas se aplican a AEM Forms en el servidor JEE fuera de la aplicación web administrativa. Para reducir los riesgos de seguridad para el servidor, aplique esta configuración inmediatamente después de instalar AEM Forms en JEE.

Revisiones de seguridad

Existe un mayor riesgo de que un usuario no autorizado obtenga acceso al servidor de aplicaciones si los parches y las actualizaciones de seguridad del proveedor no se aplican de manera oportuna. Pruebe parches de seguridad antes de aplicarlos a los servidores de producción para garantizar la compatibilidad y disponibilidad de las aplicaciones. Además, cree políticas y procedimientos para buscar e instalar parches de forma regular. Las actualizaciones de AEM Forms en JEE se encuentran en el sitio de descarga de productos de Enterprise.

Cuentas de servicio (llave en mano de JBoss solo en Windows)

AEM Forms en JEE instala un servicio, de forma predeterminada, mediante la cuenta LocalSystem . La cuenta de usuario de LocalSystem integrada tiene un alto nivel de accesibilidad; forma parte del grupo Administradores . Si se ejecuta una identidad de proceso de trabajo como cuenta de usuario de LocalSystem, ese proceso de trabajo tiene acceso completo a todo el sistema.

Para ejecutar el servidor de aplicaciones en el que se implementa AEM Forms en JEE, utilizando una cuenta específica no administrativa, siga estas instrucciones:

1. En Microsoft Management Console (MMC), cree un usuario local para que el servicio de servidor de formularios inicie sesión como:

   • Seleccione El usuario no puede cambiar la contraseña.
   • En la pestaña Member Of, asegúrese de que aparece el grupo Users en la lista.
   NOTA

   No puede cambiar esta configuración para PDF Generator.

2. Seleccione Inicio > Configuración > Herramientas administrativas > Servicios.

3. Haga doble clic en JBoss para AEM Forms en JEE y detenga el servicio.

4. En la pestaña Iniciar sesión, seleccione Esta cuenta, busque la cuenta de usuario que ha creado e introduzca la contraseña de la cuenta.

5. En MMC, abra Configuración de seguridad local y seleccione Directivas locales > Asignación de derechos de usuario.

6. Asigne los siguientes derechos a la cuenta de usuario en la que se ejecuta el servidor de formularios:

   • Denegar el inicio de sesión a través de Terminal Services
   • Denegar inicio de sesión localmente
   • Iniciar sesión como servicio (ya debería estar configurado)

7. Asigne a la nueva cuenta de usuario permisos de modificación en los siguientes directorios:

   • Directorio Global Document Storage (GDS): La ubicación del directorio GDS se configura manualmente durante el proceso de instalación de AEM Forms. Si la configuración de ubicación permanece vacía durante la instalación, la ubicación predeterminada es un directorio en la instalación del servidor de aplicaciones en [JBoss root]/server/[type]/svcnative/DocumentStorage
   • Directorio CRX-Repository: La ubicación predeterminada es [AEM-Forms-installation-location]\crx-repository
   • Directorios temporales de AEM Forms:
     • (Windows) Ruta TMP o TEMP tal como se establece en las variables de entorno
     • (AIX, Linux o Solaris) Directorio de inicio del usuario con sesión iniciada
       En sistemas basados en UNIX, un usuario no raíz puede utilizar el siguiente directorio como directorio temporal:
     • (Linux) /var/tmp o /usr/tmp
     • (AIX) /tmp o /usr/tmp
     • (Solaris) /var/tmp o /usr/tmp

8. Asigne permisos de escritura a la nueva cuenta de usuario en los siguientes directorios:

   • [JBoss-directory]\standalone\deployment
   • [JBoss-directory]\standalone\
   • [JBoss-directory]\bin\
   NOTA

   La ubicación de instalación predeterminada del servidor de aplicaciones JBoss:

   • Windows: C:\Adobe\Adobe_Experience_Manager_Forms\jboss
   • Linux: /opt/jboss/

9. Inicie el servidor de aplicaciones.

Desactivación del servlet de arranque de Configuration Manager

Configuration Manager hizo uso de un servlet implementado en su servidor de aplicaciones para realizar arranques de AEM Forms en la base de datos JEE. Dado que Configuration Manager accede a este servlet antes de que se complete la configuración, el acceso a él no se ha asegurado para los usuarios autorizados y debe deshabilitarse después de haber utilizado correctamente Configuration Manager para configurar AEM Forms en JEE.

1. Descomprima el archivo adobe-livecycle-[appserver].ear.

2. Abra el archivo META-INF/application.xml.

3. Busque la sección adobe-bootstrapper.war :

   <!-- bootstrapper start --> 
   <module id="WebApp_adobe_bootstrapper"> 
       <web> 
           <web-uri>adobe-bootstrapper.war</web-uri> 
           <context-root>/adobe-bootstrapper</context-root> 
       </web> 
   </module> 
   <module id="WebApp_adobe_lcm_bootstrapper_redirector"> 
       <web> 
           <web-uri>adobe-lcm-bootstrapper-redirector.war</web-uri> 
           <context-root>/adobe-lcm-bootstrapper</context-root> 
       </web> 
   </module> 
   <!-- bootstrapper end-->
   

