Безопасность TcxProvFiles

[TE-Admin]

Подскажите, пожлуйста.
Вот есть какой-то работник. Ему для удаленной работы все офиса предоставлен софтофон 3сх.
Что делать в случае увольнения работника? Если я изменю пароль или даже выполню "пересоздать", то это ником образом не меняет путь (URL) к файлу конфигурации.
И открывая этот файл в обычном браузере я вижу там все пароли: и от туннеля и новые пароли, которые сгенерировала кнопка "Пересоздать".
<ProvLinkExternal>https://blabla.my.server:5001/provisioning/KaKoyT0kd7432/TcxProvFiles/3cxProv_5L4GFFR0001001.xml</ProvLinkExternal>
Что мешает уволенному сотруднику получить доступ к паролям?
Какой вообще глубокий смысл в кнопке "Пересоздать" если URL к файлу с паролями остается тем же?
Как можно заменить/перегенеировать вот это "KaKoyT0kd7432" и вот это "5L4GFFR"?

 

[igorsnezhko]

Все файлы конфигурации не 'лежат' в папке автонастройки, а создаются 'на лету' при совпадении MAC адреса или HTTPS аутентификации. И сразу удаляются. Нет пользователя - нет подключения. https://www.3cx.com/community/threads/3cx-provisioning-folder.57531/post-240609

 

[TE-Admin]

Это я понимаю. Но ссылку, ту что в конфигурационном файле в строке <ProvLinkExternal> можно открыть на любом компьютере и увидеть все логины и пароли пользователя и туннеля.
Какой вообще смысл в кнопке "Пересоздать", которая вроде меняет все пароли, но я смогу посмотреть эти новые пароли по той же ссылке? То есть, получается, нельзя ограничить пользователя, который хотя бы один раз получил конфигурационный файл, изменением пароля или нажав кнопку "Пересоздать" на экстеншене?
Только хардкор, только полное удаление экстеншена?
То есть чтобы передать номер другому сотруднику мне нужно как минимум сначала удалить номер и потом создать такой же?
Можно как то вообще ограничить тогда доступ к этим файлам с паролями не закрывая доступ к веб-панели и ли веб интерфейсу?

 

[igorsnezhko]

Я сейчас не имею возможности проверить, но если после перегенерации XML файл доступен по той же (прежней) ссылке, но с новыми паролями, это непорядок. У вас доступен, вы пробовали?

 

[TE-Admin]

Я сейчас не имею возможности проверить, но если после перегенерации XML файл доступен по той же (прежней) ссылке, но с новыми паролями, это непорядок. У вас доступен, вы пробовали?

Все верно. Об этом и речь: после перегенерации ссылки в полях <ProvLinkExternal> и <ProvLink> файлов конфигурации и "ДО" и "ПОСЛЕ" - одинаковые. А соответственно доступны по одной и той же ссылке. Только пароли в файлах разные.
PS Лицензия ПРО эволюшн. Версия устанавливалась на Debian через apt-get install.

 

[TE-Admin]

А есть какой-то способ ограничить доступ к этим provisioning файлам?
Допустим у меня АТС в облаке в публичном интрнете. Клиенты только софтофоны 3сх, подключающиеся из разных непредсказуемых мест.
Но при этом на весь интернет у меня торчат файлы конфигов с паролями к туннелю и учеткам.
Зачем? Это же не безопасно! Любой, имея ссылку, получит доступ.
Можно как-то временно приоткрывать доступ, пока пользователь первично устанавливает у себя софтофон? Ну или я что-то меняю, открываю доступ, софтофоны, обнаружив рабочую ссылку обновляют у себя конфигурацию, и я закрываю снова доступ к provisioning разделу? Это возможно? Еще лучше было бы выборочно открывать доступ не ко всему provisioning разделу, а к конкретному файлу учетной записи: новый сотрудник при первичной настройке получил от админа все инструкции, настроил. После чего доступ к provisioning отключается.
Если бы еще эти provisioning файлы на каком-то отдельном порту были, было бы проще: открыл порт - настроил, закрыл порт.

 

[TE-Admin]

В принципе, наверное, нашел сейчас некоторый костыль чтобы частично ограничивать доступ.
,Можно менять праметр PROVISIONING_FOLDER.

Например, при подключении нового пользователя:
1. Изменить PROVISIONING_FOLDER с фейкового на боевой.
2. Сгенерировать письмо. Дождаться пока пользователь установит 3сх.
3. Изменить PROVISIONING_FOLDER на фейковый
4. В случае обновлений, временно изменить PROVISIONING_FOLDER на боевой, пока все не обновятся, затем опять поменять на фейковый.

Но хотелось бы именно в самой админке полностью отключать/подключать публикацию PROVISIONING раздела в интернет, чтобы даже не было шанса подобрать ключ.