Sicherheit
Eine Plattform, die auf hunderten fremden Telefonanlagen etwas verändern kann, muss erklären, was sie tut. Dieses Kapitel ist bewusst ausführlich und für einen – zurecht skeptischen – Techniker geschrieben.
Jeder Abschnitt beantwortet zwei Fragen: Welches Verfahren wird eingesetzt? und Warum genau dieses?
Die vier Grundsätze
Vier Entscheidungen tragen die gesamte Absicherung. Alles Weitere folgt aus ihnen.
1. Die Anlage ruft heraus
Jede Verbindung wird von der Telefonanlage nach außen aufgebaut. Der Controller kann von sich aus keine Anlage erreichen. Es muss keine Firewall geöffnet und kein Port weitergeleitet werden.
2. Rechte entstehen auf der Anlage
Nichts im Protokoll oder Datenpaket kann Rechte erweitern. Eine Berechtigung setzt ausschließlich ein Administrator auf der Anlage – und kann sie dort jederzeit wieder entziehen.
3. Zentral liegen nur öffentliche Schlüssel
Der private Schlüssel einer Anlage verlässt die Anlage nie. Ein Datenbankabzug des Controllers gibt öffentliche Schlüssel preis – und nichts, womit sich eine Anlage nachbilden ließe.
4. Signaturen zusätzlich zu TLS
Jedes Kommando ist signiert, jede Anmeldung einer Anlage ebenfalls. TLS schützt die Leitung; die Signatur schützt auch dann noch, wenn die Leitung nicht das ist, wofür man sie hält.
Was welches Verfahren verhindert
| Verfahren | Verhindert konkret | Ausgeführt unter |
|---|---|---|
| Ausschließlich ausgehende Verbindung | Angriffe von außen auf die Anlage; der Zwang, eine Firewall zu öffnen | Verbindung und Transport |
| TLS auf Port 443 | Mitlesen und Verändern des Datenstroms unterwegs | Verbindung und Transport |
| Einmaliger, kurzlebiger Einrichtungscode | Dass ein alter oder abgefangener Code später noch eine Anlage anbindet | Anbindung einer Anlage |
| Schlüssel-Pinning über den Fingerabdruck im Code | Dass sich ein fremder Controller als der richtige ausgibt | Anbindung einer Anlage |
| Signierte, kurzlebige Anmelde-Assertion | Dass jemand ohne den privaten Schlüssel der Anlage deren Verbindung übernimmt | Signaturen und Schlüssel |
| Einmal-Kennung gegen Wiedereinspielung | Dass eine mitgeschnittene Anmeldung ein zweites Mal funktioniert | Signaturen und Schlüssel |
| Signatur über jedes Kommando, samt Ziel-Anlage | Dass ein manipuliertes Kommando ausgeführt oder ein Kommando auf der falschen Anlage gültig wird | Signaturen und Schlüssel |
| Pflicht-Ablaufdatum je Kommando | Dass ein mitgeschnittenes Kommando unbegrenzt wiederholbar bleibt | Signaturen und Schlüssel |
| Signiertes Begrüßungs-Frame | Dass eine Anlage über eine kompromittierte TLS-Endstelle auf einen fremden Controller gezogen wird | Signaturen und Schlüssel |
| Berechtigung nur durch Zustimmung vor Ort | Dass ein Partner ohne Wissen des Kunden auf dessen Anlage arbeitet | Rechte und Not-Aus |
| Verengende Rechteprojektion | Dass eine Berechtigung ein Werkzeug einschaltet, das der Kunde lokal abgeschaltet hat | Rechte und Not-Aus |
| Not-Aus auf der Anlage | Dass eine unerwünschte Fernsteuerung weiterläuft | Rechte und Not-Aus |
| Kein Auto-Provisioning der Konten | Dass jedes Konto eines Verzeichnisses in Ihre Flotte spaziert | Zugang zur Konsole |
| Bindung an die Identität hinter der Adresse | Dass eine recycelte Mailadresse ein bestehendes Konto übernimmt | Zugang zur Konsole |
| Rollen nur lokal vergeben | Dass ein Verzeichnisadministrator sich selbst Rechte in Ihrer Flotte gibt | Zugang zur Konsole |
| Zugangsdaten zum Partnerportal nicht speichern | Dass ein Einbruch in den Controller Ihren Portalzugang mitnimmt | Daten, Protokoll und Datenhoheit |
Was bewusst nicht getan wird
Ehrlichkeit gehört zur Sicherheitsbetrachtung dazu. Drei Dinge sind ausdrücklich nicht gebaut, und zwar aus Gründen:
- Kein TLS-Zertifikats-Pinning. Die Anlage prüft Zertifikate ganz normal gegen den Systemspeicher. Die Echtheit des Controllers hängt stattdessen an seinem Signaturschlüssel – der über die gesamte Lebensdauer der Anlage besteht, während ein gepinntes Zertifikat regelmäßig wechselt und dann jedes Mal eine Anlage aussperrt.
- Keine Client-Zertifikate. Eine eigene Zertifizierungsstelle für tausende Anlagen ist Betriebsaufwand, der gegenüber den Schlüsselpaaren keinen zusätzlichen Schutz bringt.
- Kein Schutz gegen einen kompromittierten Controller. Wer den privaten Signaturschlüssel des Controllers besitzt, kann gültige Kommandos erzeugen. Genau deshalb liegt die Durchsetzung auf der Anlage, deshalb gibt es den Not-Aus, und deshalb steht das Selbsthosting als Option offen.
Inhalt dieses Kapitels
Verbindung und Transport
Kein offener Port, keine Firewall-Regel – die Anlage entscheidet, wann sie spricht.
Anbindung einer Anlage
Der Moment, in dem Vertrauen entsteht – und woran die Anlage erkennt, dass sie dem Richtigen vertraut.
Signaturen und Schlüssel
TLS schützt die Leitung. Die Signatur schützt auch dann noch, wenn die Leitung nicht das ist, wofür man sie hält.
Rechte und Not-Aus
Die Anlage ist die Autorität. Der Controller spiegelt nur, was sie ihm sagt.
Zugang zur Konsole
Wer sich anmelden kann, ist nicht dasselbe wie wer hereindarf.
Daten, Protokoll und Datenhoheit
Was gespeichert wird, was nicht gespeichert wird – und wo es liegt.