Posts Tagged: ‘Notes Traveler’

Hotfix für Traveler Probleme

12. Dezember 2016 Posted by Christoph Salka

IBM Notes Traveler
Nach Installation des Updates auf Traveler 9.0.1.15 haben wir in einigen Fällen, und waren damit wohl auch nicht alleine, beim Start des Traveler-Servers die folgende Fehlermeldung bemerkt:

"Traveler: WARNING *system Exception caught trying to create constraint PK_INVMAP on Table INV_MAP. Exception Thrown: com.lotus.sync.db.PersistenceException: java.sql.SQLSyntaxErrorException: 'DEVUID' cannot be a column of a primary key because it can contain null values."

Das ist offenbar ein bekanntes Problem bei IBM - wobei es eigentlich auf keinen echten Fehler hinweist.

Dafür und für die folgenden Themen im Traveler 9.0.1.15 stellt IBM derzeit einen Hotfix bereit​:

  • LO90903: DUPLICATE ACCOUNT RECORDS WHERE THE ACCOUNT NAME CHARACTERS ARE IN VARIOUS LETTER CASE ARE NOT IDENTIFIED BY DBACCOUNTSCHECK
  • LO90926: STANDALONE TRAVELER SERVERS WITH INCORRECT DATABASE SCHEMA NEED AN ADDITIONAL SCHEMA MANAGEMENT METHOD FROM THE TRAVELER SERVER.
  • LO90807: BETTER DETECTION AND HANDLING OF MAIL WITH UNSUPPORTED ENCODING TYPE "UUENCODE"

Um den Fix zu erhalten, muss zunächst ein PMR aufgemacht werden. IBM stellt dann einen Download für den Fix bereit, welcher in einem ZIP-Archiv gepackt ist. Für die Installation des Fixes reicht ein Entpacken und Ausführen des Installers. Wichtig hierbei ist jedoch, dass der Domino Server vorher beendet werden muss. Der Erfolg der Installation kann anschließend mittels des "tell traveler version" Kommandos verifiziert werden. Sollte bei der Installation ein Fehler aufgetreten sein, oder der Fix Probleme bereiten, kann der Fix durch das Installieren der vorherigen Version wieder rückgängig gemacht werden.


Neue Richtlinien für IBM Traveler und TLS/SSL veröffentlicht (bis zum 01.01.2017 umzusetzen)

5. Oktober 2016 Posted by Manuel Nientit

IBM Notes Traveler
Am Dienstag hat IBM detaillierte neue Richtlinien veröffentlicht, wie die Verbindung zwischen den Smartphones und dem Traveler-Server zu sichern ist. Wenn diese am 01.01. nächsten Jahres nicht eingehalten werden, können sich die Smartphones mit Verse, Traveler oder Companion-App nicht mehr mit dem Traveler Server verbinden.

Die meisten dieser Richtlinien werden eingehalten, indem ein Domino-Server 9.0.1 FP5+ installiert ist und auch sonst common sense die TLS-Konfiguration beherrscht. Ein paar Dinge sind dennoch hervorzuheben:
  • TLS-Zertifikat müssen vertrauenswürdig sein. Entweder sind sie von einer vertrauenswürdigen CA erzeugt oder die eigene CA ist auf den Geräten im Truststore
  • Die Zertifikate müssen mit SHA-256 oder neuer erzeugt worden sein - das ist zu Beispiel nicht der Fall, wenn sie mit der certsrv.nsf erzeugt wurden
  • Die Verbindung muss mit TLS 1.2 hergestellt werden. Geräte, die das nicht unterstützen, können daher keine Verbindung mehr herstellen. Das betrifft zum Beispiel Androiden < 4.1 oder iOS < 5

Wenn wir Sie bei der Prüfung oder Umsetzung der Richtlinie unterstützen können, sind wir gerne für Sie da.

Quellen

Securing connections for IBM Traveler mobile applications
Domino TLS Cipher Configuration
Android SSLSocket Documentation

Neue Richtlinien für IBM Traveler und TLS/SSL veröffentlicht (bis zum 01.01.2017 umzusetzen)

5. Oktober 2016 Posted by Manuel Nientit

IBM Notes Traveler
Am Dienstag hat IBM detaillierte neue Richtlinien veröffentlicht, wie die Verbindung zwischen den Smartphones und dem Traveler-Server zu sichern ist. Wenn diese am 01.01. nächsten Jahres nicht eingehalten werden, können sich die Smartphones mit Verse, Traveler oder Companion-App nicht mehr mit dem Traveler Server verbinden.

