ArchiCAD Online Lizenzaktivierung durch Proxy blockiert CEF

[JochenB]

Moin, ArchiCAD Community,

Um es gleich vorweg zu nehmen: Es hat nichts mit blockierten Webadressen zu tun!

Wir setzen sein 1 Jahr ArchiCAD v25 und nun v26 ein. Die Lizensierung ist Online via Serialnummer.

Genau da fängt mein Problem an: Unser unternehmensweiter Internet Proxy blockiert aus Sicherheitsgründen Softwarekomponenten des Chrome Browsers unterhalb eines bestimmten Software Levels. Diese Blockade ist auch nicht zu diskutieren. ArchiCAD 26 verwendet, soweit ich sehen kann, intern Komponenten des Chrome Browsers (CEF) von 87.x.x.x., der Chrome Browser ist mittlerweile bei einem Level >105.x.x.x angekommen.

Weiterhin ist die Online Aktivierung nur möglich (wir haben die o.a. Prüfung dazu ausgeschaltet), wenn ArchiCAD 26 1x mit Administrator-Rechten gestartet wird. Letzters kann natürlich auch an den internen UAC Regeln liegen.

Ich habe 3 Fragen:

1. Gibt es im ArchiCAD Universum mindesten EINEN weiteren Fall, wo eine strikte Sicherheitsrichtlinie die Internet-Freischaltung/Aktivierung blockiert?
2. Welche Möglichkeiten gibt es, auf das Entwicklerteam einzuwirken bzw eine Lösung zu bekommen (Ihrer Erfahrung nach)
3. Welche Lösungen gibt es noch für uns?

Wir hatten soeben einen Call mit dem Proxy Support zu genau diesem Thema.
Das Ergebnis bestätigt leider/glücklicherweise, dass

1. die Webadressen von ArchiCAD NICHT blockiert werden
2. die Webanmeldung im Lizenzportal jedoch aufgrund der in ArchiCAD verwendeten CHROMIUM Komponenten (CEF) unterhalb einer Version von 90.x.x.x (AC verwendet 87.x.x.x) auf Anwendungsebene blockiert wird

Wir haben testweise die Versionprüfung im Proxy abgeschaltet und konnten uns am Graphisoft-Lizenzportal anmelden.

Diese Deaktivierung im Proxy kann leider NICHT selektiv (also z.B. für bestimmte Versionen, Clients, Usernames) erfolgen sondern ist eine globale Policy (so der Proxy-Support).

Da wir von der internen Sicherheitspolicy her auch keine derartigen globalen Ausnahmen im Clientbereich zulassen steht die Verwendung der ArchiCAD Versionen nunmehr infrage.

Eine Lösung ware für mich ein ArchiCAD Patch mit einer signifikant neuern CEF Version (100+), die auch Teil einer Sicherheitsstrategie bei Graphisoft sein könnte. Nicht umsonst hat Microsoft den regelmäßigen Patch Tuesday eingeführt.
2x im Jahr würde auch reichen 😄


Ein Support Ticket habe ich eröffnet - leider "haben nur wir dieses Problem, sonst keiner".
Deshalb suche ich auf diesem Wege Mitstreiter.

Ich habe diesen Thread übrigens fast wortgleich, nur für eine andere Software (auch aus dem Nemetschek Universium 😉 ) geschrieben. Scheint ein Familien-Thema zu sein 😉

Ich bin gespannt auf eure Antworten. Vielen Dank dafür.

Grüße
Jochen

[torben_wadlinger]

Hallo Jens,

das Thema mit der GS-ID hatte ich in meinem ersten Beitrag thematisiert. Bei der Anmeldung innerhalb des Startdialogs von AC wird eine Website angezeigt. Weder wird angezeigt wie die Adresse lautet noch ob es sich um eine gesicherte (https) Verbindung handelt. Vor dem Hintergrund, dass AC die GS-ID zum zentralen Element innerhalb des GS-Universum macht, muss hier absolute Sicherheit gewährleistet sein. Mit dem Einsatz veralteter und unsicherer Chromium-Bibliotheken ist dies nicht gewährleistet und ich bin mir zu 100% sicher, dass der Einsatz dieser Bibliotheken bei ganz vielen Unternehmen gegen die Sicherheitsbestimmungen verstößt.

Die Sicherheitslücke heißt hier nämlich man-in-the-middle.

[JochenB]

Oha, Reaktionen - wie schön!! Danke an euch.

Nun - ich muss leider zugeben, dass es nicht die Lizenzaktivierung ist sondern eine Anwendungsaktivierung, die alle 30 Tage anfällt. Da hat Jens teilweise Recht.
Bei jedem Start von ArchiCAD bekommen wir eine solche Meldung welche die Tage runterzählt. Dass diese Aktivierung nötig ist hat mir der Support bestätigt.

Die Lizenz wird mit dem Lizenzmanagement Tool auf den WibuKey geladen - und das funktioniert auch.

