Thema "Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert " in Modellierung

ArchiCAD Online Lizenzaktivierung durch Proxy blockiert CEF

JochenB — Tue, 06 Sep 2022 14:50:46 GMT

Moin, ArchiCAD Community,

Um es gleich vorweg zu nehmen: Es hat nichts mit blockierten Webadressen zu tun!

Wir setzen sein 1 Jahr ArchiCAD v25 und nun v26 ein. Die Lizensierung ist Online via Serialnummer.

Genau da fängt mein Problem an: Unser unternehmensweiter Internet Proxy blockiert aus Sicherheitsgründen Softwarekomponenten des Chrome Browsers unterhalb eines bestimmten Software Levels. Diese Blockade ist auch nicht zu diskutieren. ArchiCAD 26 verwendet, soweit ich sehen kann, intern Komponenten des Chrome Browsers (CEF) von 87.x.x.x., der Chrome Browser ist mittlerweile bei einem Level >105.x.x.x angekommen.

Weiterhin ist die Online Aktivierung nur möglich (wir haben die o.a. Prüfung dazu ausgeschaltet), wenn ArchiCAD 26 1x mit Administrator-Rechten gestartet wird. Letzters kann natürlich auch an den internen UAC Regeln liegen.

Ich habe 3 Fragen:

Gibt es im ArchiCAD Universum mindesten EINEN weiteren Fall, wo eine strikte Sicherheitsrichtlinie die Internet-Freischaltung/Aktivierung blockiert?
Welche Möglichkeiten gibt es, auf das Entwicklerteam einzuwirken bzw eine Lösung zu bekommen (Ihrer Erfahrung nach)
Welche Lösungen gibt es noch für uns?

Wir hatten soeben einen Call mit dem Proxy Support zu genau diesem Thema.
Das Ergebnis bestätigt leider/glücklicherweise, dass

die Webadressen von ArchiCAD NICHT blockiert werden
die Webanmeldung im Lizenzportal jedoch aufgrund der in ArchiCAD verwendeten CHROMIUM Komponenten (CEF) unterhalb einer Version von 90.x.x.x (AC verwendet 87.x.x.x) auf Anwendungsebene blockiert wird

Wir haben testweise die Versionprüfung im Proxy abgeschaltet und konnten uns am Graphisoft-Lizenzportal anmelden.

Diese Deaktivierung im Proxy kann leider NICHT selektiv (also z.B. für bestimmte Versionen, Clients, Usernames) erfolgen sondern ist eine globale Policy (so der Proxy-Support).

Da wir von der internen Sicherheitspolicy her auch keine derartigen globalen Ausnahmen im Clientbereich zulassen steht die Verwendung der ArchiCAD Versionen nunmehr infrage.

Eine Lösung ware für mich ein ArchiCAD Patch mit einer signifikant neuern CEF Version (100+), die auch Teil einer Sicherheitsstrategie bei Graphisoft sein könnte. Nicht umsonst hat Microsoft den regelmäßigen Patch Tuesday eingeführt.
2x im Jahr würde auch reichen 😄

Ein Support Ticket habe ich eröffnet - leider "haben nur wir dieses Problem, sonst keiner".
Deshalb suche ich auf diesem Wege Mitstreiter.

Ich habe diesen Thread übrigens fast wortgleich, nur für eine andere Software (auch aus dem Nemetschek Universium 😉 ) geschrieben. Scheint ein Familien-Thema zu sein 😉

Ich bin gespannt auf eure Antworten. Vielen Dank dafür.

Grüße
Jochen

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

JochenB — Tue, 06 Sep 2022 15:07:27 GMT

Gerne hätte ich euch das Fehlerbild angehängt - leider weiss ich gerade nicht, wie das hier im Forum möglich ist.

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

Su — Wed, 07 Sep 2022 07:55:07 GMT

Bilder/Screenshots mit einbauen:
Wie das geht, wurde hier aufgeschrieben:

viewtopic.php?f=23&t=18774

MFG SU

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

torben_wadlinger — Wed, 07 Sep 2022 09:49:10 GMT

Dass GS es mit der Sicherheit nicht so genau nimmt kennen wir ja schon von der BIMCloud. Dass aber veraltete und unsichere Chromium-Methoden zum Einsatz kommen und AC da schön Löcher in die Sicherheitsarchitektur bohrt geht gar nicht.

