OSC Technische Dokumentation

Technische Grundlage

Als technische Grundlage für das OSC wird DotNetNuke verwendet.
DotNetNuke (DNN) ist ein freies Web Application Framework auf Basis der Plattform ASP.NET und wird vom Internet Information Server im Windows Betriebssystem gehostet.
Der Funktionsumfang des Systems wird durch Module realisiert, die gekapselte Applikationen darstellen. Auch unsere Anwendung OM-Hausverwaltung wurde als Modul realisiert.
Als DotNetNuke Version wird von uns die DNN 6.2.3 verwendet.

Sicherheit

Für das OSC sollte auf jeden Fall ein gültiges, offizielles SSL Zertifikat mit mindestens 2048-Bit Verschlüsselung verwendet werden.
Auf dem IIS sollte im Bereich SSL-Einstellungen die Option "SSL erforderlich" gesetzt sein.
Für die DNN-Benutzer HOST bzw. admin sollte auf jeden Fall ein sicheres Passwort verwendet werden welches aus Zahlen, Buchstaben und Sonderzeichen besteht.
Verhindern von SQL Injection
- SQL-Injections sind dann möglich, wenn Daten wie beispielsweise Benutzereingaben in den SQL-Interpreter gelangen. Denn Benutzereingaben können Zeichen enthalten, die für den SQL-Interpreter Sonderfunktion besitzen und so Einfluss von außen auf die ausgeführten Datenbankbefehle ermöglichen. Solche Metazeichen in SQL sind zum Beispiel der umgekehrte Schrägstrich (Backslash), das Anführungszeichen, der Apostroph und das Semikolon.
- Der sicherste Weg um einen Zugriff zu verhindern ist es, die Daten überhaupt vom SQL-Interpreter fernzuhalten. Dabei kann man auf das Kappen der Eingabe verzichten. Die Technik dazu sind gebundene Parameter in Prepared Statements. Dabei werden die Daten als Parameter an einen bereits kompilierten Befehl übergeben. Die Daten werden somit nicht interpretiert und eine SQL-Injection verhindert. Als positiven Nebeneffekt bekommt man bei bestimmten Datenbanken (z. B. Oracle) außerdem eine Steigerung der Performance.
- Das Hausverwaltungsmodul im DNN verwendet diese Methodik durchgehend und arbeitet nur mit gebundenen Parametern.

Ordner Struktur und wichtige Dateien am OSC

IIS root Verzeichnis (Meistens "C:\Inetpub\wwwroot\")
- (Ordner) WebPortal oder KundenPortal (Standard)
  - (Ordner) admin
    - (Ordner) Skins
      - (Datei) CP_ProfilAnzeigen.ascx (Dient für die Anzeige des angemeldeten Benutzers im Logo Bereich)
      - (Datei) CP_ProfilAnzeigen.ascx.cs (Dient für die Anzeige des angemeldeten Benutzers im Logo Bereich)
      - (Datei) CP_ProfilAnzeigen.xml (Dient für die Anzeige des angemeldeten Benutzers im Logo Bereich)
  - (Ordner) bin
    - (Datei) CPAustria.Hausverwaltung.dll (Geschäftslogik für die Hausverwaltungs-Lösung)
    - (Datei) CPA_NetFrameApplication.dll (Domizil+ OM DLL)
    - (Datei) CPA_NetFrameCore.dll (Domizil+ OM DLL)
    - (Datei) CPA_NetFrameCrypto.dll (Domizil+ OM DLL)
    - (Datei) CPA_NetFrameUtils.dll (Domizil+ OM DLL)
    - (Datei) CPA_NetFrameTIFF.dll (Domizil+ OM DLL)
    - (Datei) System.Data.SQLite.dll (Zugriff auf lokale SQLLite Datenbank für den Cache DLL)
    - (Datei) SQLite.Designer.dll (Zugriff auf lokale SQLLite Datenbank für den Cache DLL)
    - (Datei) HTMLReportEngine.dll (Engine zum Erstellen von HTML Berichten DLL)
  - (Ordner) DesktopModules
    - (Ordner) Hausverwaltung (Die *.ascx für die Hausverwaltungslösung)
      - (Ordner) Vorlagen (Hier befinden sich sämtliche E-Mail Vorlagen für den Versand an den Kunden)
      - (Ordner) WebSync (Powershell Scripte für die Datensynchronisation WENN ES KEIN Domizil+ OM gibt)
  - (Ordner) Portals
    - (Ordner) _default
      - (Ordner) images (Hier befinden sich teilweise Icons für die Bedienung wie z.B. Lupe, PDF-Symbol, usw.)
      - (Ordner) Skins (Hier befindet sich das angepasste Layout für den jeweiligen Kunden)
- (Datei) Web.Config (Hier befinden sich die Einstellungen wie DB, OM-Server, DMS-Server usw.)

Beziehungen zwischen dem OSC und Domizil+ OM/DMS und notwendige Firewall Regeln

Zugriff OSC-Server -> Domizil+ OM Applikations-Server
- Über das Protokoll https (Meistens Port 443) zum OM Service
  - (Einstellungen und Berechtigungen werden ermittelt über einen einstellbaren Benutzer in der Web.Config)
    - add key="AuthenticationUser" value="UserXXX"
    - add key="AuthenticationUserPWD" value="PwdXXX"
- Über TCP Port 1433 Zugriff auf den OM Datenbank Server (System-Datenbank und ALLE Mandanten-Datenbanken)
  - (Die Schäden, Schlüsselbestellungen, Namensänderungen werden übertragen)
Zugriff OSC Server -> Domizil+ DMS Applikations-Server
- Über das Protokoll https (Meistens Port 443) zum DMS Service
  - (Anzeige bzw. Download der Dokumente über einen einstellbaren Benutzer in der Web.Config, braucht die Rechte für alle Dokumente die "im WebPortal anzeigen" = true haben)
    - add key="AuthenticationUser" value="UserXXX"
    - add key="AuthenticationUserPWD" value="PwdXXX"
- DMS Datenbank Zugriff ist NICHT notwendig
Zugriff OSC Server -> SMTP Server
- Damit der OSC-Server E-Mails versenden kann.
  - (Die Einstellungen befinden sich in der Web.Config)
    - add key="Smtp_Host" value="xxx"
    - add key="Smtp_Port" value="xxx"
    - add key="Smtp_Benutzer" value="xxx"
    - add key="Smtp_Passwort" value="xxx"
    - add key="Smtp_Absender" value="office@kunde.at"
Zugriff Domizil+ OM Datenbank-Server -> OSC-Server
- Über TCP Port 1433 Zugriff auf den OSC-Datenbank Server (OSC-Datenbank, ist immer eine für alle Mandanten)
  - (Die notwendigen Daten wie Personen, Objekte, Bestandsverhältnisse, usw. werden in das Portal übertragen)

Geplante Änderungen bzw. Erweiterungen im 2016

Installationssatz für das OSC mit gleichem Zyklus wie das Domizil+ OM (Status: In Arbeit)
Abbau der direkten SQL Verbindungen zwischen OSC und Domizil+ OM. Dies wird über die https Verbindung gelöst. (Status: In Planung)
Verschiebung der Konfigurationen aus der Web.Config in die Domizil+ OM System Datenbank mit grafischer Oberfläche für die Wartung. (Status: In Planung)
- (Hier wird auch eine Lösung für die Kunden mitkonzipiert die kein Domizil+ OM haben sondern nur Domizil+ RW)