Após nosso incidente de segurança, decidimos fazer uma atualização com foco total na segurança. Esperamos lançar esta atualização para o controle de qualidade nos próximos dias. Em seguida, lançaremos um Alfa e um Beta na próxima semana – com o final na semana seguinte. Aqui está o que estamos incluindo:
Um Painel BLF no Discador do “App” do PWA
Esse recurso imita um telefone fixo e mostra BLFs semelhantes a um telefone fixo. Os BLFs mostrarão o status de um usuário e permitirão uma transferência fácil com um clique. Os administradores podem configurar BLFs para todos os usuários acessando “Admin > Usuários > Add/Editar Usuário” e, em seguida, na guia BLF. Os usuários podem configurar seus próprios BLFs em “Configurações > BLF”.
Hashing de senhas
Nesta atualização, todas as senhas da web são hash no sistema. Isso não significa que elas eram completamente inseguras antes. Você ainda precisava de direitos de administrador para acessá-los. Mas não é uma boa prática e foi objeto do CVE-2021-45491. Resolvemos isso na Atualização 7A.
Depois de aplicar a atualização, o serviço do sistema que obtém todas as senhas atuais e as hash fará uma conversão. Os usuários podem fazer login com sua senha atual, mas recomendamos alterá-la.
O hashing de senhas se aplica somente ao login do Web Client. Por motivos de compatibilidade com versões anteriores, não faremos hash de ID e senha de autenticação SIP, senhas de tronco e gateway SIP ou senhas de túnel. Se invadidas, essas credenciais só podem ser usadas para obter acesso de chamada ao PBX. Essas credenciais de usuário não podem ser elevadas para fazer login no PBX. Em compilações futuras, também faremos o hash dessas senhas.
Remoção de senha e arquivo de configuração do e-mail de boas-vindas
O e-mail de boas-vindas costumava ter a senha do Web Client, bem como o arquivo de configuração para a configuração de estilo antigo do aplicativo. Agora estamos removendo isso do e-mail de boas-vindas. Isso significa:
- Antes de fazer login, os usuários devem primeiro definir uma senha.
- Os aplicativos Android e iOS devem ser provisionados usando o código QR.
- Se você deseja usar o aplicativo de desktop herdado, deve provisioná-lo via PNP
- Conecte o cliente herdado à rede
- Aprovar no console de gerenciamento
- O novo e-mail de boas-vindas reflete isso. Aqueles que implementaram um texto de e-mail de boas-vindas personalizado devem atualizá-lo.
Restringir o acesso de administrador da Web do cliente Web por IP
Você já pode limitar o acesso por IP para o console de gerenciamento. Agora você também pode fazer isso para Administradores do sistema que têm acesso à seção Admin no Web Client.
Web App PWA Sempre que Possível
Embora estejamos lançando uma nova versão do DesktopApp em breve, ainda acreditamos que, por motivos de gerenciamento de rede, é bom usar o aplicativo PWA sempre que possível. Todos os usuários que usam um telefone fixo ou um app Android/iOS para chamadas devem usar o cliente PWA. A combinação do app para smartphone com o web app PWA é excelente – receba chamadas em qualquer lugar, dentro ou fora do escritório, sem a necessidade de um fone de ouvido DECT caro!
Na atualização 7A, agora promovemos o web app PWA exclusivamente na notificação do lado esquerdo.
O PWA requer um FQDN adequado que funcione em qualquer lugar. Qualquer sistema na nuvem (StartUP / Hospedado 3CX / Nuvem Privada) terá isso. Os sistemas locais devem implementar o DNS dividido, mas isso será um requisito para todos os sistemas em algum momento.
Os aplicativos de área de trabalho do Windows ou Mac agora estão localizados apenas na página de apps mostrada no canto inferior esquerdo.
Mantenha-se informado
Clique no botão seguir no Twitter e LinkedIn para anúncios e atualizações de blog sobre esta versão da Atualização 7A. Mantenha-se atualizado sobre a investigação em andamento por meio de nosso feed RSS. Participe da conversa em nosso fórum de ajuda dedicado.