Damit wäre ein Einbruch in das eigene Netzwerk über die HTML-Anmeldeseite in AC möglich. Zumal man dort nicht sieht, ob das über eine gesicherte Verbindung passiert. Das könnte auch eine umgeleitete Website sein, ohne dass man das mitbekommt. Vor dem Hintergrund, dass GS die ID zum zentralen Element erhebt ist das grob fahrlässig.

https://www.heise.de/news/Google-schlie ... 64139.html

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

JochenB — Fri, 09 Sep 2022 15:51:40 GMT

So, hier ist noch das Bild. Ich habe einen vorhandenen Onlinespeicher verwendet. Ich hoffe, ihr könnt das Bild öffnen.

https://c.web.de/@1149152175771877855/ysqHvhAwQPWDp-RvAcCC-g

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

JochenB — Thu, 13 Oct 2022 07:28:54 GMT

Hallo ArchiCAD Community,
bis jetzt hat sich keiner zu diesem Thema geäussert, was mich schon etwas verwundert. Sind wir wirklich die EInzigen mit dieser Auswirkung? Unsere Secuity ABteilung bombardiert uns fast täglich mit möglichen Sicherheitslücken, die wir schließen sollten - und das ArchiCAD ist nach wie vor eine davon.

Leider hat mich der SUpport mit der Aussage "das hatten wir noch nie, Sie sind der Einzige" abgeschmettert. Selbst wenn wir die Einzigen wären so ist es doch die Verantwortung des Softwareherstellers, die Zeichen der Zeit zu erkennen und eine kritische Sicherheitsanalyse der eigenen Software und Schnittstellen durchzuführen und diese in den zentralen Komponenten aktuell zu halten.

Ich erinnere an die Log4J Lücke - die hatte es sogar in die Tagesschau geschafft.
Google führt wöchentlich Patches des Chrome durch. Microsoft all 4 Wochen mit dem Patchday. Warum nur?

In einem Podcast des Deutschlandfunks zu "Computer und Kommunikation" wurde genau dieses Thema der Schnittstellen zu nicht selbst entwickelten Programmodulen (API Security) vorgestellt - damals unter dem Eindruck der letzten iOS Lücken. Hört da mal rein.

https://www.deutschlandfunk.de/zwei-sch ... 0-100.html

Wir sind ein Industrieunternehmen und adressieren das Thema Internetsecurity sehr fokussiert - alles andere ist n.m.M. schlichtweg fahrlässig in der heutgen Zeit.

Hört mal in den Podcast rein und bewertet das selbst für euch - und dann stellt Graphisoft vor ihre Verantwortung als moderner Softwarehersteller. Wir leben nicht mehr im DOS und WIn95 Zeitalter.

Hört sich fast wie ein Brandbrief an...ich bin auch deswegen gefrustet, weil ich wir diese Software getestet und gekauft haben, doch nun 1 Jahr später nicht mehr einsetzen können.

Grüße
Jochen

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

Frank Beister — Thu, 13 Oct 2022 08:08:09 GMT

Ich würde hierzu Holger direkt ansprechen, er kann das vielleicht zum HQ weiterleiten.

Als Alternative könnte ich mir die Verwendung eines Dongles denken. Das erfordert nur einen Host im Intranet auf dem der Wibukey Server läuft und die Warze steckt. Der könnte glaube ich sogar auf Linux laufen.

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

Ole — Thu, 13 Oct 2022 08:28:37 GMT

Als Alternative könnte ich mir die Verwendung eines Dongles denken. Das erfordert nur einen Host im Intranet auf dem der Wibukey Server läuft und die Warze steckt. Der könnte glaube ich sogar auf Linux laufen.

