ArchiCAD Online Lizenzaktivierung durch Proxy blockiert CEF

[JochenB]

Moin, ArchiCAD Community,

Um es gleich vorweg zu nehmen: Es hat nichts mit blockierten Webadressen zu tun!

Wir setzen sein 1 Jahr ArchiCAD v25 und nun v26 ein. Die Lizensierung ist Online via Serialnummer.

Genau da fängt mein Problem an: Unser unternehmensweiter Internet Proxy blockiert aus Sicherheitsgründen Softwarekomponenten des Chrome Browsers unterhalb eines bestimmten Software Levels. Diese Blockade ist auch nicht zu diskutieren. ArchiCAD 26 verwendet, soweit ich sehen kann, intern Komponenten des Chrome Browsers (CEF) von 87.x.x.x., der Chrome Browser ist mittlerweile bei einem Level >105.x.x.x angekommen.

Weiterhin ist die Online Aktivierung nur möglich (wir haben die o.a. Prüfung dazu ausgeschaltet), wenn ArchiCAD 26 1x mit Administrator-Rechten gestartet wird. Letzters kann natürlich auch an den internen UAC Regeln liegen.

Ich habe 3 Fragen:

1. Gibt es im ArchiCAD Universum mindesten EINEN weiteren Fall, wo eine strikte Sicherheitsrichtlinie die Internet-Freischaltung/Aktivierung blockiert?
2. Welche Möglichkeiten gibt es, auf das Entwicklerteam einzuwirken bzw eine Lösung zu bekommen (Ihrer Erfahrung nach)
3. Welche Lösungen gibt es noch für uns?

Wir hatten soeben einen Call mit dem Proxy Support zu genau diesem Thema.
Das Ergebnis bestätigt leider/glücklicherweise, dass

1. die Webadressen von ArchiCAD NICHT blockiert werden
2. die Webanmeldung im Lizenzportal jedoch aufgrund der in ArchiCAD verwendeten CHROMIUM Komponenten (CEF) unterhalb einer Version von 90.x.x.x (AC verwendet 87.x.x.x) auf Anwendungsebene blockiert wird

Wir haben testweise die Versionprüfung im Proxy abgeschaltet und konnten uns am Graphisoft-Lizenzportal anmelden.

Diese Deaktivierung im Proxy kann leider NICHT selektiv (also z.B. für bestimmte Versionen, Clients, Usernames) erfolgen sondern ist eine globale Policy (so der Proxy-Support).

Da wir von der internen Sicherheitspolicy her auch keine derartigen globalen Ausnahmen im Clientbereich zulassen steht die Verwendung der ArchiCAD Versionen nunmehr infrage.

Eine Lösung ware für mich ein ArchiCAD Patch mit einer signifikant neuern CEF Version (100+), die auch Teil einer Sicherheitsstrategie bei Graphisoft sein könnte. Nicht umsonst hat Microsoft den regelmäßigen Patch Tuesday eingeführt.
2x im Jahr würde auch reichen 😄


Ein Support Ticket habe ich eröffnet - leider "haben nur wir dieses Problem, sonst keiner".
Deshalb suche ich auf diesem Wege Mitstreiter.

Ich habe diesen Thread übrigens fast wortgleich, nur für eine andere Software (auch aus dem Nemetschek Universium 😉 ) geschrieben. Scheint ein Familien-Thema zu sein 😉

Ich bin gespannt auf eure Antworten. Vielen Dank dafür.

Grüße
Jochen

[JochenB]

Gerne hätte ich euch das Fehlerbild angehängt - leider weiss ich gerade nicht, wie das hier im Forum möglich ist.

[Su]

Bilder/Screenshots mit einbauen:
Wie das geht, wurde hier aufgeschrieben:

viewtopic.php?f=23&t=18774

MFG SU

[torben_wadlinger]

Dass GS es mit der Sicherheit nicht so genau nimmt kennen wir ja schon von der BIMCloud. Dass aber veraltete und unsichere Chromium-Methoden zum Einsatz kommen und AC da schön Löcher in die Sicherheitsarchitektur bohrt geht gar nicht.