4. Detenga el servidor de AEM Forms.

5. Comente adobe-bootstrapper.war y adobe-lcm-bootstrapper-redirectory. módulos de guerra como se indica a continuación:

   <!-- bootstrapper start --> 
   <!-- 
   <module id="WebApp_adobe_bootstrapper"> 
       <web> 
           <web-uri>adobe-bootstrapper.war</web-uri> 
           <context-root>/adobe-bootstrapper</context-root> 
       </web> 
   </module> 
   <module id="WebApp_adobe_lcm_bootstrapper_redirector"> 
       <web> 
           <web-uri>adobe-lcm-bootstrapper-redirector.war</web-uri> 
           <context-root>/adobe-lcm-bootstrapper</context-root> 
       </web> 
   </module> 
   --> 
   <!-- bootstrapper end-->
   

6. Guarde y cierre el archivo META-INF/application.xml.

7. Elimine el archivo EAR y vuelva a implementarlo en el servidor de aplicaciones.

8. Inicie el servidor de AEM Forms.

9. Escriba la siguiente URL en un explorador para probar el cambio y asegurarse de que ya no funciona.

   https://<localhost>:<port>/adobe-bootstrapper/bootstrap

Bloqueo del acceso remoto al Almacén de confianza

Configuration Manager permite cargar una credencial de extensiones de Acrobat Reader DC en AEM Forms en el almacén de confianza JEE. Esto significa que el acceso al Servicio de Credenciales de Almacén de Confianza a través de protocolos remotos (SOAP y EJB) se ha habilitado de forma predeterminada. Este acceso ya no es necesario después de cargar las credenciales de derechos mediante el Administrador de configuración o si decide utilizar la Consola de administración más adelante para administrar las credenciales.

Puede deshabilitar el acceso remoto a todos los servicios del almacén de confianza siguiendo los pasos de la sección Desactivación del acceso remoto no esencial a los servicios.

Deshabilitar todo acceso anónimo no esencial

Algunos servicios de servidor de formularios tienen operaciones que un llamador anónimo puede invocar. Si no se requiere acceso anónimo a estos servicios, inactívelo siguiendo los pasos de Desactivación del acceso anónimo no esencial a los servicios.

Cambiar la contraseña de administrador predeterminada

Cuando se instala AEM Forms en JEE, se configura una sola cuenta de usuario predeterminada para el usuario Super Administrator/ login-id Administrator con una contraseña predeterminada de password. Debe cambiar esta contraseña inmediatamente mediante el Administrador de configuración.

1. Escriba la siguiente URL en un explorador web:

   https://[host name]:[port]/adminui
   

   El número de puerto predeterminado es uno de estos:

   JBoss: 8080

   Servidor WebLogic: 7001

   WebSphere: 9080.

2. En el campo User Name, escriba administrator y, en el campo Password, escriba password.

3. Haga clic en Configuración > Administración de usuarios > Usuarios y grupos.

4. Escriba administrator en el campo Buscar y haga clic en Buscar.

5. Haga clic en Super Administrator en la lista de usuarios.

6. Haga clic en Cambiar contraseña en la página Editar usuario.

7. Especifique la nueva contraseña y haga clic en Guardar.

Además, se recomienda cambiar la contraseña predeterminada para el administrador CRX realizando los siguientes pasos:

1. Inicie sesión en https://[server]:[port]/lc/libs/granite/security/content/useradmin.html con el nombre de usuario/contraseña predeterminados.
2. Escriba Administrator en el campo de búsqueda y haga clic en Go.
3. Seleccione Administrator en el resultado de la búsqueda y haga clic en el icono Edit en la parte inferior derecha de la interfaz de usuario.
4. Especifique la nueva contraseña en el campo Nueva contraseña y la contraseña antigua en el campo Su contraseña.
5. Haga clic en el icono Guardar en la parte inferior derecha de la interfaz de usuario.

Deshabilitar generación WSDL

La generación del lenguaje de definición de servicios web (WSDL) solo debe habilitarse para entornos de desarrollo, donde los desarrolladores utilizan la generación WSDL para crear sus aplicaciones cliente. Puede optar por desactivar la generación de WSDL en un entorno de producción para evitar exponer los detalles internos de un servicio.

1. Escriba la siguiente URL en un explorador web:

   https://[host name]:[port]/adminui
   

2. Haga clic en Configuración > Configuración del sistema principal > Configuraciones.

3. Desmarque Habilitar WSDL y haga clic en Aceptar.

Seguridad del servidor de aplicaciones

En la tabla siguiente se describen algunas técnicas para proteger el servidor de aplicaciones después de instalar AEM Forms en la aplicación JEE.

Seguridad de la base de datos

Al proteger la base de datos, debe implementar las medidas descritas por el proveedor de la base de datos. Debe asignar un usuario de base de datos con el mínimo de permisos de base de datos requeridos otorgados para su uso por AEM Forms en JEE. Por ejemplo, no utilice una cuenta con privilegios de administrador de base de datos.

En el Oracle, la cuenta de la base de datos que utilice solo necesita los privilegios de CONNECT, RECURSO y CREATE VIEW. Para obtener requisitos similares en otras bases de datos, consulte Preparación para instalar AEM Forms en JEE (un solo servidor).

