Wiki source code of RangeeOS - Sicherheitsguide

Last modified by Tobias Wintrich on 2023/11/24 09:01
Hide last authors
Tobias Wintrich 3.1 1 Unser Rangee OS Thin Client Betriebssystem ist bereits in seiner Standardkonfiguration ein sehr sicheres System. Bisher sind keine Angriffe bekannt bei denen unser System als Einfallstor für Hacker und andere Eindringe genutzt wurde.
2
Tobias Wintrich 5.1 3 Dennoch ist es möglich, das System über die Standardeinstellungen Hinaus weiter abzusichern und vor potentiellen Angriffen zu schützen. Dieser Artikel enthält eine Übersicht einiger Sicherheitsrelevanter Einstellungen.
Tobias Wintrich 3.1 4
Tobias Wintrich 6.1 5 {{toc/}}
6
Tobias Wintrich 3.1 7 = RangeeOS =
8
Tobias Wintrich 5.1 9 == Samba-Dienst deaktivieren ==
Tobias Wintrich 3.1 10
11 SMB wir häufiger als potentielles Einfallstor verwendet. Auf dem Rangee OS können Sie SMB vollständig deaktivieren.
12
13 [[RangeeOS - Samba-Dienst deaktivieren>>doc:HowTos.RangeeOS - Samba-Dienst deaktivieren.WebHome]]
14
15 {{info}}
Tobias Wintrich 5.1 16 Durch Deaktivieren des Samba Dienstes sind folgende Features nicht mehr verfügbar:
Tobias Wintrich 3.1 17
18 * Mitgliedschaft innerhalb einer Domäne
Tobias Wintrich 5.1 19 (Nutzung der Benutzeranmeldung über eine Domäne ist weiterhin möglich)
20 * Verwendung von SMB-Netzwerkdruckern
Tobias Wintrich 3.1 21 * Freigabe von lokal angeschlossenen Drucker über SMB
Tobias Wintrich 5.1 22 * Verwendung von SMB-Dateifreigaben
23 * Freigabe von Dateien
Tobias Wintrich 3.1 24 {{/info}}
25
Tobias Wintrich 4.2 26 == SSH-Dienst deaktivieren ==
Tobias Wintrich 3.1 27
Tobias Wintrich 3.2 28 Sie können den SSH Dienst auf den Geräten unter {{status title="KOMMBOX"/}}(% id="cke_bm_3642S" style="display:none" %) (%%) → {{status title="Remote-Administration"/}} mit der Option **"SSH"** steuern.
29
Tobias Wintrich 4.2 30 == Herstellerzugang deaktivieren ==
Tobias Wintrich 3.2 31
32 {{info}}
33 Der Herstellerzugriff ermöglich uns keinerlei Zugriff über Firewallgrenzen hinweg. Das heißt damit wir uns auf ein Gerät verbinden können, müssen wir uns bereits mit anderen Fernwartungstools in Ihr Netzwerk eingeladen worden sein.
34 {{/info}}
35
Tobias Wintrich 5.1 36 Der Herstellerzugrang besteht in unserem RangeeOS aus einem **"root"** Zugang über Passwort und SSH-Key. Die entsprechenden Login Informationen werden bei uns unter Verschluss gehalten und nicht nach außen kommuniziert. Der Zugang ermöglich unseren Support Mitarbeiten den Zugriff auf ein Linux Terminal und wird zu Debugzwecken verwendet.
Tobias Wintrich 3.2 37
38 Sie können den Herstellerzugang auf den Geräten unter {{status title="KOMMBOX"/}}(% id="cke_bm_3642S" style="display:none" %) (%%) → {{status title="Remote-Administration"/}} mit der Option **"Herstellerzugang"** steuern.
Tobias Wintrich 4.2 39
Tobias Wintrich 15.1 40 == AD-Benutzeranmeldung zwischenspeichern von Kennwörtern deaktivieren ==
Tobias Wintrich 9.1 41
Tobias Wintrich 15.1 42 Wenn am Gerät **"Beim Systemstart an der Domäne anmelden"** aktiviert wird, werden in Standard Einstellungen die Zugangsdaten des Nutzers zur Verwendung im Single Sign On gespeichert. Dieses Verhalten kann unter (% id="cke_bm_1295S" style="display:none" %) (%%) (% id="cke_bm_4161S" style="display:none" %) (%%) {{status title="KOMMBOX"/}}(% id="cke_bm_3642S" style="display:none" %) (%%) → {{status title="Active Directory-Konfiguration"/}} (% id="cke_bm_4211S" style="display:none" %) (%%)→ {{status title="Benutzeranmeldung"/}} mit der Option **"Passwort für SSO temporär zwischenspeichern"** gesteuert werden.