Oder noch einfacher, Dongles die direkt an den Arbeitsplatzrechnern stecken. 😉

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

torben_wadlinger — Thu, 13 Oct 2022 11:44:19 GMT

Vor dem Hintergrund, dass GS uns alle in Richung Software-Dongle drücken will, ist das keine echte Alternative. Und es ändert auch nichts daran, dass Archicad-Kernkomponenten mit veralteten Software-Bibliotheken daher kommen. Daher hat Jochen hier schon recht. Spätestens wenn mal ein erfolgreicher Angriff auf eine BIMCloud-aaS-Infrastruktur erfolgt hat GS ein Problem.

</Aluhut on>
Vielleicht behält aber GS den guten Kram für sich und verkauft uns nur den unsicheren Windows/Mac-Kram.
</Aluhut off>

Nachtrag:
Ihr könntet die Anfragen des Dongles lokal auf den Rechnern über einen Hosts-Eintrag über ein (TOR-) VPN umleiten und damit die Firewall tunneln.

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

JensDD — Thu, 13 Oct 2022 13:18:22 GMT

Guten Tag,

es geht hier nicht tatsächlich um die Lizenzaktivierung sondern um die notwendige Anmeldung mit der Graphisoft-ID. Der Themenname ist etwas irreführend und es ist (außer in dem Bild) nie genau erklärt worum es genau geht.

vG, jens

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

torben_wadlinger — Thu, 13 Oct 2022 15:07:43 GMT

Hallo Jens,

das Thema mit der GS-ID hatte ich in meinem ersten Beitrag thematisiert. Bei der Anmeldung innerhalb des Startdialogs von AC wird eine Website angezeigt. Weder wird angezeigt wie die Adresse lautet noch ob es sich um eine gesicherte (https) Verbindung handelt. Vor dem Hintergrund, dass AC die GS-ID zum zentralen Element innerhalb des GS-Universum macht, muss hier absolute Sicherheit gewährleistet sein. Mit dem Einsatz veralteter und unsicherer Chromium-Bibliotheken ist dies nicht gewährleistet und ich bin mir zu 100% sicher, dass der Einsatz dieser Bibliotheken bei ganz vielen Unternehmen gegen die Sicherheitsbestimmungen verstößt.

Die Sicherheitslücke heißt hier nämlich man-in-the-middle.

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

JochenB — Wed, 02 Nov 2022 16:27:12 GMT

Oha, Reaktionen - wie schön!! Danke an euch.

Nun - ich muss leider zugeben, dass es nicht die Lizenzaktivierung ist sondern eine Anwendungsaktivierung, die alle 30 Tage anfällt. Da hat Jens teilweise Recht.
Bei jedem Start von ArchiCAD bekommen wir eine solche Meldung welche die Tage runterzählt. Dass diese Aktivierung nötig ist hat mir der Support bestätigt.

Die Lizenz wird mit dem Lizenzmanagement Tool auf den WibuKey geladen - und das funktioniert auch.

Warum ich die ArchiCAD Anwendung aktivieren/re-aktivieren muss wenn ich doch eine gültige Lizenz habe ist mir rätselhaft.

Der Support hat mir hier auch nicht weiter geholfen.

Ein Dongle wäre eine Lösung - die wollen wir aber nicht - warum auch? Nur um eine -sorry- dämliche Lücke in der SW Entwicklung zu füllen? (Ich weiß, dass man in der IT viel mit Workarounds arbeitet).

Aktuell schränken wir ausserdem den Gebrauch von USB Ports stark ein - vornehmlich für USB Speichersticks. Wann dann solche Lizenzdongles nicht mehr funktionieren...? Die neuen Notebooks haben nur noch USBC Ports - brauche ich wieder einen Adapter... Es hört nie auf!

Nun, ich habe immer noch keine Antwort vom ArchiCAD-Support erhalten.
Wo kann man einen einfachen Enhancement Request stellen? Der Support sagt "garnicht"! Na Toll!