Damit wäre ein Einbruch in das eigene Netzwerk über die HTML-Anmeldeseite in AC möglich. Zumal man dort nicht sieht, ob das über eine gesicherte Verbindung passiert. Das könnte auch eine umgeleitete Website sein, ohne dass man das mitbekommt. Vor dem Hintergrund, dass GS die ID zum zentralen Element erhebt ist das grob fahrlässig.

https://www.heise.de/news/Google-schlie ... 64139.html

[JochenB]

So, hier ist noch das Bild. Ich habe einen vorhandenen Onlinespeicher verwendet. Ich hoffe, ihr könnt das Bild öffnen.

https://c.web.de/@1149152175771877855/ysqHvhAwQPWDp-RvAcCC-g

[JochenB]

Hallo ArchiCAD Community,
bis jetzt hat sich keiner zu diesem Thema geäussert, was mich schon etwas verwundert. Sind wir wirklich die EInzigen mit dieser Auswirkung? Unsere Secuity ABteilung bombardiert uns fast täglich mit möglichen Sicherheitslücken, die wir schließen sollten - und das ArchiCAD ist nach wie vor eine davon.

Leider hat mich der SUpport mit der Aussage "das hatten wir noch nie, Sie sind der Einzige" abgeschmettert. Selbst wenn wir die Einzigen wären so ist es doch die Verantwortung des Softwareherstellers, die Zeichen der Zeit zu erkennen und eine kritische Sicherheitsanalyse der eigenen Software und Schnittstellen durchzuführen und diese in den zentralen Komponenten aktuell zu halten.

Ich erinnere an die Log4J Lücke - die hatte es sogar in die Tagesschau geschafft.
Google führt wöchentlich Patches des Chrome durch. Microsoft all 4 Wochen mit dem Patchday. Warum nur?

In einem Podcast des Deutschlandfunks zu "Computer und Kommunikation" wurde genau dieses Thema der Schnittstellen zu nicht selbst entwickelten Programmodulen (API Security) vorgestellt - damals unter dem Eindruck der letzten iOS Lücken. Hört da mal rein.

https://www.deutschlandfunk.de/zwei-sch ... 0-100.html

Wir sind ein Industrieunternehmen und adressieren das Thema Internetsecurity sehr fokussiert - alles andere ist n.m.M. schlichtweg fahrlässig in der heutgen Zeit.

Hört mal in den Podcast rein und bewertet das selbst für euch - und dann stellt Graphisoft vor ihre Verantwortung als moderner Softwarehersteller. Wir leben nicht mehr im DOS und WIn95 Zeitalter.

Hört sich fast wie ein Brandbrief an...ich bin auch deswegen gefrustet, weil ich wir diese Software getestet und gekauft haben, doch nun 1 Jahr später nicht mehr einsetzen können.

Grüße
Jochen

[Frank Beister]

Ich würde hierzu Holger direkt ansprechen, er kann das vielleicht zum HQ weiterleiten.

Als Alternative könnte ich mir die Verwendung eines Dongles denken. Das erfordert nur einen Host im Intranet auf dem der Wibukey Server läuft und die Warze steckt. Der könnte glaube ich sogar auf Linux laufen.

[Ole]

Als Alternative könnte ich mir die Verwendung eines Dongles denken. Das erfordert nur einen Host im Intranet auf dem der Wibukey Server läuft und die Warze steckt. Der könnte glaube ich sogar auf Linux laufen.

Oder noch einfacher, Dongles die direkt an den Arbeitsplatzrechnern stecken. 😉

[torben_wadlinger]

Vor dem Hintergrund, dass GS uns alle in Richung Software-Dongle drücken will, ist das keine echte Alternative. Und es ändert auch nichts daran, dass Archicad-Kernkomponenten mit veralteten Software-Bibliotheken daher kommen. Daher hat Jochen hier schon recht. Spätestens wenn mal ein erfolgreicher Angriff auf eine BIMCloud-aaS-Infrastruktur erfolgt hat GS ein Problem.

</Aluhut on>
Vielleicht behält aber GS den guten Kram für sich und verkauft uns nur den unsicheren Windows/Mac-Kram.
</Aluhut off>

Nachtrag:
Ihr könntet die Anfragen des Dongles lokal auf den Rechnern über einen Hosts-Eintrag über ein (TOR-) VPN umleiten und damit die Firewall tunneln.

[JensDD]

Guten Tag,

es geht hier nicht tatsächlich um die Lizenzaktivierung sondern um die notwendige Anmeldung mit der Graphisoft-ID. Der Themenname ist etwas irreführend und es ist (außer in dem Bild) nie genau erklärt worum es genau geht.

vG, jens