Die meisten dieser Richtlinien werden eingehalten, indem ein Domino-Server 9.0.1 FP5+ installiert ist und auch sonst common sense die TLS-Konfiguration beherrscht. Ein paar Dinge sind dennoch hervorzuheben:
  • TLS-Zertifikat müssen vertrauenswürdig sein. Entweder sind sie von einer vertrauenswürdigen CA erzeugt oder die eigene CA ist auf den Geräten im Truststore
  • Die Zertifikate müssen mit SHA-256 oder neuer erzeugt worden sein - das ist zu Beispiel nicht der Fall, wenn sie mit der certsrv.nsf erzeugt wurden
  • Die Verbindung muss mit TLS 1.2 hergestellt werden. Geräte, die das nicht unterstützen, können daher keine Verbindung mehr herstellen. Das betrifft zum Beispiel Androiden < 4.1 oder iOS < 5

Wenn wir Sie bei der Prüfung oder Umsetzung der Richtlinie unterstützen können, sind wir gerne für Sie da.

Quellen

Securing connections for IBM Traveler mobile applications
Domino TLS Cipher Configuration
Android SSLSocket Documentation

IBM Notes Traveler 9.0.1.12 schließt bekannt gewordene Sicherheitslücke

14. Juli 2016 Posted by Manuel Nientit

IBM Notes Traveler
Gestern hat IBM eine neue Version des Notes Traveler Servers veröffentlicht.
Mit diesem Update löst IBM mehrere Probleme. Unter Anderem wird eine "XML External Entities Injection Vulnerability" geschlossen.
Außerdem wird ein Problem beseitigt, dass wir auch schon bei Kunden beobachtet haben: Wenn die MIME-Header von Anhängen und eingebetteten Bildern in E-Mails nicht korrekt sind/nicht vorhanden sind, werden die Anhänge/Bilder nicht mit dem Smartphone synchronisiert.

Quellen

IBM Traveler 9.0.1.12 Server Release Documentation
IBM Traveler Server 9.0.1.12-Downloads
Security Bulletin: XML External Entities Injection Vulnerability

IBM Notes Traveler 9.0.1.12 schließt bekannt gewordene Sicherheitslücke

14. Juli 2016 Posted by Manuel Nientit

IBM Notes Traveler
Gestern hat IBM eine neue Version des Notes Traveler Servers veröffentlicht.
Mit diesem Update löst IBM mehrere Probleme. Unter Anderem wird eine "XML External Entities Injection Vulnerability" geschlossen.
Außerdem wird ein Problem beseitigt, dass wir auch schon bei Kunden beobachtet haben: Wenn die MIME-Header von Anhängen und eingebetteten Bildern in E-Mails nicht korrekt sind/nicht vorhanden sind, werden die Anhänge/Bilder nicht mit dem Smartphone synchronisiert.

Quellen

IBM Traveler 9.0.1.12 Server Release Documentation
IBM Traveler Server 9.0.1.12-Downloads
Security Bulletin: XML External Entities Injection Vulnerability

IBM Notes Traveler: Drei Fallen beim Update auf iOS 9

18. September 2015 Posted by Manuel Nientit

IBM Notes Traveler
Es gibt drei Gründe, das aktuelle iOS 9 Update vorsichtig anzugehen:

Erstens

Es gibt ein bekanntes Problem bei der Synchronisation wiederholender Termine mit iOS 9-Geräten. Das ist aber schon in der Version 9.0.1.7 von IBM Notes Traveler, die kürzlich erschienen ist, gelöst.

