OSsecure wurde in der Version 4 komplett überarbeitet: das neue Design und zahlreiche Erweiterungen rund um das Sicherheitsmanagement der Filialen erleichtern die Administration und Steuerung der Benutzer. Eine Umstellung der Hardwareplattform auf Embedded-ARM-Systeme erhöht zudem die Stabilität und Zuverlässigkeit der Geräte. Auf dieser Seite finden Sie alle Informationen zum Update, Hinweise zu neuen Funktionen, sowie erweiterten Einstellungen, welche die Sicherheit Ihrer Systeme erhöhen.
Wir haben Ihnen hier die wichtigsten Fragen zum Update zusammengestellt:
Fragen zum Update auf die neue Version 4
Wir haben Ihnen hier zusätzliche Informationen zu erweiterten Sicherheitseinstellungen zusammengestellt:
Jetzt noch mehr Sicherheit! Sicherer IT-Betrieb – Penetrationstest (PEN-Test)
Wir haben Ihnen hier zusätzliche Informationen zu Berechtigungsfragen zusammengestellt:
Benutzer-Berechtigungen, Berechtigungskonzepte
Die neue Version 4 ist eine vollständige Neuentwicklung des OSsecure Systems. Es wurde Bewährtes weiterentwickelt und neue Techniken implementiert. Neben einer Vielzahl neuer Funktionen, wurde auch der „Unterbau“ (Backend) neu entwickelt und auf die moderne ARM-Hardware-Plattform umgestellt. Diese ist ist aus dem Bereich der Smartphones, Tablets und IOT-Geräte bekannt und bietet eine höhere Stabilität und Zuverlässigkeit. Wir stellen Ihnen hier einige der Neuerung genauer vor. Hier finden Sie zudem die aktuellen Release Notes mit der stetigen Weiterentwicklung. Die alte (bestehende) OSsecure Version 1.16 wird nicht mehr weiterentwickelt.
OSsecure 4 ist abwärtskompatibel mit Ihren bestehenden Geräten. Einem Update auf die neue Version steht daher grundsätzlich nichts im Wege, sofern Ihre Geräte technisch in einem guten Zustand sind.
Analog zum Aufsetzen eines neuen Rechners, wird bei einem Update auf die neue OSsecure Version der komplette Speicher neu geschrieben. Dieser Vorgang ist bei (älteren) Geräten mit Risiken verbunden. Vor einem Update führen wir daher eine Vorab-Analyse Ihrer Systeme durch, um diese „Risiken“ einzuschätzen und zu minimieren. Anhand der Auswertungen jener Analysen sprechen wir dann eine Empfehlung für ihre bestehende Geräte-Hardware aus. Wir stimmen uns dann im Anschluss über das weitere Vorgehen und den genauen Update-Prozess ab.
Für die diese technische Vorklärung benötigen wir ein Servicefile. Dieses ZIP-File enthält sämtliche Informationen über den „Fitness-Zustand“ Ihrer Geräte. Bitte gehen Sie dazu folgendermaßen vor:
- Laden Sie sich bitte die Toolbox2 hier herunter.
- Nach dem Starten der Toolbox2 klicken Sie bitte im Menü Verbund auf „OSsecure Verbund einlesen„.
- Geben Sie in die Eingabemaske bitte eine beliebige IP (oder einen Hostnamen) von einem Ihrer OSsecure-Systeme ein.
- Es dauert einen kurzen Moment und alle Systeme werden geladen. Klicken Sie nun bitte im Menü Datei auf „Servicefile erstellen„
- Es wird eine ZIP-Datei generiert, schicken Sie uns diese bitte als E-Mail Anhang an support@safecor.de
Anschließend analysiert unser Support die Daten und meldet sich bei Ihnen. Der Vorgang dauert einige Tage.
Ein Update auf die neue OSsecure Version 4 ist kostenpflichtig (Major Release). Genau wie bei der (alten) 1.16’er Version bleiben anschließend alle zukünftigen Minor-Releases kostenlos. Hier finden Sie eine Beschreibung der alten 119. Minor-Update-Releases für die alte 1.16’er Version mit den Änderungen/Neuerungen. Hier finden Sie die neuen Minor-Update-Releases der neuen Version 4. Die Kosten für das Update auf die neue Version 4 richten sich nach der Variante, welche Sie wählen. Folgene Update-Pakete stehen zur Verfügung:
- Paket 1: Das Institut führt nach der technischen Vorab-Analyse unseres Support-Teams das Update eigenständig durch.