Configuración de la seguridad integrada para SQL Server en Windows para JBoss

1. Modifique [JBOSS_HOME]\standalone\configuration\lc_{datasource.xml} para agregar integratedSecurity=true a la dirección URL de conexión, como se muestra en este ejemplo:

    jdbc:sqlserver://<serverhost>:<port>;databaseName=<dbname>;integratedSecurity=true
   

2. Agregue el archivo sqljdbc_auth.dll a la ruta de acceso del sistema de Windows en el equipo que ejecuta el servidor de aplicaciones. El archivo sqljdbc_auth.dll se encuentra con la instalación del controlador JDBC 6.2.1.0 de Microsoft SQL.

3. Modifique la propiedad JBoss de Windows service (JBoss para AEM Forms en JEE) para Iniciar sesión desde el sistema local a una cuenta de inicio de sesión que tenga una base de datos de AEM Forms y un conjunto mínimo de privilegios. Si está ejecutando JBoss desde la línea de comandos en lugar de como servicio de Windows, no necesita realizar este paso.

4. Establezca Security for SQL Server del modo Mixed en Autenticación de Windows solamente.

Configuración de la seguridad integrada para SQL Server en Windows para WebLogic

1. Inicie la consola de administración del servidor de WebLogic escribiendo la siguiente URL en la línea URL de un explorador web:

   https://[host name]:7001/console
   

2. En Centro de cambios, haga clic en Bloquear y editar.

3. En Estructura del dominio, haga clic en [base_domain] > Services > JDBC > Fuentes de datos y, en el panel derecho, haga clic en IDP_DS.

4. En la siguiente pantalla, en la pestaña Configuration, haga clic en la pestaña Connection Pool y, en el cuadro Properties, escriba integratedSecurity=true.

5. En Estructura del dominio, haga clic en [base_domain] > Services > JDBC > Fuentes de datos y, en el panel derecho, haga clic en RM_DS.

6. En la siguiente pantalla, en la pestaña Configuration, haga clic en la pestaña Connection Pool y, en el cuadro Properties, escriba integratedSecurity=true.

7. Agregue el archivo sqljdbc_auth.dll a la ruta de acceso del sistema de Windows en el equipo que ejecuta el servidor de aplicaciones. El archivo sqljdbc_auth.dll se encuentra con la instalación del controlador JDBC 6.2.1.0 de Microsoft SQL.

8. Establezca Security for SQL Server del modo Mixed en Autenticación de Windows solamente.

Configuración de la seguridad integrada para SQL Server en Windows para WebSphere

En WebSphere, puede configurar la seguridad integrada solo cuando utiliza un controlador JDBC de SQL Server externo, no el controlador JDBC de SQL Server incrustado en WebSphere.

1. Inicie sesión en la Consola Administrativa de WebSphere.
2. En el árbol de navegación, haga clic en Resources > JDBC > Fuentes de datos y, en el panel derecho, haga clic en IDP_DS.
3. En el panel derecho, en Propiedades adicionales, haga clic en Propiedades personalizadas y, a continuación, haga clic en Nuevo.
4. En el cuadro Name, escriba integratedSecurity y, en el cuadro Value, escriba true.
5. En el árbol de navegación, haga clic en Resources > JDBC > Fuentes de datos y, en el panel derecho, haga clic en RM_DS.
6. En el panel derecho, en Propiedades adicionales, haga clic en Propiedades personalizadas y, a continuación, haga clic en Nuevo.
7. En el cuadro Name, escriba integratedSecurity y, en el cuadro Value, escriba true.
8. En el equipo en el que está instalado WebSphere, agregue el archivo sqljdbc_auth.dll a la ruta de acceso del sistema de Windows (C:\Windows). El archivo sqljdbc_auth.dll se encuentra en la misma ubicación que la instalación del controlador JDBC 1.2 de Microsoft SQL (el valor predeterminado es [InstallDir]/sqljdbc_1.2/enu/auth/x86).
9. Seleccione Inicio > Panel de control de Campaign > Servicios, haga clic con el botón derecho en el servicio de Windows para WebSphere (IBM WebSphere Application Server <version> - <node>) y seleccione Propiedades.
10. En el cuadro de diálogo Propiedades, haga clic en la ficha Iniciar sesión.
11. Seleccione Esta cuenta y proporcione la información necesaria para configurar la cuenta de inicio de sesión que desee utilizar.
12. Establezca Security on SQL Server del modo Mixed a Autenticación de Windows solamente.

Protección del acceso al contenido confidencial en la base de datos

El esquema de la base de datos de AEM Forms contiene información confidencial sobre la configuración del sistema y los procesos empresariales, y debe ocultarse detrás del cortafuegos. La base de datos debe considerarse dentro del mismo límite de confianza que el servidor de formularios. Para evitar la divulgación de información y el robo de datos empresariales, el administrador de la base de datos (DBA) debe configurar la base de datos para permitir el acceso únicamente a los administradores autorizados.

Como precaución adicional, debe considerar la posibilidad de utilizar herramientas específicas del proveedor de bases de datos para cifrar columnas en tablas que contengan los siguientes datos:

• Claves de documento del Rights Management
• Clave de cifrado del PIN de HSM de la tienda de confianza
• Hashes de contraseñas de usuario local

Para obtener información sobre herramientas específicas del proveedor, consulte "Información de seguridad de la base de datos".

Seguridad LDAP

AEM Forms utiliza normalmente un directorio de Protocolo ligero de acceso a directorios (LDAP, Lightweight Directory Access Protocol ) en JEE como fuente de información de usuarios y grupos empresariales, y como medio para realizar la autenticación de contraseñas. Debe asegurarse de que su directorio LDAP esté configurado para utilizar Secure Socket Layer (SSL) y que AEM Forms en JEE esté configurado para acceder a su directorio LDAP utilizando su puerto SSL.