Warum ich die ArchiCAD Anwendung aktivieren/re-aktivieren muss wenn ich doch eine gültige Lizenz habe ist mir rätselhaft.

Der Support hat mir hier auch nicht weiter geholfen.

Ein Dongle wäre eine Lösung - die wollen wir aber nicht - warum auch? Nur um eine -sorry- dämliche Lücke in der SW Entwicklung zu füllen? (Ich weiß, dass man in der IT viel mit Workarounds arbeitet).

Aktuell schränken wir ausserdem den Gebrauch von USB Ports stark ein - vornehmlich für USB Speichersticks. Wann dann solche Lizenzdongles nicht mehr funktionieren...? Die neuen Notebooks haben nur noch USBC Ports - brauche ich wieder einen Adapter... Es hört nie auf!

Nun, ich habe immer noch keine Antwort vom ArchiCAD-Support erhalten.
Wo kann man einen einfachen Enhancement Request stellen? Der Support sagt "garnicht"! Na Toll!

Grüße
Jochen

[kleiner Nick]

Warum ich die ArchiCAD Anwendung aktivieren/re-aktivieren muss wenn ich doch eine gültige Lizenz habe ist mir rätselhaft.
(...)
Ein Dongle wäre eine Lösung - die wollen wir aber nicht - warum auch?

Leider nein: Wir haben noch die alten Dongle, und trotzdem müssen wir ab AC25 die Installationen mit einem Account verifizieren 👿
Das verstieß anfangs sogar gegen den Vertrag, den wir hatten, und in den AGB/EULA, die man vor Installation abnicken musste, war davon sogar in der ersten AC25-Version keine Rede von. Haben sie dann schnell geändert 😉

Für mich war das (unter anderem) ein Kündigungsgrund, und fast hatte ich die Geschäftsleitung auch soweit, aber dann war die Scheu vor dem Aufwand, das System zu wechseln, doch zu groß. Das weiß GS natürlich auch...

[torben_wadlinger]

So, ich hab den traffic mal mitgeschnitten. Die Anmeldung erfolgt via Port 443 (https) an einem Azure-Server von Microsoft bzw. wird von der IP dann in das MS-Reich weitergeleitet. Die IP wird Redmond direkt zugeordnet, eventuell wird von dort wieder nach Europa zurück geroutet, aber das kann man nicht nachverfolgen.

Surft man die IP direkt an, gibt es lustigerweise einen Zertifikatsfehler, obwohl das Zertifikat Microsoft gehört.

Das hat mich neugierig gemacht. Ich kann mich nicht erinnern jemals GS wissentlich die Einwilligung gegeben zu haben, dass GS meine Daten an MS weiterreichen darf. Schaut man in die Datenschutzrichtlinie (die man bei der Anmeldung anhaken muss, sonst kann man AC nicht benutzen), findet man unter Kapitel 6, findet man den Passus, dass GS das Recht erhält persönliche Daten außerhalb der EU zu speichern und zu verarbeiten.

https://graphisoft.com/legal/privacy-po ... get=_blank

6. INTERNATIONAL TRANSFERS
6.1 As indicated above, we share your personal data within the GRAPHISOFT PARTNERS as follows:

You provide us with certain personal data when registering at our Websites. In such case, if you consent to the sharing, as indicated above in the table, GRAPHISOFT as data controller may also share your Identity Data, Contact Data and Marketing and Communications Data with GRAPHISOFT PARTNERS too.
GRAPHISOFT PARTNERS use the online ordering system of GRAPHISOFT and when using it may fill in certain personal information about you. This is always the decision of the given GRAPHISOFT PARTNER. In such case the GRAPHISOFT PARTNER is the data controller and GRAPHISOFT is only data processor of the partner in order to provide the electronic ordering system.
These transfers will involve transferring your data outside the European Economic Area (EEA).

6.2 Also, since many of our external third parties are based outside the European Economic Area (EEA) (such as Microsoft, Inc., Digital Ocean, Inc., Salesforce.com, Inc.), so their processing of your personal data will involve a transfer of data outside the EEA.

6.3 Whenever we transfer your personal data outside of EEA, we contractually ensure a similar degree of protection is afforded to it by ensuring at least one of the following safeguards is implemented:

we will only transfer your personal data to countries that have been deemed to provide an adequate level of protection for personal data by the European Commission. For further details, see European Commission: Adequacy of the protection of personal data in non-EU countries.
(b) where we use certain service providers, we may use specific contracts approved by the European Commission which give personal data the same protection it has in Europe. For further details, see European Commission: Model contracts for the transfer of personal data to third countries.
(c) where we use providers based in the US, we may transfer data to them if they are part of the Privacy Shield which requires them to provide similar protection to personal data shared between the Europe and the US. For further details, see European Commission: EU-US Privacy Shield.

Wenn ich mit einem Autodesk-Produkt arbeite, dann weiß ich worauf ich mich einlasse. Aber Archicad als europäisches Produkt mit europäischer Tradition - da hätte ich etwas anderes erwartet.