Verbindung und Transport
Die erste und wichtigste Eigenschaft der Absicherung ist eine Richtung. Diese Seite erklärt, welche und warum sie so viel ausmacht.
Die Verbindung geht immer nach außen
Der Agent auf der STARFACE baut die Verbindung zum Controller auf. Der Controller baut nie eine Verbindung zu einer Anlage auf. Er kann es nicht – es gibt in der Software keinen Pfad dafür.
Daraus folgt für den Kunden:
- Keine Portfreigabe. Es muss kein Port auf dem Router weitergeleitet werden.
- Keine eingehende Firewall-Regel. Die Anlage bleibt von außen genauso unerreichbar wie vorher.
- Kein VPN. Es wird kein dauerhafter Tunnel zwischen Systemhaus und Kunde benötigt.
- NAT ist kein Thema. Die Anlage braucht weder eine feste noch eine öffentliche Adresse.
Jeder von außen erreichbare Dienst auf einer Telefonanlage ist eine Angriffsfläche – unabhängig davon, wie gut er abgesichert ist. Eine Verbindung, die nur von innen aufgebaut werden kann, existiert für einen Angreifer im Internet schlicht nicht.
Es gibt einen zweiten, weniger offensichtlichen Grund. Ein Modul, das sich selbst aktualisiert, kann sein Ergebnis nur über einen bestehenden ausgehenden Kanal melden. Über einen eingehenden Aufruf endet die Antwort zwangsläufig im Nichts, weil die Route verschwindet, bevor das Ergebnis zurückreist. Die Verbindungsrichtung ist also nicht nur sicherer, sondern auch die einzige, in der sich ein Selbst-Update überhaupt beobachten lässt.
Was auf der Leitung liegt
| Eigenschaft | Wert |
|---|---|
| Protokoll | WebSocket über TLS (wss://) |
| Port | 443/TCP, ausgehend |
| Subprotokoll | fp-fleet.v1 |
| Nachrichtenformat | UTF-8-JSON, ein Objekt je Nachricht |
| Größenobergrenze je Nachricht | 4 MiB |
| Lebenszeichen der Anlage | alle 60 Sekunden |
| Abbruch bei Funkstille | nach 150 Sekunden ohne Lebenszeichen |
Port 443 ist bewusst gewählt: Er ist in praktisch jedem Netz ausgehend offen, sodass in aller Regel keine Anpassung an der Firewall des Kunden nötig ist.
Zertifikatsprüfung
Das TLS-Zertifikat des Controllers wird regulär gegen den Systemspeicher der Anlage geprüft. Es wird kein Zertifikat gepinnt.
Zertifikate wechseln – bei automatisierter Ausstellung alle paar Wochen. Ein gepinntes Zertifikat sperrt bei jedem Wechsel jede Anlage aus, deren Modul nicht rechtzeitig nachgezogen wurde. Die Echtheit des Controllers wird deshalb eine Ebene höher hergestellt, über seinen Signaturschlüssel – der über die gesamte Lebensdauer der Anlage trägt. Siehe Signaturen und Schlüssel.
Wenn die Verbindung abreißt
Ein Abriss ist kein Ausnahmefall, sondern Alltag: Router starten neu, Leitungen wackeln, Anlagen werden gewartet. Der Agent behandelt das als Normalzustand.
- Er verbindet sich automatisch neu, mit wachsendem Abstand zwischen den Versuchen (bis maximal fünf Minuten) und einem Zufallsanteil. Der Zufallsanteil ist nicht kosmetisch: Ohne ihn würden nach einem Neustart des Controllers alle Anlagen im selben Moment gleichzeitig anklopfen.
- Er kennt eine Liste von Endpunkten, nicht nur einen Namen. Zieht der Controller um, folgt die Anlage der Liste – ohne dass jemand vor Ort etwas umkonfigurieren muss.
- Er meldet ein geplantes Verschwinden vorher an (Neustart, Modulupdate, Abschaltung). Der Unterschied entscheidet, ob eine Anlage in der Konsole als gestört gilt oder als planmäßig abwesend.
Der Kunde bekommt nachts eine neue Internetleitung. Die Anlage ist 40 Minuten offline. In der Konsole erscheint sie als offline, das letzte Inventar bleibt mit Zeitstempel sichtbar, und um 3:12 Uhr ist sie ohne Zutun wieder verbunden. Niemand musste eine Verbindung neu aufbauen, und Sie sehen am nächsten Morgen an den Zeitstempeln genau, was passiert ist.
Große Datenmengen
Nachrichten über 4 MiB sind unzulässig. Größere Inhalte – etwa eine Moduldatei – laufen über einen getrennten Übertragungsweg mit Einmal-Ticket. Das Kommando selbst verweist danach nur auf die übertragene Datei. So bleibt der Kommando-Kanal schlank und berechenbar.
Kurz zusammengefasst
- Die Verbindung entsteht immer auf der Anlage, nach außen, über Port 443.
- Der Kunde muss nichts öffnen, nichts weiterleiten und kein VPN stellen.
- TLS sichert die Leitung; die Echtheit des Gegenübers wird zusätzlich über Signaturen hergestellt.
- Abrisse fängt der Agent selbst ab – mit Wiederverbindung, Endpunktliste und geordneter Abmeldung.
Weiter mit der Anbindung einer Anlage.