Negación de servicio LDAP

Un ataque común usando LDAP implica que un atacante deliberadamente no se autentica varias veces. Esto obliga al servidor de directorio LDAP a bloquear a un usuario de todos los servicios dependientes de LDAP.

Puede establecer el número de intentos de error y el tiempo de bloqueo posterior que AEM Forms implementa cuando un usuario falla repetidamente en autenticarse en AEM Forms. En la Consola de administración, seleccione valores bajos. Al seleccionar el número de intentos de error, es importante comprender que después de todos los intentos realizados, AEM Forms bloquea al usuario antes de que lo haga el servidor de directorio LDAP.

Establecer el bloqueo automático de cuentas

1. Inicie sesión en la Consola de administración.
2. Haga clic en Configuración > Administración de usuarios > Administración de dominios.
3. En Configuración de bloqueo automático de cuentas, establezca Máximo de errores de autenticación consecutiva en un número bajo, como 3.
4. Haga clic en Guardar.

Auditoría y registro

El uso adecuado y seguro de la auditoría y el registro de aplicaciones puede ayudar a garantizar que se realice el seguimiento y la detección de la seguridad y otros eventos anómalos lo antes posible. El uso efectivo de la auditoría y el registro dentro de una aplicación incluye elementos como el seguimiento de inicios de sesión correctos y fallidos, así como eventos clave de la aplicación como la creación o eliminación de registros clave.

Puede utilizar la auditoría para detectar muchos tipos de ataques, entre ellos:

• Ataques de contraseña de fuerza bruta
• Ataques de denegación de servicio
• Inyección de entradas hostiles y clases conexas de ataques de secuencias de comandos

En esta tabla se describen las técnicas de auditoría y registro que puede utilizar para reducir las vulnerabilidades del servidor.

Habilitar a un usuario que no es administrador para ejecutar PDF Generator

Puede habilitar a un usuario que no sea administrador para que utilice PDF Generator. Normalmente, solo los usuarios con privilegios administrativos pueden utilizar PDF Generator. Realice los siguientes pasos para permitir que un usuario que no es administrador ejecute el generador de PDF:

1. Cree un nombre de variable de entorno PDFG_NON_ADMIN_ENABLED.

2. Establezca el valor de la variable en TRUE.

3. Reinicie la instancia de AEM Forms.

Configuración de AEM Forms en JEE para acceder más allá de la empresa

Después de instalar correctamente AEM Forms en JEE, es importante mantener periódicamente la seguridad de su entorno. En esta sección se describen las tareas recomendadas para mantener la seguridad de AEM Forms en el servidor de producción JEE.

Configuración de un proxy inverso para acceso web

Se puede utilizar un proxy inverso para garantizar que un conjunto de URL para AEM Forms en aplicaciones web JEE esté disponible para usuarios externos e internos. Esta configuración es más segura que permitir que los usuarios se conecten directamente al servidor de aplicaciones en el que se ejecuta AEM Forms en JEE. El proxy inverso realiza todas las solicitudes HTTP para el servidor de aplicaciones que ejecuta AEM Forms en JEE. Los usuarios solo tienen acceso de red al proxy inverso y solo pueden intentar conexiones URL compatibles con el proxy inverso.

AEM Forms en URL raíz JEE para su uso con el servidor proxy inverso

Las siguientes URL raíz de aplicación para cada AEM Forms en la aplicación web JEE. Debe configurar el proxy inverso solo para exponer las direcciones URL a la funcionalidad de la aplicación web que desea proporcionar a los usuarios finales.

Ciertas direcciones URL se resaltan como aplicaciones web dirigidas al usuario final. Debe evitar exponer otras direcciones URL para Configuration Manager para acceder a usuarios externos a través del proxy inverso.

Protección contra ataques de falsificación de solicitudes entre sitios

Un ataque de falsificación de solicitudes entre sitios (CSRF) explota la confianza que un sitio web tiene para el usuario, para transmitir comandos que no están autorizados y no son intencionados por el usuario. El ataque se configura incluyendo un vínculo o una secuencia de comandos en una página web, o una URL en un mensaje de correo electrónico, para acceder a otro sitio en el que el usuario ya ha sido autenticado.

Por ejemplo, puede iniciar sesión en la Consola de administración mientras navega simultáneamente por otro sitio web. Una de las páginas web puede incluir una etiqueta de imagen HTML con un atributo src que se dirija a un script del lado del servidor en el sitio web de la víctima. Al aprovechar el mecanismo de autenticación de sesión basado en cookies que proporcionan los exploradores web, el sitio web atacante puede enviar solicitudes malintencionadas a este script de la víctima del lado del servidor, que se muestra como el usuario legítimo. Para obtener más ejemplos, consulte https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)#Examples.

Las siguientes características son comunes al CSRF:

• Incluir sitios que dependen de la identidad de un usuario.
• Explotar la confianza del sitio en esa identidad.
• Haga clic en el navegador del usuario para enviar solicitudes HTTP a un sitio de destino.
• Incluya solicitudes HTTP que tengan efectos secundarios.