Zweitens

Die neue "Apple Transport Security" sieht vor, dass TLS-Verbindungen von Apps nur mit ECDHE (Elliptic Curve Diffie-Hellmann Encryption) aufgebaut werden sollen. Nachzulesen ist das in der Technote 1966059. ECDHE wird von Domino aktuell noch nicht unterstützt. Allerdings ist das wohl vorerst kein Problem, da die Nachrichten-App die ATS wohl noch nicht konsequent umsetzt. Das hat Daniel Nashed getestet und in seinem Blog-Eintrag dokumentiert. Allerdings ist es m. E. nur eine Frage der Zeit, dass sich das ändert. Aber ein Update, das die ECDHE-Unterstützung nachinstalliert steht mit dem FP5 bereits in der Pipeline und erscheint voraussichtlich noch diesen Monat.

Drittens und vermutlich wichtigstens

Selbst-signierte Zertifikate werden vom Gerät nicht mehr akzeptiert, so dass dieses die Synchronisation einstellt. Dementsprechend müssen alle, die noch auf selbst-signierte Zertifikate setzen, neue erstellen und diese durch eine "Trusted CA" signieren lassen.

Gerne stehen wir für Fragen oder Unterstützung zur Verfügung.

E-Mails zwischen privat und beruflich – Erfahrungen mit IBM Notes Traveler

4. März 2015 Posted by Erika Gebhardt

image

Als Bildungsexpertin bin ich an allen Fragen rund um die Organisation und Priorisierung von Wissen und Informationen interessiert. Vor allem E-Mails stellen den Wissensarbeiter von heute vor große Herausforderungen. Vor allem die Mobil-Nutzung gewinnt hier an Bedeutung - laut einer von IBM beauftragten Studie lesen und verschicken 75 % der Befragten berufliche E-Mails via Smartphone. Eine praktische App hierfür ist IBM Notes Traveler – das kann ich aus Erfahrung bestätigen.

Die Frage, ob man Firmen-E-Mails auch zu Hause und privat lesen und bearbeiten will oder soll, wird sicher von Typ zu Typ unterschiedlich beantwortet werden. Sicher ist, dass die Arbeitswelt im Wandel ist und die Grenzen mehr und mehr ineinanderfließen. Dazu trägt sicherlich auch der leichte Zugang zu den E-Mails via Smartphone oder Tablet bei. Denn wenn man keine Ewigkeit auf das Hochfahren des Windows-Rechner warten muss, dann fällt es entschieden leichter, noch mal schnell einen Blick in die Mails zu werfen, um eine Sache ruhigen Gewissens abzuschließen.

Auf meinem privaten iPad und auf meinem Android Smartphone habe ich den IBM Notes Traveler installiert.

Will ich mein Privates Endgerät wirklich für die Arbeit bei IBM nutzen?

Auf meinem privaten iPad und auf meinem Android Smartphone habe ich den IBM Notes Traveler installiert. Diese Frage, ob ich darauf auch Berufliches bearbeiten will, habe ich mir nicht lange gestellt, weil ich dank einer Elternzeitpause im Jahre 2000 bereits weitgehend von der E-Mail-Plage geheilt bin.

Interessant ist für mich, dass ich neue Apps ausprobieren kann, um zu sehen, ob sie für mein Themengebiet „mobile Bildung“ relevant oder empfehlenswert sind. Die mobile Verbindung teste ich zuhause und unterwegs, um zu einem Urteil zu kommen, unter welchen Umständen die Lösung praxistauglich ist. Relevante Kriterien dafür sind: gute Zugriffszeiten, gutes Benutzer-Interface, leichte Bedienung, voller Funktionsumfang und die Sicherheit.

Wie kann ich private und berufliche E-Mails trennen?image

Wie lässt sich Privat und Beruf auf dem Gerät trennen? Hier unterscheidet sich IBM Lotus Traveler auf den Apple und Android Endgeräten wesentlich. Während bei iOS der E-Mail Client des Betriebssystems standardmäßig für die beruflichen E-Mails genutzt wird, ist unter Android die E-Mail bereits von Anfang an in einer separaten App. Das gefällt mir sehr gut.

Praxistipp für Traveler Benutzer unter iOS:
In der Praxis hat es sich unter iOS bewährt, die E-Mail App des privaten E-Mail Accounts zu installieren, so dass die Trennung leichter fällt. Wer trotzdem lieber private und berufliche E-Mail zusammen in einer Ansicht bearbeitet, kann zumindest in der Urlaubszeit den beruflichen E-Mail Account einfach deaktivieren.