- Paket 2: Nach einer technischen Vorab-Analyse führt unser Support-Team mit Ihnen zusammen das Update durch. Wir unterstützen Sie telefonisch oder mit Remote-Support.
- Paket 3: Nach einer technischen Vorab-Analyse führt ein Techniker das Update Ihrer Systeme vor Ort durch. Unser Support-Team unterstützt zusätzlich mit Remote-Support.
Hier können Sie die neue Version 4 testen.
Bitte nutzen Sie für den ersten Authentifizierungs-Dialog den User ossecure und als Passwort 22926. Um sich über den Login-Dialog am OSsecure-System anzumelden, verwenden Sie bitte als User 10012 und als Passwort safecor2005.
Nein, die alte und neue Software-Version sind untereinander nicht kompatibel. Alle alten (bestehende) Geräte müssen daher auf die neue Version aktualisiert werden.
Was ist bei Neuauslieferungen?
Alle neuen Geräte werden automatisch mit OSsecure 4.0 ausgeliefert. Sollten zum Zeitpunkt der Neuauslieferung bestehende (alte) Geräte im Einsatz sein, welche noch nicht auf die neue Version aktualisiert wurden, sind diese untereinander nicht kompatibel. Das bedeutet, dass dann alte und neue Geräte nicht mehr miteinander sprechen und sich nicht synchronisieren. Die alten Geräte müssen auf die neue Version aktualisiert werden.
Was passiert bei einem Defekt eines alten Gerätes im Vor-Ort Support-Fall?
Unser Techniker wird die Reparatur vor Ort und den Austausch mit einem OSsecure 4.0 System durchführen. Sollten zum Zeitpunkt der Reparatur weitere Geräte im Einsatz sein, welche noch nicht auf die neue Version aktualisiert wurden, sind diese untereinander nicht kompatibel. Das bedeutet, dass dann alte und das ausgetauschte Gerät nicht mehr miteinander sprechen und sich nicht synchronisieren. Die alten Geräte müssen auf 4.0 aktualisiert werden.
Was passiert im Telefon-Support-Fall und Fragen zur alten Version 1.16?
Wir werden Sie weiterhin bestmöglich unterstützen. Wir werden jedoch KEINE Software-Anpassungen, Updates, etc. für die alte Version durchführen. Der softwareseitige Support wird für die alte OSsecure Version 1.16 eingestellt.
Ist ein Downgrade eines neuen Systems auf die alte Version 1.16 möglich?
Kann man also auf neue Hardware die alte OSsecure Version aufspielen, um ein Update der alten Systeme zu umgehen? Kann auf einen Austausch-Rechner im Reparatur-Fall oder auf ein neu ausgeliefertes System die alte OSsecure-Software aufgespielt werden? Kurze und knappe Antwort: Nein, dies ist leider nicht möglich, da die (Weiter-) Entwicklung der alten Version eingestellt wurde.
Die letzte alte Version für OSsecure 1.16 ist das Release 119. Es sind in den vergangenen Monaten neue Versionen veröffentlicht oder ausgeliefert worden, welche eine 4’er Versionnummer tragen und welche unter ALTER Oberfläche laufen. Es besteht für Sie kein Grund ein Downgrade durchzuführen und von dieser neueren „Zwischenversion“ auf das ältere 119’er Release zu wechseln. Sie können natürlich gern auf die aktuelle neue Version 4 „upgraden“.
Sie können diese letzte alte Version hier herunterladen:
Den Versionsstand Ihrer Systeme können Sie auf unterschiedliche Weise einsehen:
- Rufen Sie sich jedes einzelne Gerät im Browser auf und fahren Sie mit der Maus über den geöffneten Browser TAB. Ihnen wird jetzt die Versionsnummer angezeigt.