Tobias Wintrich 9.1 43
44 [[image:AD-Login.jpg||height="369" width="600"]]
45
46 Insofern diese Option deaktiviert wird, bietet sich als Alternative zur Active Directory Anmeldung beim Systemstart auch die Anmeldung beim Anwendungsstart infrage:
47
48 [[RangeeOS - Passwortwechsel ohne global vorgeschaltete Domänen-Anmeldung>>doc:HowTos.RangeeOS - Passwortwechsel ohne Systemweit vorgeschaltete Domänen-Anmeldung.WebHome]]
49
Tobias Wintrich 4.2 50 == VNC-Zugriff steuern / deaktivieren ==
51
Tobias Wintrich 5.1 52 Sie können den Zugriff per VNC (% id="cke_bm_2705S" style="display:none" %) (%%)unter {{status title="KOMMBOX"/}}(% id="cke_bm_3642S" style="display:none" %) (%%) → {{status title="Remote-Administration"/}} unter der Überschrift **"VNC"** konfigurieren.
Tobias Wintrich 4.2 53
54 Insofern Sie den VNC Zugriff nutzen möchten, wird Empfohlen hier ein **"Passwort"** zu vergeben und den Benutzer den zugrif per VNC über **"Verhalten bei externem Verbindungsaufbau über VNC"** bestätigen zu lassen.
55
Tobias Wintrich 5.1 56 Wenn Sie den VNC Zugriff nicht benötigen können Sie Ihn über die Option **"Remote-Zugriff über VNC" **steuern.
Tobias Wintrich 4.2 57
58 [[image:grafik.png||height="253" width="600"]]
59
Tobias Wintrich 17.1 60 == Client Firewall aktivieren ==
61
Tobias Wintrich 19.1 62 Auf dem RangeeOS befindet sich das Kommandozeilen Tool iptables mit dem Sie beliebige Firewallregeln definieren können. Eine entsprechende Anleitung wie Sie die Regeln erstellen und per Skript verteilen können finden Sie hier:
Tobias Wintrich 17.1 63
64 [[RangeeOS - Firewall mit ipables Skript>>doc:HowTos.RangeeOS - Firewall mit ipables Skript.WebHome]]
65
Tobias Wintrich 11.1 66 == Rangee Hybrid Tools deaktivieren ==
67
68 Die Rangee Hybrid Tools erlauben es verschiedene Aktionen auf dem Gerät aus der Ferne zu steuern. Wenn Sie diese Tools deaktivieren, können folgende Funktionen nicht mehr genutzt werden:
69
70 * Servergesteuerter Start einzelner Vebrindungen, sicheres Entfernen von Datenträger und ähnlichem
Tobias Wintrich 13.1 71 * AppControl
72 * SoundControl
73 * ClientControl
74 * Automatische Erkennung der Client IP und des Verbindungstokens innerhalb der Rangee Browser Redirection
Tobias Wintrich 11.1 75
76 Sie können die Option über unter (% id="cke_bm_4161S" style="display:none" %) (%%) {{status title="KOMMBOX"/}}(% id="cke_bm_3642S" style="display:none" %) (%%) → {{status title="Remote-Administration"/}}  mit "Rangee Hybrid Tools aktivieren" steuern
77
78 [[image:HD-Tools.png||height="226" width="600"]]
79
Tobias Wintrich 4.2 80 == TCMS Zertifikat verifizieren ==
81
Tobias Wintrich 5.1 82 Unter (% id="cke_bm_4161S" style="display:none" %) (%%) {{status title="KOMMBOX"/}}(% id="cke_bm_3642S" style="display:none" %) (%%) → {{status title="Remote-Administration"/}} (% id="cke_bm_4211S" style="display:none" %) (%%)→ {{status title="TCMS-Einstellungen"/}} finden Sie die Option** "HTTPS-Zertifikat verifizieren"**.** **Ist diese Option aktiviert, wird das HTTPS Zertifikat des TCMS auf Gültigkeit überprüft.
Tobias Wintrich 4.2 83
84 (% class="box warningmessage" %)
85 (((
86 Hierzu ist es erforderlich ein verifizierbares Zertifikat auf dem TCMS zu installieren. Und dem Austeller dieses Zertifikats zu Vertrauen.
87 Siehe hierzu:
Tobias Wintrich 5.1 88 [[Kommbox- bzw. TCMS Webserver Zertifikat austauschen>>doc:HowTos.Allgemein - Kommbox- bzw\. TCMS Webserver Zertifikat austauschen.WebHome]]
Tobias Wintrich 4.2 89 [[Zertifikate Installieren>>doc:Handbuecher.Handbuch11.Kapitel 3 - Administration des Clients.3\.K\. Tools.3\.K\.I\. Zertifikate.WebHome]]
90 )))
Tobias Wintrich 5.1 91
92 == TCMS Discovery verbieten ==
93
94 Wenn das **"TCMS Discovery"** erlaubt ist, so kann ein beliebiger TCMS Endgeräte **"Einsammeln"** und mit ins eigene Management übernehmen. Wird das **"TCMS Discovery"** verboten, so kann der von einem Client verwendete Managementserver nicht aus der Ferne überschrieben werden.
