Daha önce Outlook Web Access üzerinde SSL yapılandırmasını incelemiÅŸtik. Åžimdi OWA güvenliÄŸinin sınırlarını biraz daha zorlayalım istiyorum. BildiÄŸiniz gibi genelde ÅŸifrenizi kırmak isteyen kötü niyetli bir kullanıcı bu iÅŸlemi tek tek ÅŸifreleri deneyerek yapmaz. Bunun için bir ÅŸifre havuzundan, ÅŸifreleri otomatik deneyen bir bot kullanır. Bu iÅŸleme bruteforce attack denir. OWA üzerinde brute force attacklere karşı alabileceÄŸimiz en iyi önlemlerden biri  Captcha Validation ‘dır.

Captcha validation nedir? Aslında çoÄŸumuz internet sitelerine üye olurken bir çok kez kullandık ancak ismini bilmiyor olabiliriz. Completely Automated Public Turing test to tell Computers and Humans Apart (Captcha); kullanıcı adı ve ÅŸifre ile birlikte, site üzerinde rasgele beliren bir resim dosyası üzerindeki karakterlerin de kullanıcı tarafından yazılmasını gerektiren bir kimliklendirme biçimidir. Bruteforce yapan bir bot, resim dosyası üzerindeki yazıyı okuyamayacağı için kullanıcı adı ve ÅŸifreyi doÄŸru tahmin etse bile sisteme giremeyecektir. Böylelikle sisteminiz botlarla insanları ayırt etme yetisine sahip olacaktır.

Peki captcha validation’ı OWA ile nasıl entegre edeceÄŸiz? Bunun için bir çok çözüm var ancak ben tamamen ücretsiz olan Jonathan Feaster tarafından yazılmış bir script ile konuyu örneklemek istiyorum. http://www.archreality.com/jcap/ ‘den jcap.zip dosyasını indirip sisteminizde c:\program files\exchsrvr\exchweb\ dizinine açmamız gerekiyor. Ä°ki adet .js dosyası ve bir de resim dosyalarının tutulduÄŸu cimg adında bir klasör göreceksiniz.

Åžekil-1

Daha sonra C:\Program Files\Exchsrvr\exchweb\bin\auth\ klasörünü açın. Klasör içerisinde kullanıcı OWA ‘ya logon olurken karşınıza gelen asp sayfasına ait logon.asp dosyalarını içeren farklı diller için ayrı ayrı klasörler göreceksiniz. EÄŸer birden çok dil için yapılandırmak istiyorsanız logon.asp dosyalarını tek tek modifiye etmelisiniz. Ben burada sadece türkçe için gerekli ayarlamaları anlatacağım. C:\Program Files\Exchsrvr\exchweb\bin\auth\trk\logon.asp dosyasının bir yedeÄŸini alalım. (En iyi bildiÄŸimiz iÅŸi yapıyor olsak bile yedek her zaman iyidir!) Dosyayı notepad ile açalım. Dosya içinde </HEAD> kelimesini aratalım ve bu kelimenin önüne aÅŸağıdaki kodu yapıştıralım. (Javascript’in case sensitive olduÄŸunu unutmayalım)

<script type="text/javascript" language="javascript" src="/exchweb/md5.js"></script>

<script type="text/javascript" language="javascript" src="/exchweb/jcap.js"></script>

<script type="text/javascript" language="javascript">

function doJcap()

{

  if (jcap() == true)

    { document.forms[0].action = "/exchweb/bin/auth/owaauth.dll"; return true; }

  else

    { return false; }

}

</script>

Åžekil-2

Åžimdi <FORM kelimesini aratalım ve  <FORM ile action arasına aÅŸağıdaki kodu yerleÅŸtirelim.

onsubmit="return doJcap();"

AÅŸağıdaki text’i silerek action tanımlamasını kaldıralım.

action="/exchweb/bin/auth/owaauth.dll"

Birkaç satır aÅŸağıda bir <FORM> kelimesi daha göreceksiniz, bu satır için de yukarıdaki iki düzenlemeyi tekrarlayalım.

Åžekil-3

İkinci <FORM tag den sonra gelen <% End If %> satırından hemen sonraki satıra aşağıdaki kodu yerleştirin.

                <center>

<script language="javascript" type="text/javascript">cimg()</script><br>

<noscript>[This resource requires a Javascript enabled browser.]</noscript>

<font color="white" size="2"><b>Enter the code as it is shown above:</b><br>

<input type="text" name="uword" id="uword">

</center>

Åžekil-4

Logon.asp dosyası ile iÅŸimiz bitti, artık dosyayı kaydedip kapatabiliriz. Åžimdi C:\Program Files\Exchsrvr\exchweb dizinine açtığımız jcap.js dosyasını notepad ile açalım. var imgdir ile baÅŸlayan satıra ilerleyelim ve tanımlanan path’i aÅŸağıdaki gibi deÄŸiÅŸtirelim.

                var imgdir = "/exchweb/cimg/";

Åžekil-5

Jcap.js dosyasını kaydedip kapatalım. Ä°ÅŸlemimiz bitti artık OWA ya bir daha ki logon sırasında sistem karşınıza bir jpg dosyası getirecek ve kullanıcı adı + ÅŸifreniz yanında bu jpg dosyasındaki karakterleri yazmanızı isteyecektir. Böylelikle bir spambot ile normal bir kullanıcıyı ayırt etmiÅŸ olacak, OWA güvenliÄŸini bir kat daha arttırmış olacaksınız.

Konu ile ilgili sorularınızı makale baÅŸlığı ile birlikte Bu e-Posta adresi istek dışı postalardan korunmaktadır, görüntülüyebilmek için JavaScript etkinleÅŸtirilmelidir ‘a email gönderebilirsiniz.

Ä°yi Çalışmalar...