Die zwei Screenshots (hier rechts App Einstieg / rechts unten E-Mail Menü) zeigen den IBM Notes Traveler, wie ich ihn auf meinem Android Smartphone nutze, um mit beruflichen E-Mails zu arbeiten. Einen Vergleich des Funktionsumfangs habe ich in der Tabelle erstellt. Hier ist zu sehen, was unter iOS und unter Android in der Grundfunktionalität zu E-Mails geboten wird.

Welcher Funktionsumfang steht mir zur Verfügung?

Die größte Umstellung nach der möglichen Nutzung meiner privaten Endgeräte für berufliche Zwecke war, dass die E-Mail-Funktionen zum Teil in der mobilen Lösung nicht in gewohnter Weise zur Verfügung standen. Vielleicht habe ich sie einfach nicht gefunden, denn an die Bedienung mobiler Endgeräte muss man sich auch erst gewöhnen. Sie hilft hoffentlich, sich ein erstes Bild zu machen. Jedoch möchte ich darauf hinweisen, dass sich die mobilen Apps oft so rasant weiterentwickeln, dass mit dem nächsten Update die bisher vermisste Funktion plötzlich doch zur Verfügung steht.

 

 

image

E-Mail - Grundfunktion auf mobilem Endgerät iOS Android Bemerkung

E-Mail privat -

Confidential Mail

nein ja Habe ich unter iOS leider nicht gefunden.

Abwesenheitsnotiz

Out of Office
ja
Automatische Antwort
Einstellungen Mail
ja
(siehe Abb.3)
image
(siehe Abb. 3: Beispiel IBM Notes Traveler auf Android - Menü)

Anhänge -

Attachment

ja ja
Ablage einsehen -
Ordner einsehen
ja
(begrenzt)

ja

Traveler Menü,  Einstellungen, Anwendungen,
Mail entfernen, die ..
Auswahl:
Alle Anzeigen
Signatur

ja

manuelle Anpassung

ja

manuelle Anpassung

Wer stellt sicher, dass die Unternehmensdaten geschützt werden?

In Sachen Datensicherheit liegt die Verantwortung nicht alleine bei dem Unternehmen, das die Infrastruktur zur Verfügung stellt – auch wenn ich mein privates Endgerät bei IBM registrieren lassen musste. Ebenso gibt es Richtlinien, an die ich mich halten muss. Natürlich sollte ein privates Endgerät zum Abruf beruflicher E-Mails sicher sein. Was wir unter "BYOSD—Bring Your Own Securable Device" verstehen, ist hier nachzulesen.

Ein leidiges Thema zur Absicherung des privaten Endgerätes ist die Nutzung eines Zugangscodes. Hier gestehe ich, dass das noch nicht optimal ist. Die Eingabe kann sehr störend sein, wenn ich schnell einen Anruf entgegennehmen oder auf eine Whatsapp-Nachricht antworten möchte.

Womit können wir in Zukunft rechnen?

Natürlich nutzen wir bereits unsere Soziale Plattform "IBM Connections" sehr intensiv. Aber auch hier gibt es Unterschiede in der mobilen und der Windows-Lösung. Für mich war allerdings die Integration meines beruflichen Kalenders in den privaten die Funktionalität, die den größten Vorteil brachte. Es ist herrlich, wenn eine Telefonkonferenz in Kürze startet und ich meine Einwahldaten ganz entspannt dem Smartphone entnehmen kann. Sehr neugierig bin ich auf die mobile Lösung von IBM Verse und begebe mich schon mal auf die Suche, wie ich für diese Lösung auch zum „Early Adopter“ werden kann.

Zum Abschluss hier noch einige Quellen, die gute Anregungen für einen bewussten Umgang mit E-Mails geben:

Alle Neuerungen zu IBM Mobile First und neue Apps gibt es hier zu sehen:

Ich wünsche allen, Dich noch nicht mit einem „Traveler" unterwegs sind, den Mut, es einfach mal auszuprobieren!