- Laden Sie sich bitte die Toolbox2 hier herunter. Nach dem Starten der Toolbox2 klicken Sie bitte im Menü Verbund auf „OSsecure Verbund einlesen„. Geben Sie in die Eingabemaske bitte eine beliebige IP (oder einen Hostnamen) von einem Ihrer OSsecure-Systeme ein. Es dauert einen kurzen Moment und alle Systeme werden geladen. In der Baumansicht sehen Sie jetzt die Versionsstände Ihrer Systeme.
Ob Sie bereits die neue Version 4 einsetzen, können Sie anhand der hinterlegten Lizenz erkennen. Rufen Sie sich in einem Ihrer OSsecure Systeme das Menü Systemverwaltung „Lizenzverwaltung“ auf. Prüfen Sie, ob eine Lizenz vorhanden ist und prüfen Sie den Status Ihrer Lizenz. Der Status muss aktiv sein und es muss eine Instituts-Lizenz vorhanden sein.
Sofern die Lizenz vorhanden ist, können Sie die aktuelle Version herunterladen und aktualisieren. Die aktuellste neue Version 4 finden Sie hier im Portal unter dem Menü „Updates und Tools“ oder Sie können diese hier herunterladen:
Die Wirksamkeit der Funktionen ein Einstellungen werden mit Penetrationstests überprüft. Dies ist ein gezielter, in der Regel simulierter, Angriffsversuch auf das OSsecure-System. Der Test wird als Wirksamkeitsprüfung der vorhandenen Sicherheitsmaßnahmen eingesetzt. Mit Hilfe eines Penetrationstests, oft Pentest genannt, wird durch gezielt ausgeführte Angriffe die Empfindlichkeit des OSsecure-Systems gegenüber Einbruchs- und Manipulationsversuchen festgestellt.
Mit steigender Komplexität der IT-Infrastrukur sind standardisierte Tools für eine solche Schwachstellenanalyse (Vulnerability Scanner) unverzichtbar. Die Sicherheit von OSsecure wird mittels solcher standardisierten Tools regelmäßig überprüft. Beispielhaft setzen wir zur Schwachstellen-Analyse die Software OpenVAS ein. Das Open Vulnerability Assessment System (OpenVAS) ist die derzeit am weitesten verbreitete und mit Abstand professionellste Lösung zur Schwachstellen-Analyse.
Trotz der hohen Zuverlässigkeit des OSsecure-Systems sind Updates und Probleme nicht ausgeschlossen. Um einen störungsfreien und sicheren Betrieb der Lösung zu gewährleisten, wird empfohlen, einen Service-/Wartungsvertrag abzuschließen. Die Software-Lösung bleibt so stets auf dem neuesten Stand.
Ein Changemanagement-Prozess muss gemäß Kap. II.7 Tz. 48 BAIT abhängig von Art, Umfang, Komplexität und Risikogehalt ausgestaltet und umgesetzt sein. Dies gilt ebenso für Neu- bzw. Ersatzbeschaffungen von IT-Systemen sowie für sicherheitsrelevante Nachbesserungen (Sicherheitspatches). Change-Anträge müssen gemäß Kap. II.7 Tz. 49 BAIT in geordneter Art und Weise aufgenommen, dokumentiert, unter Berücksichtigung möglicher Umsetzungsrisiken (auch bzgl. der Informationssicherheit) bewertet, priorisiert, genehmigt sowie koordiniert und sicher umgesetzt werden. Es sollte auch Regelungen für Notfallchanges geben, falls der reguläre Change-Prozess (z. B. aufgrund zeitlicher Restriktionen) nicht durchlaufen werden kann.
Bei Abschluss eines Service-/ Wartungsvertrages übernimmt SAFECOR die komplette Verantwortung für Wartung, Support, Release und Patchmanagement. Changes werden von der SAFECOR zur Verfügung gestellt, mit dem Institut abgestimmt bzw. in den vereinbarten Servicezeiten (z.B. Sicherheitsupdates) vorgenommen.