AEM Forms en JEE utiliza la función de filtro de referente para bloquear los ataques de CSRF. En esta sección se utilizan los términos siguientes para describir el mecanismo de filtrado del referente:

• Referente permitido: un referente es la dirección de la página de origen que envía una solicitud al servidor. Para páginas o formularios JSP, los Referentes son generalmente la página anterior en el historial de navegación. El referente de las imágenes suele ser la página en la que se muestran las imágenes. Puede identificar el referente al que se permite acceder a los recursos del servidor si los agrega a la lista de referente permitido.
• Excepciones de referente permitidas: es posible que desee restringir el alcance de acceso de un referente en particular en la lista de referentes permitidos. Para aplicar esta restricción, puede agregar rutas individuales de ese Referente a la lista de Excepciones de Referente Permitidas. Las solicitudes procedentes de rutas de la lista Excepciones de referente permitidas no pueden invocar ningún recurso en el servidor de formularios. Puede definir Excepciones de referente permitidas para una aplicación específica y también utilizar una lista global de excepciones que se aplican a todas las aplicaciones.
• URI permitidos: es una lista de recursos que se van a proporcionar sin comprobar el encabezado del referente. Los recursos, por ejemplo, páginas de ayuda que no producen cambios de estado en el servidor, se pueden agregar a esta lista. El filtro Referente nunca bloquea los recursos de la lista URI permitidos independientemente de quién sea el referente.
• Referente nulo: una solicitud de servidor que no está asociada a una página web principal o que no se origina en ella se considera una solicitud de un Referente nulo. Por ejemplo, al abrir una nueva ventana del explorador, escribir una dirección y pulsar Intro, el Referente enviado al servidor es nulo. Una aplicación de escritorio (.NET o SWING) que realiza una solicitud HTTP a un servidor web, también envía un referente nulo al servidor.

Filtrado de referentes

El proceso de filtrado del referente se puede describir de la siguiente manera:

1. El servidor de formularios comprueba el método HTTP utilizado para la invocación:

   1. Si es POST, el servidor de formularios realiza la comprobación del encabezado Referente.
   2. Si es un GET, el servidor de formularios evita la comprobación Referente, a menos que CSRF_CHECK_GETS esté configurado como verdadero, en cuyo caso realiza la comprobación de encabezado Referente. CSRF_CHECK_ GETSse especifica en el archivo web. xmlfile para su aplicación.

2. El servidor de formularios comprueba si el URI solicitado existe en la lista de permitidos:

   1. Si el URI está incluido en la lista de permitidos, el servidor acepta la solicitud.
   2. Si el URI solicitado no está incluido en la lista de permitidos, el servidor recupera el referente de la solicitud.

3. Si hay un referente en la solicitud, el servidor comprueba si es un referente permitido. Si está permitido, el servidor comprueba la existencia de una excepción de referente:

   1. Si es una excepción, la solicitud se bloquea.
   2. Si no es una excepción, se pasa la solicitud.

4. Si no hay ningún referente en la solicitud, el servidor comprueba si se permite un referente nulo:

   1. Si se permite un referente nulo, se pasa la solicitud.
   2. Si no se permite un referente nulo, el servidor comprueba si el URI solicitado es una excepción para el referente nulo y gestiona la solicitud en consecuencia.

Administración del filtrado del referente

AEM Forms en JEE proporciona un filtro de referente para especificar Referente al que se permite el acceso a los recursos del servidor. De forma predeterminada, el filtro Referente no filtra las solicitudes que utilizan un método HTTP seguro, por ejemplo, GET, a menos que CSRF_CHECK_GETS esté establecido en true. Si el número de puerto de una entrada de referente permitida está establecido en 0, AEM Forms en JEE permitirá todas las solicitudes con referente desde ese host independientemente del número de puerto. Si no se especifica ningún número de puerto, solo se permiten las solicitudes del puerto predeterminado 80 (HTTP) o 443 (HTTPS). El filtro de referente se desactiva si se eliminan todas las entradas de la lista Referente permitido.

Cuando instala Document Services por primera vez, la lista Referente permitido se actualiza con la dirección del servidor en el que está instalado Document Services. Las entradas para el servidor incluyen el nombre del servidor, la dirección IPv4, la dirección IPv6 si IPv6 está habilitada, la dirección loopback y una entrada localhost. El sistema operativo Host devuelve los nombres agregados a la lista Referente permitido. Por ejemplo, un servidor con una dirección IP de 10.40.54.187 incluirá las siguientes entradas: https://server-name:0, https://10.40.54.187:0, https://127.0.0.1:0, http://localhost:0. Para cualquier nombre no cualificado devuelto por el sistema operativo del host (nombres que no tienen dirección IPv4, dirección IPv6 o nombre de dominio cualificado), la lista de permitidos no se actualiza. Modifique la lista Referente permitidos para adaptarla a su entorno empresarial. No implemente el servidor de formularios en el entorno de producción con la lista de referentes permitidos predeterminada. Después de modificar cualquiera de los URI, las excepciones de referente o referente permitidos, asegúrese de reiniciar el servidor para que los cambios surtan efecto.

Administración de la lista de referentes permitidos

Puede administrar la lista Referente permitidos desde la interfaz de administración de usuarios de la consola de administración. La interfaz de administración de usuarios proporciona la funcionalidad para crear, editar o eliminar la lista. Consulte la sección * Prevención de ataques CSRF* de la ayuda de administración para obtener más información sobre cómo trabajar con la lista de referentes permitidos.