Grüße
Jochen

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

kleiner Nick — Thu, 03 Nov 2022 08:22:33 GMT

Warum ich die ArchiCAD Anwendung aktivieren/re-aktivieren muss wenn ich doch eine gültige Lizenz habe ist mir rätselhaft.
(...)
Ein Dongle wäre eine Lösung - die wollen wir aber nicht - warum auch?

Leider nein: Wir haben noch die alten Dongle, und trotzdem müssen wir ab AC25 die Installationen mit einem Account verifizieren 👿
Das verstieß anfangs sogar gegen den Vertrag, den wir hatten, und in den AGB/EULA, die man vor Installation abnicken musste, war davon sogar in der ersten AC25-Version keine Rede von. Haben sie dann schnell geändert 😉

Für mich war das (unter anderem) ein Kündigungsgrund, und fast hatte ich die Geschäftsleitung auch soweit, aber dann war die Scheu vor dem Aufwand, das System zu wechseln, doch zu groß. Das weiß GS natürlich auch...

Re: ArchiCAD Online Lizenzaktivierung durch Proxy blockiert

torben_wadlinger — Fri, 04 Nov 2022 06:59:14 GMT

So, ich hab den traffic mal mitgeschnitten. Die Anmeldung erfolgt via Port 443 (https) an einem Azure-Server von Microsoft bzw. wird von der IP dann in das MS-Reich weitergeleitet. Die IP wird Redmond direkt zugeordnet, eventuell wird von dort wieder nach Europa zurück geroutet, aber das kann man nicht nachverfolgen.

Surft man die IP direkt an, gibt es lustigerweise einen Zertifikatsfehler, obwohl das Zertifikat Microsoft gehört.

Das hat mich neugierig gemacht. Ich kann mich nicht erinnern jemals GS wissentlich die Einwilligung gegeben zu haben, dass GS meine Daten an MS weiterreichen darf. Schaut man in die Datenschutzrichtlinie (die man bei der Anmeldung anhaken muss, sonst kann man AC nicht benutzen), findet man unter Kapitel 6, findet man den Passus, dass GS das Recht erhält persönliche Daten außerhalb der EU zu speichern und zu verarbeiten.

https://graphisoft.com/legal/privacy-po ... get=_blank

6. INTERNATIONAL TRANSFERS
6.1 As indicated above, we share your personal data within the GRAPHISOFT PARTNERS as follows:

You provide us with certain personal data when registering at our Websites. In such case, if you consent to the sharing, as indicated above in the table, GRAPHISOFT as data controller may also share your Identity Data, Contact Data and Marketing and Communications Data with GRAPHISOFT PARTNERS too.
GRAPHISOFT PARTNERS use the online ordering system of GRAPHISOFT and when using it may fill in certain personal information about you. This is always the decision of the given GRAPHISOFT PARTNER. In such case the GRAPHISOFT PARTNER is the data controller and GRAPHISOFT is only data processor of the partner in order to provide the electronic ordering system.
These transfers will involve transferring your data outside the European Economic Area (EEA).

6.2 Also, since many of our external third parties are based outside the European Economic Area (EEA) (such as Microsoft, Inc., Digital Ocean, Inc., Salesforce.com, Inc.), so their processing of your personal data will involve a transfer of data outside the EEA.

6.3 Whenever we transfer your personal data outside of EEA, we contractually ensure a similar degree of protection is afforded to it by ensuring at least one of the following safeguards is implemented:

we will only transfer your personal data to countries that have been deemed to provide an adequate level of protection for personal data by the European Commission. For further details, see European Commission: Adequacy of the protection of personal data in non-EU countries.
(b) where we use certain service providers, we may use specific contracts approved by the European Commission which give personal data the same protection it has in Europe. For further details, see European Commission: Model contracts for the transfer of personal data to third countries.
(c) where we use providers based in the US, we may transfer data to them if they are part of the Privacy Shield which requires them to provide similar protection to personal data shared between the Europe and the US. For further details, see European Commission: EU-US Privacy Shield.

Wenn ich mit einem Autodesk-Produkt arbeite, dann weiß ich worauf ich mich einlasse. Aber Archicad als europäisches Produkt mit europäischer Tradition - da hätte ich etwas anderes erwartet.