Diese Seite beschreibt die Schutzmaßnahmen, die unabhängig von Ihrer Konfiguration immer aktiv sind. Sie ist für Sicherheitsprüfungen und Fragebögen gedacht. Die Einstellungen, die Sie selbst vornehmen, finden Sie auf den anderen Seiten dieses Bereichs.
Isolation zwischen Organisationen
Jeder Kunde ist eine Organisation (ein Mandant). Die Trennung wird auf drei Ebenen durchgesetzt:
| Ebene | Umsetzung |
|---|---|
| Datenbank | Jede Tabelle, die Daten einer Organisation enthält, hat Row-Level Security. Eine Datenbanksitzung ist an genau eine Organisation gebunden und kann nur deren Zeilen lesen und schreiben, auch wenn der Anwendungscode mehr anfordert. |
| Anwendung | Jede Anfrage wird genau einer Organisation und einer Mitgliedschaft zugeordnet. Ein Mitglied einer Organisation hat in einer anderen keine Rechte, und die Rolle derselben Person wird pro Organisation ermittelt. |
| Geräte | Ein Gerät gehört zu genau einer Organisation. Seine Zugangsdaten, Topics und Befehle sind an sie gebunden; es erhält niemals Nachrichten eines anderen Geräts. |
Hintergrundjobs, die organisationsübergreifend arbeiten (Aufbewahrung, Nutzungszählung, Abrechnung), listen die Organisationen über einen einzigen geschützten Pfad auf und arbeiten dann innerhalb der jeweiligen Grenze jeder Organisation.
Regionen
Hermetry läuft als getrennte Deployments in der Europäischen Union, den Vereinigten Staaten und der Türkiye. Die Daten Ihrer Organisation bleiben in ihrer Heimatregion. Das globale Verzeichnis, das Anfragen weiterleitet, kennt nur die Region und den Knoten, auf dem eine Organisation liegt; es enthält keinen Namen, keine Adresse, keinen Eigentümer und keine Einstellung. Notfallzugriffe von Hermetry-Operatoren auf einen Knoten erfordern zwei Signaturen, sind zeitlich begrenzt und werden in Ihrem Audit-Log markiert. Siehe Regionen und Datenresidenz.
Geheimnisse und Schlüssel
| Geheimnis | Wie es aufbewahrt wird |
|---|---|
| Passwörter | Mit einem langsamen Hash gehasht; nie im Klartext gespeichert oder angezeigt. |
| Zugriffstoken für Geräte und MQTT-Passwörter | Werden bei der Ausstellung einmalig angezeigt; nur ein Hash wird gespeichert. |
| API-Schlüssel | Werden einmalig angezeigt; nur ein Hash wird gespeichert. |
| Geheimnisse in Einstellungen (Konten für E-Mail und SMS, OAuth-Client-Secrets, Endpunkt-Passwörter, SAML-Private-Keys) | Im Ruhezustand verschlüsselt; nach dem Speichern nie wieder angezeigt und nie in Logs geschrieben. |
| Geheimnisse von Authenticator-Apps | Mit einem eigenen Schlüssel pro Person versiegelt. |
| Private Schlüssel von Gerätezertifikaten | Verlassen das Gerät nie. Hermetry speichert das Zertifikat und dessen Fingerprint. |
| Schlüssel der Zertifizierungsstelle | Root-Schlüssel offline; Online-Signierschlüssel versiegelt und von einem isolierten Prozess verwahrt. Siehe Die Zertifizierungsstelle für Geräte. |
Geheimnisse erscheinen nie in Exporten, Audit-Zeilen, Webhooks oder Benachrichtigungstexten.
Minimale Rechte für Prozesse
Hermetry ist in Prozesse aufgeteilt, und jeder erhält nur, was er braucht:
- Das Geräte-Gateway, das MQTT und HTTP für Geräte terminiert, verbindet sich mit der Datenbank über eine eigene Anmeldung, die nur wenige eng begrenzte Funktionen aufrufen kann. Es besitzt keinen Schlüssel der Zertifizierungsstelle.
- Der Zertifikatssigner ist der einzige Prozess, der Signierschlüssel entsiegeln kann.
- Der Provisionierungs-Worker beantwortet Anfragen zur Geräteprovisionierung ohne jeden Signierschlüssel.
- Skripte in Flows laufen in isolierten Sandboxes mit Zeitlimits und ohne Netzwerk, Dateien oder Zugangsdaten.
Ein Fehler in einem Prozess gibt einem Angreifer daher nicht die Schlüssel eines anderen Prozesses in die Hand.
Sitzungen
- Eine Anmeldung erzeugt eine Sitzung mit kurzlebigen Zugriffstoken, die rotiert werden. Wird ein Refresh-Token zweimal verwendet, enden alle Sitzungen dieser Person, da dies bedeutet, dass ein Token kopiert wurde.
- Sitzungen enden nach einer Phase der Inaktivität und nach einer absoluten Lebensdauer.
- Eine Rollenänderung, eine Sperrung oder eine Entfernung beendet die Sitzungen der Person in der Organisation sofort. Die Sitzungen und Geräteverbindungen einer gesperrten Organisation enden sofort.
Siehe Sitzungen, Sperrung und vertrauenswürdige Geräte.
Schutz vor Missbrauch
| Kontrolle | Wirkung |
|---|---|
| Ratenbegrenzungen | API-Routen, Anmeldung und Geräte haben Anfragelimits; bei Überschreitung werden Anfragen abgelehnt (429) oder Gerätenachrichten verworfen. |
| Kontosperre und CAPTCHA | Wiederholte fehlgeschlagene Anmeldungen sperren das Konto für eine gewisse Zeit. |
| Adresssperren | Adressen, die über mehrere Konten hinweg wiederholt fehlschlagen, werden für eine gewisse Zeit gesperrt. |
| Die KI-Firewall | Überwacht Sicherheitssignale und öffnet Vorfälle, die erklären, was sie erkannt hat. Siehe Die KI-Firewall. |
| Köder | Gefälschte Schlüssel, Datensätze und Pfade, die niemand legitim verwendet; wer einen davon berührt, löst ein kritisches Signal aus. |
Ausgehende Verbindungen
Webhooks, HTTP-Blöcke in Flows und abgefragte Endpunkte verbinden sich von Hermetry aus nach außen. Sie lehnen private, Loopback- und interne Adressen nach der Namensauflösung ab, sodass sie nicht dazu missbraucht werden können, das eigene Netzwerk von Hermetry zu erreichen. Ein Webhook kann ein internes Ziel nur über eine ausdrückliche Allow-Liste erreichen, die ein Administrator hinzufügt. Siehe Webhooks und Verbindungen und Geheimnisse.
Nachweise
Sicherheitsrelevante Aktionen werden in ein hashverkettetes Audit-Log geschrieben, das die Anwendung nicht verändern kann. Siehe Was protokolliert wird.
Ihre Verantwortung
- Wen Sie als Mitglied aufnehmen und mit welcher Rolle.
- Zweifaktor-Authentifizierung und Single Sign-on für Ihre Mitarbeitenden.
- Gerätprofile: TLS, erlaubte Netzwerke, Zugangsdaten.
- API-Schlüssel: deren Berechtigungen, Netzwerke und Ablauf.
- Ihre eigenen Kopien exportierter Daten.