Administración de excepciones de referente permitidas y listas de URI permitidas

AEM Forms en JEE proporciona API para administrar la lista de excepciones de referente permitidas y la lista de URI permitidas. Puede utilizar estas API para recuperar, crear, editar o eliminar la lista. A continuación se muestra una lista de las API disponibles:

• createAllowedURIsList
• getAllowedURIsList
• updateAllowedURIsList
• deleteAllowedURIsList
• addAllowedRefererExceptions
• getAllowedRefererExceptions
• updateAllowedRefererExceptions
• deleteAllowedRefererExceptions

Consulte la* Referencia de la API de AEM Forms en JEE* para obtener más información sobre las API.

Utilice la lista LC_GLOBAL_ALLOWED_REFERER_EXCEPTION para Excepciones de Referente permitidas a nivel global, es decir, para definir excepciones que sean aplicables a todas las aplicaciones. Esta lista contiene solo URI con una ruta absoluta (p. ej. /index.html) o una ruta relativa (p. ej. /sample/). También puede anexar una expresión regular al final de un URI relativo, por ejemplo: /sample/(.)*.

El ID de lista LC_GLOBAL_ALLOWED_REFERER_EXCEPTION se define como una constante en la clase UMConstants del espacio de nombres com.adobe.idp.um.api, que se encuentra en adobe-usermanager-client.jar. Puede utilizar las API de AEM Forms para crear, modificar o editar esta lista. Por ejemplo, para crear la lista de excepciones de referente permitidos globales, utilice:

addAllowedRefererExceptions(UMConstants.LC_GLOBAL_ALLOWED_REFERER_EXCEPTION, Arrays.asList("/index.html", "/sample/(.)*"))

Utilice la lista CSRF_ALLOWED_REFERER_EXCEPTIONS para excepciones específicas de la aplicación.

Desactivación del filtro de referente

En el caso de que el Filtro de referente bloquee por completo el acceso al servidor de formularios y no pueda editar la lista de referentes permitidos, puede actualizar la secuencia de comandos de inicio del servidor y deshabilitar el Filtrado de referentes.

Incluya el argumento JAVA -Dlc.um.csrffilter.disabled=true en el script de inicio y reinicie el servidor. Asegúrese de eliminar el argumento JAVA después de haber reconfigurado correctamente la lista Referente permitido.

Filtrado de referentes para archivos WAR personalizados

Es posible que haya creado archivos WAR personalizados para trabajar con AEM Forms en JEE con el fin de satisfacer sus necesidades comerciales. Para habilitar el filtrado de referentes para sus archivos WAR personalizados, incluya adobe-usermanager-client.jar en la ruta de clase para la WAR e incluya una entrada de filtro en el archivo web.xml* con los siguientes parámetros:

CSRF_CHECK_ GETS controla la comprobación del referente en las solicitudes de GET. Si no se define este parámetro, el valor predeterminado se establece en false. Incluya este parámetro solo si desea filtrar las solicitudes de GET.

CSRF_ALLOWED_REFERER_ EXCEPTIONS es el ID de la lista de excepciones de referente permitidas. El filtro Referente evita que las solicitudes procedentes de Referentes de la lista identificada por el ID de lista invoquen cualquier recurso en el servidor de formularios.

CSRF_ALLOWED_URIS_LIST_ NAME es el ID de la lista de URI permitidos. El filtro de referente no bloquea las solicitudes de ninguno de los recursos de la lista identificados por el ID de lista, independientemente del valor del encabezado de referente en la solicitud.

CSRF_ALLOW_NULL_ REFERER controla el comportamiento del filtro de referente cuando el referente es nulo o no está presente. Si no se define este parámetro, el valor predeterminado se establece en false. Incluya este parámetro solo si desea permitir Referentes nulos. Permitir referentes nulos puede permitir algunos tipos de ataques de falsificación de solicitudes entre sitios.

CSRF_NULL_REFERER_ EXCEPTIONS es una lista de los URI para los que no se realiza una comprobación de Remitente del reenvío cuando el referente es nulo. Este parámetro solo está habilitado cuando CSRF_ALLOW_NULL_REFERER está establecido en false. Separe varios URI de la lista con una coma.

A continuación se muestra un ejemplo de la entrada de filtro en el archivo web.xml para un archivo WAR SAMPLE:

<filter> 
       <filter-name> filter-name </filter-name> 
       <filter-class> com.adobe.idp.um.auth.filter.RemoteCSRFFilter </filter-class> 
     <!-- default is false --> 
     <init-param> 
      <param-name> CSRF_ALLOW_NULL_REFERER </param-name> 
      <param-value> false </param-value> 
     </init-param> 
     <!-- default is false --> 
     <init-param> 
      <param-name> CSRF_CHECK_GETS </param-name> 
      <param-value> true </param-value> 
     </init-param> 
     <!-- Optional --> 
     <init-param> 
       <param-name> CSRF_NULL_REFERER_EXCEPTIONS </param-name> 
       <param-value> /SAMPLE/login, /SAMPLE/logout  </param-value> 
     </init-param> 
     <!-- Optional --> 
     <init-param> 
      <param-name> CSRF_ALLOWED_REFERER_EXCEPTIONS </param-name> 
      <param-value> SAMPLE_ALLOWED_REF_EXP_ID </param-value> 
     </init-param> 
     <!-- Optional --> 
     <init-param> 
      <param-name> CSRF_ALLOWED_URIS_LIST_NAME </param-name> 
      <param-value> SAMPLE_ALLOWED_URI_LIST_ID     </param-value> 
     </init-param> 
</filter> 
    ........ 
    <filter-mapping> 
      <filter-name> filter-name </filter-name> 
      <url-pattern>/*</url-pattern> 
    </filter-mapping>