IBM Notes Traveler Installation in eigener Domino Domäne

1. Oktober 2014 Posted by Torben Busch

Ich hatte mir ja eigentlich vorgenommen, den heutigen Blog-Artikel ein bisschen an das Ergebnis des gestrigen Halbfinals anzupassen und hatte mir schon Überschriften wie "3:1 für den Traveler in der eigenen Domino Domäne - die Vor- und Nachteile noch einmal in Zeitlupe" zurecht gelegt. Aber 7:1... soooo viele Vorteile gibt's dafür nun auch wieder nicht! Lachend

Nun ja, es wird bestimmt auch ohne direkten Bezug zur WM klappen:

Im folgenden Artikel werde ich euch also das Konzept des IBM Traveler Servers in einer eigenen Domino Domäne erläutern. Das Konzept hat den Ursprung in den kurzen Updateintervallen für den Traveler Server, bedingt durch die stetige Weiterentwicklung der Smartphones. Um hier Schritt zu halten, muss man entweder seine komplette Domino Infrastruktur stetig aktuell halten oder man macht sich davon unabhängig und entkoppelt den Traveler Server von der vorhandenen Domino Infrastruktur.

Die Entkopplung ermöglicht es uns, den Traveler Server unabhängig von der restlichen Domino Infrastruktur immer auf die aktuellste Softwareversion zu bringen. Dadurch laufen wir (fast) nicht mehr Gefahr,

  • dass Mitarbeiter ein neues Smartphone bekommen, welches womöglich nicht von unserer Traveler Version unterstützt wird.
  • dass uns ein Software Update auf einem vorhandenen Smartphone die Traveler Kompatibilität nimmt.

Mögliche Fehler und Bugs können so natürlich auch zeitnah gepatcht werden.
Für die Entkopplung gibt es zwei Umsetzungsvarianten, die abhängig von der vorhandenen Domino Infrastruktur unterschiedliche Vorteile haben:

 

Variante 1: Traveler Server in eigener Domino Domäne und Organisation

Bei dieser Variante ist der Traveler Server in einer eigenen Organisation und Domäne. Dadurch haben wir maximale Sicherheit, was allerdings einen etwas höheren Einrichtungsaufwand bedeutet.
 

Abb. 1: Der Traveler Server ist in seiner eigenen Organisation und Domäne unabhängig von der restlichen Domino Infrastruktur installiert.

 

Der Traveler Server kann immer aktualisiert werden

Da sich der Traveler Server in einer eigenen Domäne befindet, kann er unabhängig von der restlichen Domino Infrastruktur aktuell gehalten werden. Damit sind Konstellationen wie eine 8.5.3 Domino Server Infrastruktur in Kombination mit einem 9.0.1 Traveler Server ohne Einschränkungen möglich.

 

Mehr Sicherheit

Der Traveler Server sollte unbedingt in der DMZ des Netzwerkes stehen, da er einen Service ins Internet anbietet. Mit der DMZ wird der Server auf Netzwerkebene von dem Intranet abgeschottet, auf Domino Ebene schaffen wir das durch eine eigene Domino Organisation und haben so eine weitere Sicherheitsebene, da der Traveler Server nur sehr limitierten Zugriff auf die bereits bestehende Organisation der restlichen Domino Infrastruktur hat.

 

Sind in dieser Konstellation verschlüsselte E-Mails möglich?

Ja! Trotz getrennter Organisationen ist es möglich, verschlüsselte E-Mails über den Traveler zu lesen und zu schreiben. Dazu müssen die Notes ID Dateien der Benutzer in den Postfächern hinterlegt werden. Für Details verweise ich auf den Blogeintrag von Stephen Bailey zu dem Thema. Falls diese Lösung für euer Unternehmen zu aufwändig ist, ihr aber auf die Verschlüsselung von E-Mails nicht verzichten wollt, solltet ihr euch alternativ die zweite Umsetzungsvariante anschauen.