95
96 Sie können die Option über unter (% id="cke_bm_4161S" style="display:none" %) (%%) {{status title="KOMMBOX"/}}(% id="cke_bm_3642S" style="display:none" %) (%%) → {{status title="Remote-Administration"/}} (% id="cke_bm_4211S" style="display:none" %) (%%)→ {{status title="TCMS-Einstellungen"/}} mit **"Discovery"** steuern
97
Tobias Wintrich 14.1 98 == Bootmenü verstecken ==
Tobias Wintrich 5.1 99
Tobias Wintrich 12.1 100 Sie können das Bootmenü (GRUB) des RangeeOS für den Nutzer am Gerät unzugänglich machen. Hierzu genügt es wenn Sie den **"Timeout"** unter {{status title="KOMMBOX"/}} → {{status title="WERKZEUGE"/}} → {{status title="BOOT-KONFIGURATION"/}}  auf **"0"** setzen.
101
Tobias Wintrich 16.1 102 Durch das Verstecken des  Bootmenüs steht das Rescue Panel anschließend nicht mehr zur Verfügung.
Tobias Wintrich 12.1 103
104 [[Rescue Panel>>doc:Handbuecher.Handbuch11.Kapitel 4 - Erweiterte Administration.4\.F\. Rescue Panel.WebHome]]
105
106 == Fastboot deaktivieren ==
107
Tobias Wintrich 5.1 108 Wenn der Fastboot Modus auf dem Gerät aktiviert ist, wird das Betriebssystem auf die Festplatte des Clients entpackt und dadurch bis zum nächsten Update dauerhaft Änderbar.  Durch deaktivieren des Fastboot stellen Sie sicher, dass am System keine dauerhaften Änderungen vorgenommen werden können.
109
Tobias Wintrich 22.1 110 Sie können die Verwendung von Fastboot unter {{status title="KOMMBOX"/}} → {{status title="WERKZEUGE"/}} → {{status title="Bootloader"/}} mit der Option** "Aktiviere RangeeOS Fastboot" **steuern.
Tobias Wintrich 5.1 111
Tobias Wintrich 22.1 112 [[image:fastboot.png||alt="Fastboot-Deaktivieren.png" height="327" width="600"]]
Tobias Wintrich 5.1 113
Tobias Wintrich 22.1 114 == Signaturprüfung beim Start aktivieren ==
115
116 Ab RangeeOS 12.00 ist es möglich bei jedem Start die Signatur der installierten Firmware und Softwarepakete zu überprüfen. Hierdurch wird sichergestellt, dass die Softwarepakete unverändert und sich wie vom Hersteller bereitgestellt auf dem Gerät befinden. Die Signatur der Pakete wird in Standardeinstellung bereits bei jedem Softwareupdate überprüft. Über eine zusätzliche Option kann die Prüfung bei jedem Startvorgang erneut durchgeführt werden.
117
118 {{info}}
119 Die Prüfung der Signatur benötigt je nach verwendeter Hardware zwischen 1 und 3 Minuten.
120 {{/info}}
121
122 Sie können die Verwendung Signaturprüfung beim Start unter {{status title="KOMMBOX"/}} → {{status title="WERKZEUGE"/}} → {{status title="Bootloader"/}} mit der Option** "Erfordere Paketsignaturprüfung beim Hochfahren" **steuern.
123
124 [[image:signatur.png||height="327" width="600"]]
125
Tobias Wintrich 5.1 126 == USBGuard aktivieren ==
127
128 Durch die Nutzung des USBGuards können Sie sicherstellen, dass nur zuvor expliziert konfigurierte USB-Geräte am Client genutzt werden können.
129
130 [[USB-Geräte Verwaltung mit USBGuard>>doc:HowTos.RangeeOS - USB-Geräte Verwaltung mit USBGuard.WebHome]]
131
132 = TCMS =
133
Tobias Wintrich 7.1 134 == Clientsignaturprüfung ==
Tobias Wintrich 5.1 135
Tobias Wintrich 23.1 136 Über die Clientsignaturprüfung können Sie am TCMS vorgeben, dass sich nur die Clients registrieren und konfiguriert werden können, welche Sie zuvor explizit freigegeben haben. Die Option entspricht funktional dem Gegenstück zur Option "TCMS-Zertifikat verifizieren" auf Clientseite und verhindert, dass sich nicht autorisierte Clients an dem TCMS anmelden und eine Konfiguration erhalten können.
Tobias Wintrich 5.1 137
138 [[TCMS - Signaturprüfung>>doc:HowTos.TCMS - Signaturprüfung.WebHome]]
Tobias Wintrich 23.1 139
140 == Verwendung des zusätzlichen API Ports ==
141
142 In Standardkonfiguration kommunizieren sowohl die Thin Clients mit Ihrem Managementserver per HTTPS über Port 443 (TCP). Dies ist der selbe Port, über den auch das Webinterface des TCMS erreichbar ist. Sie können über die Verwendung des zusätzlichen API Ports einen Port definieren der ausschließlich für die Kommunikation der Thin Clients mit dem Server dient.
143
144 Die entsprechende Anleitung hierzu finden Sie in unserem [[HowTo zur Verfügbarmachung des TCMS über das Internet>>doc:HowTos.TCMS - TCMS übers Internet verfügbar machen.WebHome]]
145
146
Rangee GmbH ©2022