Solución de problemas

Si el filtro CSRF bloquea las solicitudes legítimas del servidor, pruebe uno de los siguientes métodos:

• Si la solicitud rechazada tiene un encabezado Referente, considere detenidamente agregarla a la lista Referente permitido. Agregue solo Referente en el que confíe.
• Si la solicitud rechazada no tiene un encabezado Referente, modifique la aplicación cliente para incluir un encabezado Referente.
• Si el cliente puede trabajar en un explorador, pruebe ese modelo de implementación.
• Como último recurso, puede agregar el recurso a la lista URI permitidos . Esta no es una configuración recomendada.

Configuración de red segura

En esta sección se describen los protocolos y puertos requeridos por AEM Forms en JEE y se ofrecen recomendaciones para implementar AEM Forms en JEE en una configuración de red segura.

Protocolos de red utilizados por AEM Forms en JEE

Al configurar una arquitectura de red segura como se describe en la sección anterior, se requieren los siguientes protocolos de red para la interacción entre AEM Forms en JEE y otros sistemas de la red empresarial.

Puertos para servidores de aplicaciones

En esta sección se describen los puertos predeterminados (y los intervalos de configuración alternativos) para cada tipo de servidor de aplicaciones admitido. Estos puertos deben habilitarse o deshabilitarse en el cortafuegos interno, según la funcionalidad de red que desee permitir para los clientes que se conecten al servidor de aplicaciones que ejecuta AEM Forms en JEE.

Puertos JBoss

Puertos WebLogic

Puertos WebSphere

Para obtener información sobre los puertos WebSphere que requiere AEM Forms en JEE, vaya a Configuración de número de puerto en la interfaz de usuario del servidor de aplicaciones WebSphere.

Configuración de SSL

En referencia a la arquitectura física que se describe en la sección AEM Forms sobre la arquitectura física JEE, debe configurar SSL para todas las conexiones que planee utilizar. Específicamente, todas las conexiones SOAP deben realizarse a través de SSL para evitar la exposición de las credenciales de usuario en una red.

Para obtener instrucciones sobre cómo configurar SSL en JBoss, WebLogic y WebSphere, consulte "Configuración de SSL" en la ayuda de administración.

Para obtener instrucciones sobre cómo importar certificados a JVM (máquina virtual Java) configurada para un servidor AEM Forms, consulte la sección Autenticación mutua en Ayuda de AEM Forms Workbench.

Configuración de la redirección SSL

Después de configurar el servidor de aplicaciones para que admita SSL, debe asegurarse de que todo el tráfico HTTP a aplicaciones y servicios se aplique para utilizar el puerto SSL.

Para configurar el redireccionamiento SSL para WebSphere o WebLogic, consulte la documentación del servidor de aplicaciones.

1. Abra el símbolo del sistema, vaya al directorio /JBOSS_HOME/standalone/configuration y ejecute el siguiente comando:

   keytool -genkey -alias jboss7 -keyalg RSA -keystore server.keystore -validity 10950

2. Abra el archivo JBOSS_HOME/standalone/configuration/standalone.xml para editarlo.

   Después del elemento <subsistema xmlns="urn:jboss:domain:web:1.1" native="false" default-virtual-server="default-host">, agregue los siguientes detalles:

   <connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" enabled="true" secure="true" />

3. Agregue el siguiente código en el elemento https connector :

   <connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" secure="true" enabled="true"> 
    <ssl name="jboss7_ssl" key-alias="jboss71" password="Tibco321" certificate-key-file="../standalone/configuration/server.keystore" protocol="TLSv1"/> 
    </connector>
   

   Guarde y cierre el archivo standalone.xml.

Recomendaciones de seguridad específicas de Windows

Esta sección contiene recomendaciones de seguridad específicas de Windows cuando se usa para ejecutar AEM Forms en JEE.

Cuentas de JBoss Service

La instalación llave en mano de AEM Forms en JEE configura una cuenta de servicio de forma predeterminada mediante la cuenta de sistema local. La cuenta de usuario integrada del sistema local tiene un alto nivel de accesibilidad; forma parte del grupo Administradores . Si la identidad de un proceso de trabajo se ejecuta como la cuenta de usuario del sistema local, ese proceso de trabajo tiene acceso completo a todo el sistema.

Ejecute el servidor de aplicaciones con una cuenta no administrativa

1. En Microsoft Management Console (MMC), cree un usuario local para que el servicio de servidor de formularios inicie sesión como:

   • Seleccione El usuario no puede cambiar la contraseña.
   • En la ficha Miembro de, asegúrese de que se enumera el grupo Usuarios.

2. Seleccione Configuración > Herramientas administrativas > Servicios.

3. Haga doble clic en el servicio del servidor de aplicaciones y detenga el servicio.

4. En la pestaña Iniciar sesión, seleccione Esta cuenta, busque la cuenta de usuario que ha creado e introduzca la contraseña de la cuenta.