 

Voraussetzungen:

  • Netzwerkkonnektivität zwischen dem Traveler Server und den Mailservern über den Port 1352 (NRPC)
  • Gegenzertifikate zwischen der Traveler Server ID und der Organisation der Mailserver
  • Einbindung des Adressbuchs der Mailserver via Directory Assistance auf den Traveler Server
  • Zugriffsberechtigung des Traveler Servers auf die Mailserver sowie Editor-Rechte auf das Adressbuch der Mailserver
  • Manager-Rechte auf die Postfächer der Traveler Benutzer für den Traveler Server
  • Notes ID in den Postfächern der Traveler Benutzer (Optional, aber zum Lesen von verschlüsselten E-Mails notwendig)

 

Variante 2: Traveler Server in eigener Domino Domäne und vorhandener Organisation

Bei dieser Variante ist der Traveler Server in der bestehenden Domino Organisation und in einer eigenen Domäne installiert. Dadurch erkaufen wir uns die weniger aufwändige Einrichtung, gerade wenn E-Mail-Verschlüsslung via Traveler gefordert ist, mit einer etwas verminderten Sicherheit. Der Vorteil der problemlosen Aktualisierbarkeit bleibt erhalten.

 

Abb. 2: Der Traveler Server ist weiterhin in der Organisation des Unternehmens installiert – hier aber in einer eigenen Domäne.

 

Unterschiede zu Variante 1 

  • Der Traveler Server benötigt keine Gegenzertifikate zur bestehenden Organisation, da er Teil dieser ist.
  • Damit über den Traveler Server verschlüsselte E-Mails gelesen und geschrieben werden können, müssen die Notes ID Dateien der Benutzer lediglich im IBM ID Vault liegen und der Traveler Server muss Zugriff auf die ID Vault Datenbank haben.
  • Auf Domino-Ebene findet keine Trennung zwischen Intranet und DMZ statt.

 

Generell empfehlen wir unseren Kunden die Variante 1 aufgrund der höheren Sicherheit. Aber natürlich hat Variante 2 auch ihre Vor- und Nachteile. Die Frage, welche Variante letztendlich für euch die beste ist, können wir gerne in den Kommentaren diskutieren ...

... genauso wie die Frage nach dem besseren Endgegner am Sonntag: Niederlande oder Argentinien??

In diesem Sinne: Fiiiiinaalee!!

 

Anmeldeproblem in Traveler 9.0.1 mit neuem IF3 nicht gelöst

4. Februar 2014 Posted by Manuel Nientit

Bei der Neuinstallation eines Traveler Servers der Version 9.0.1 bin ich über ein Problem gestolpert, das auch schon bei den "Netzgoettern" trefflich beschrieben ist.
Ganz grob:
  • Nutzer versucht sich auf der Travelerwebseite einzuloggen und bekommt Meldung: "Der IBM Notes Traveler-Server kann Ihre Benutzer-ID CN=Nutzer Name/O=org nicht in eine Maildatenbank auflösen."
  • Bei der Eingabe des Konsolen-Befehls "tell traveler show cn=nutzer name/o=org" antwortet der Server mit: "Command 'user Nutzer Name' failed because the user Nutzer Name does not have IBM Notes Traveler access rights."
  • Bei hochgedrehtem logging findet sich in den Traveler Activity Logs: "The Domino server CN=Server Name/O=org for CN=Nutzer Name/O=org does not support "Unread flags" for IBM Notes Traveler"
Tatsächlich ist aber bei den betroffenen Nutzern die Replikation der Unread-Marks aktiviert und auch sonst trifft kein Hinweis oder Workaround zu. Selbst die Installation des IF2 vermochte keine Abhilfe zu schaffen - anders als bei den Netzgoettern beschrieben bzw. von IBM versprochen. Ich vermute, dass es womöglich ein wenig damit zusammen hängt, dass der Traveler-Server in seiner eigenen Notes-Domäne den Eremiten macht und nur über die Directory Assistance mit der Domino-Maildomäne verbunden ist, die aber offensichtlich funktioniert.

Meine Hoffnungen in das neue IF3 wurden leider enttäuscht. Das Problem bleibt. Als kleine Verbesserung sieht man jetzt aber auch ohne hochgedrehtes logging und mit einem direkten Blick in die Konsole die eigentliche Fehlermeldung .

Bleibt aus meiner Sicht nur, die auch von den Netzgoettern ausgesprochene (aber dort inzwischen widerrufene) Installationswarnung vorerst aufrecht zu erhalten.

Zu dem Thema habe ich aktuell noch einen PMR bei IBM offen. Ich werde an dieser Stelle über etwaigen Fortschritt berichten.