OSsecure ermöglicht für die Administration und Verwaltung den Login per Passwort oder Biometrie. Bei Nutzung von passwortbasierten Verfahren zur Authentisierung sollten Regelungen zur Passwortqualität (Passwortstärke) vereinbart und durchgesetzt werden, die mindestens folgende Vorgaben beinhalten: Mindest-Passwortlänge, Komplexität (Zeichenvorrat) und Wechselintervall. Triviale Passwörter sollten vermieden werden (Namen, Geburtsdaten, Kfz-Kennzeichen etc.). Stattdessen können Merksätze benutzt werden wie z. B. „Freitags fahre ich mit meinem Z-3 zur Arbeit“ = FfimmZ-3zA. Bitte stellen Sie durch organisatorische Regelungen sicher, dass diese Regelungen umgesetzt werden werden. Siehe auch Kap. II.5 Tz. 30 BAIT.
Cleartext Transmission of Sensitive Information via HTTP
Erfolgt die Anmeldung in einem OSsecure-System über HTTP, anstelle verschlüsselt unter HTTPS, ist es bei einem Angriff in einer Man-in-the-Middle-Position möglich Anmeldedaten auszuspähen. Der Zugriff auf OSsecure-Systeme kann unter Systemeinstellungen bei der SSL-Einstellung auf SSL (HTTPS) umgestellt werden. Jene Einstellungen sind Geräte-spezifisch und müssen daher für jedes Gerät getroffen werden, über welche Anmeldungen erfolgen.
SSH Brute Force Logins With Default Credentials Reporting
Das System wird mit Standard-Benutzerzugängen (Default Credentials) ausgeliefert und in Betrieb genommen. Bei einem Angriffsversuch wird durch erraten (Brute Force) versucht, jene Standard-Benutzerzugänge zu ermitteln und sich auf diesem Weg Zugang zum System zu verschaffen.
Der Zugriff auf OSsecure-Systeme per FTP, Shell (Console), Telnet und SSH wird für Service-und Wartungszwecke benötigt. Im Menü Systemverwaltung/Systemzugänge können diese Zugänge deaktiviert werden. Es kann zudem das Default-Passwort geändert werden. Jene Einstellungen sind Geräte-spezifisch und müssen daher für jedes Gerät einzeln getroffen werden. Vor dem Hintergrund von „Credential-Stuffing“ wird empfohlen, pro Gerät ein anderes Passwort zu benutzen.
SSL/TLS: Missing „secure“ Cookie Attribute
OSSecure-Systeme versehen Cookies mit dem „secure“-Flag, sofern der Zugriff über „HTTPS“ erfolgt. Erfolgt der Zugriff nicht über https, ist es möglich, dass Cookies über unverschlüsselte Verbindungen übertragen werden und eine Anmeldung über einen unsicheren Kanal ohne TLS erfolgt. Bei einem Angriff in einer Man-in-the-Middle-Position könnten so Anmeldedaten ausgespäht werden.
Der Zugriff auf OSsecure-Systeme per HTTPS kann unter Systemeinstellungen bei der SSL-Einstellung „erzwungen“ werden. Jene Einstellungen sind Geräte-spezifisch und müssen daher für jedes Gerät einzeln getroffen werden.
Missing „httpOnly“ Cookie Attribute
Das httpOnly-Flag weist Browser an, dass der Cookie nicht per JavaScript ausgelesen werden kann, was schlussendlich das Übernehmen einer Session durch Klauen eines Cookies stark erschwert. Diese Einstellung ist permanent gesetzt, so dass keine weiteren Einstellungen zu tätigen sind.
SSL/TLS: Report Vulnerable Cipher Suites for HTTPS
SSL/TLS: Report Weak Cipher Suites
SSL/TLS: SSLv3 Protocol CBC Cipher Suites Information Disclosure Vulnerability (POODLE)
SSH Weak Encryption Algorithms Supported
SSL/TLS: Certificate Signed Using A Weak Signature Algorithm
SSL/TLS: Diffie-Hellman Key Exchange Insufficient DH Group Strength Vulnerability
SSH Weak MAC Algorithms Supported
Der Zugriff über HTTPS erfolgt verschlüsselt. Im Protokoll Transport Layer Security (TLS) legt die Cipher Suite fest, welche Algorithmen zum Aufbau einer gesicherten Datenverbindung verwendet werden sollen. Dabei identifiziert jede Cipher Suite die Kombination der Algorithmen. Sofern veraltete und mit Schwachstellen versehene Algorithmen zum Einsatz kommen, kann bei einem Angriff in einer Man-in-the-Middle-Position Anmeldedaten ausgespäht werden. Grundsätzlich ist entscheidet der Browser-Client, welche Algorithmen benutzt werden. Das OSsecure-System, welches hier als Server fungiert, unterstützt PFS über zwei Algorithmen: Diffie-Hellman (DHE) und Elliptic Curve Diffie-Hellmann (ECDHE). Der Browser sollte immer die „bessern“ ECDHE Algorithmen anfordern/akzeptieren. Dies ist eine Browser Einstellung! OSsecure akzeptiert aber auch DHE-RSA Schlüsselaustausche mit 1024 Bit, da älteren Browsern und Clients die Unterstützung für ECDHE fehlt.