5. En la ventana Configuración de seguridad local, en Asignación de derechos de usuario, otorgue los siguientes derechos a la cuenta de usuario en la que se ejecuta el servidor de formularios:

   • Denegar el inicio de sesión a través de Terminal Services
   • Denegar inicio de sesión localmente
   • Iniciar sesión como servicio (ya debería estar configurado)

6. Asigne a la nueva cuenta de usuario permisos de modificación en los siguientes directorios:

   • Directorio Global Document Storage (GDS): La ubicación del directorio GDS se configura manualmente durante el proceso de instalación de AEM Forms. Si la configuración de ubicación permanece vacía durante la instalación, la ubicación predeterminada es un directorio en la instalación del servidor de aplicaciones en [JBoss root]/server/[type]/svcnative/DocumentStorage
   • Directorio CRX-Repository: La ubicación predeterminada es [AEM-Forms-installation-location]\crx-repository
   • Directorios temporales de AEM Forms:
     • (Windows) Ruta TMP o TEMP tal como se establece en las variables de entorno
     • (AIX, Linux o Solaris) Directorio de inicio del usuario con sesión iniciada
       En sistemas basados en UNIX, un usuario no raíz puede utilizar el siguiente directorio como directorio temporal:
     • (Linux) /var/tmp o /usr/tmp
     • (AIX) /tmp o /usr/tmp
     • (Solaris) /var/tmp o /usr/tmp

7. Asigne permisos de escritura a la nueva cuenta de usuario en los siguientes directorios:

   • [JBoss-directory]\standalone\deployment
   • [JBoss-directory]\standalone\
   • [JBoss-directory]\bin\
   NOTA

   La ubicación de instalación predeterminada del servidor de aplicaciones JBoss:

   • Windows: C:\Adobe\Adobe_Experience_Manager_Forms\jboss
   • Linux: /opt/jboss/.

8. Inicie el servicio del servidor de aplicaciones.

Seguridad del sistema de archivos

AEM Forms en JEE utiliza el sistema de archivos de las siguientes maneras:

• Almacena los archivos temporales que se utilizan al procesar la entrada y salida del documento
• Almacena archivos en el almacén de archivos global que se utilizan para admitir los componentes de la solución instalados
• Las carpetas vigiladas almacenan archivos perdidos que se utilizan como entrada en un servicio desde una ubicación de carpetas del sistema de archivos

Cuando utilice carpetas vigiladas como forma de enviar y recibir documentos con un servicio de servidor de formularios, tenga precauciones adicionales con la seguridad del sistema de archivos. Cuando un usuario coloca contenido en la carpeta vigilada, ese contenido se expone a través de la carpeta vigilada. En este caso, el servicio no autentica al usuario final real. En su lugar, se basa en la seguridad de nivel ACL y Share que se debe establecer en el nivel de carpeta para determinar quién puede invocar el servicio de forma eficaz.

Recomendaciones de seguridad específicas de JBoss

Esta sección contiene recomendaciones de configuración del servidor de aplicaciones específicas de JBoss 7.0.6 cuando se usan para ejecutar AEM Forms en JEE.

Desactivar la consola de administración de JBoss y la consola JMX

El acceso a la consola de administración de JBoss y la consola JMX ya está configurado (la monitorización JMX está deshabilitada) cuando instala AEM Forms en JEE en JBoss mediante el método de instalación llave en mano. Si está utilizando su propio servidor de aplicaciones JBoss, asegúrese de que el acceso a la consola de administración de JBoss y a la consola de monitorización JMX esté protegido. El acceso a la consola de monitorización JMX se establece en el archivo de configuración JBoss llamado jmx-invoker-service.xml.

Desactivación de la exploración de directorios

Después de iniciar sesión en la Consola de administración, es posible examinar la lista de directorios de la consola modificando la dirección URL. Por ejemplo, si cambia la dirección URL a una de las siguientes direcciones URL, puede aparecer un listado de directorios:

https://<servername>:8080/adminui/secured/ 
https://<servername>:8080/um/

Recomendaciones de seguridad específicas de WebLogic

Esta sección contiene recomendaciones de configuración del servidor de aplicaciones para proteger WebLogic 9.1 al ejecutar AEM Forms en JEE.

Desactivación de la exploración de directorios

Establezca las propiedades de los directorios de índice del archivo weblogic.xml en false, como se muestra en este ejemplo:

<container-descriptor> 
    <index-directory-enabled>false 
    </index-directory-enabled> 
</container-descriptor>

Habilitar el puerto SSL de WebLogic

De forma predeterminada, WebLogic no habilita el puerto de escucha SSL predeterminado, 7002. Habilite este puerto en la consola de administración del servidor de WebLogic antes de configurar SSL.

Recomendaciones de seguridad específicas de WebSphere

Esta sección contiene recomendaciones de configuración del servidor de aplicaciones para proteger WebSphere que ejecuta AEM Forms en JEE.

Desactivación de la exploración de directorios

Establezca la propiedad directoryBrowsingEnabled en el archivo ibm-web-ext.xml en false.

Habilitar la seguridad administrativa de WebSphere

1. Inicie sesión en la Consola Administrativa de WebSphere.
2. En el árbol de navegación, vaya a Security > Global Security
3. Seleccione Habilitar seguridad administrativa.
4. Desmarque Habilitar seguridad de aplicación y Usar seguridad de Java 2.
5. Haga clic en OK o Aplicar.
6. En el cuadro Mensajes, haga clic en Guardar directamente en la configuración maestra.