Damit die OSsecure-Systeme Elliptic Curve Diffie-Hellmann (ECDHE) unterstützen, ist es erforderlich, dass mindesten die Java Version 1.8_201 installiert ist. Sie können den Versions-Stand jedes Gerätes im Menü Systemverwaltung einsehen. Führen Sie ein Update des Gerätes durch, sofern der Versionsstand älter ist. Das Java Update Version 1.8_20 finden Sie hier.
Das OSsecure-System ermöglicht ein Rollen-Rechte-Konzept sowohl für den Zugriff auf sicherheitstechnische Einrichtungen (Geräte, Türen, Automaten, Tresore, Schlösser, Multisafes, Personenschleusen), als auch Programmfunktionen für die Verwaltung und Administration (z.B. Anlegen von Benutzern, Änderungen von Netzwerk- oder Gerätedaten, etc.) Im Menü „Berechtigungen“ lässt sich das Rollen-Rechte-Konzept nach individuellen Vorgaben erstellen. Es können eigene Gruppen (Rollen) angelegt und hierarchisch in einer Baumstruktur gegliedert werden. Diese Gruppen (Rollen) lassen sich anschließend im Menü „Stammdaten“ Benutzern und im Menü „Geräte verwalten“ den sicherheitstechnische Einrichtungen (Geräte, Türen, Automaten, Tresore, Schlösser, Multisafes, Personenschleusen) zuordnen. Unter dem Menü „Programmfunktionen“ lassen sich zudem den Gruppen (Rollen) einzelne Funktionen für die Verwaltung und Administration des OSsecure Systems zuordnen.
OSsecure gilt nicht als bankfachliche Anwendung im Sinne der BAIT/MaRisk, nichtsdestotrotz kann mit der Programmfunktion 4-Augen-Login für die Administration von OSsecure auch ein 4-Augen-Prinzip eingestellt werden. Diese Funktion bewirkt, dass sich für bestimmte Tätigkeiten (Funktionen) immer zwei Benutzer anmelden müssen. Die 4-Augen-Login Funktion kann jeder beliebigen Berechtigungsgruppe zugewiesen werden. Wenn sich ein Benutzer am OSsecure System anmelden möchte und sich in einer Rolle befindet, der die Programmfunktion 4-Augen-Login zugeordnet wurde, dann wird ihm nach erfolgreicher Authentifizierung ein zweiter Login-Dialog angezeigt, der zur weiteren Anmeldung mittels Passwort auffordert. Ein zweiter Benutzer muss sich hier nun per Passwort am Rechner des ersten Benutzer authentifizieren. Hier finden Sie weitere Informationen zur Konfiguration des 4-Augen-Prinzips.
Die MaRisk AT 7.2 verlangt eine „angemessene IT-Berechtigungsvergabe“ und MaRisk AT 4.3.1 die „regelmäßige und anlassbezogene Überprüfung von IT-Berechtigungen, Zeichnungsberechtigungen und sonstigen eingeräumten Kompetenzen“. OSsecure gilt nicht als bankfachliche Anwendung im Sinne der BAIT/MaRisk, nichtsdestotrotz lassen sich im Menü „ID-Center“ Geräte- oder Benutzer-Berechtigungen für eine Rezertifizierung einsehen und exportieren.
Die Einsicht in sämtliche Vorgänge, welche im System protokollierte wurden, erfolgt im Menü „Systemverwaltung“ / „Logdateien einsehen“. Die Protokolldaten können nach Zeitraum, Gerät (Standort) und Benutzer gefiltert und auch als Excel Datei exportiert werden.