Relution Signet Customer Hub

TLS-Vertrauenskonfiguration

Die TLS-Vertrauenskonfiguration bündelt die serverseitigen Einstellungen für den Aufbau vertrauenswürdiger TLS-Verbindungen. Sie ist unter Einstellungen → TLS-Vertrauenskonfiguration zu finden und gliedert sich in zwei Bereiche: die vertrauenswürdigen Zertifikate für ausgehende Verbindungen und das Certificate Pinning für das Apple-Enrollment. Die TLS-Vertrauenskonfiguration steht ausschließlich in der Global-Organisation zur Verfügung und gilt serverweit für alle Organisationen. Änderungen in beiden Bereichen werden gemeinsam über Speichern im oberen Bereich der Seite übernommen.

Vertrauenswürdige Zertifikate

Relution akzeptiert die hier hinterlegten CA-Zertifikate zusätzlich zum Standard-Truststore des Systems beim Aufbau ausgehender TLS-Verbindungen. Das gilt ab Relution 26.5.3 auch für den SCEP-Proxy und ab Relution 26.5.5 auch für die Verbindung zum Salt-Master sowie für S3-Speicher mit clientseitiger KMS-Verschlüsselung. Über Hinzufügen werden CA-Zertifikate ausgewählt, die zuvor unter Einstellungen → Zertifikate hochgeladen wurden (siehe Zertifikatsverwaltung →). Der Auswahldialog zeigt nur Zertifikate, die als Zertifizierungsstelle (CA) gekennzeichnet sind; Zertifikatscontainer wie pfx/p12 stehen nicht zur Auswahl. Die Übersicht führt je Eintrag Name, Typ und das Ablaufdatum (Läuft ab); über Löschen werden ausgewählte Einträge wieder entfernt.

Ab Relution 26.5.8 wird das Speichern abgelehnt, wenn ein vertrauenswürdiges Zertifikat nicht geladen werden kann, nicht zur Global-Organisation gehört oder nicht in der Zertifikatsverwaltung hochgeladen wurde. Von Relution erzeugte CA-Zertifikate wie das Root-Zertifikat der Built-In CA → sind als vertrauenswürdige Zertifikate nicht zulässig.

Zertifikate, die hier als vertrauenswürdiges Zertifikat oder als Anker-Zertifikat verwendet werden, lassen sich in der Zertifikatsverwaltung nicht löschen, solange sie referenziert sind; ebenso lassen sich Datei und Passwort eines solchen Zertifikats nicht ersetzen. Für einen Austausch wird das neue Zertifikat zusätzlich hochgeladen und hier ausgewählt, anschließend wird das alte Zertifikat entfernt.

Aktualisierung und Status

Relution baut die Liste der vertrauenswürdigen Zertifikate beim Serverstart, nach jedem Speichern und zusätzlich stündlich auf jedem Server-Knoten neu auf. Ein Zertifikat, das sich dabei nicht laden lässt oder die oben genannten Bedingungen nicht erfüllt, wird ausgelassen; die übrigen bleiben vertrauenswürdig. Das betrifft auch Einträge, die vor Relution 26.5.8 gespeichert wurden.

Den Zustand meldet der Health-Indikator tlsTrust, dessen Details der Health-Endpunkt auf dem Management-Port (/actuator/health, Port 8099) anzeigt:

  • state: IN_SYNC (alle hinterlegten Zertifikate sind vertrauenswürdig), CERTIFICATES_FAILED (einzelne Zertifikate wurden ausgelassen) oder CLEARED (der Aufbau ist insgesamt fehlgeschlagen, keines der hinterlegten Zertifikate ist vertrauenswürdig),
  • failedCertificates: die UUIDs der ausgelassenen Zertifikate.

Der Indikator setzt den Gesamtstatus nie auf DOWN, ein Loadbalancer nimmt einen Knoten deswegen also nicht aus dem Betrieb. Bei CERTIFICATES_FAILED oder CLEARED werden die betroffenen Zertifikate in der Zertifikatsverwaltung geprüft und bei Bedarf durch ein hochgeladenes CA-Zertifikat ersetzt; weitere Hinweise stehen im Server-Log. Mit management.health.tlsTrust.enabled: false in der application.yml lässt sich der Indikator abschalten (Standard: eingeschaltet).

Certificate Pinning (Apple-Enrollment)

Neu in 26.5

Ist im Bereich Allgemein der Schalter Certificate Pinning aktivieren eingeschaltet, wird die TLS-Verbindung zum MDM-Server gegen ausgewählte Anker-Zertifikate statt gegen den Truststore des Systems validiert. Dadurch werden Man-in-the-Middle-Angriffe und der Einsatz nicht autorisierter Zertifizierungsstellen erschwert. Das Pinning wird bei der Registrierung (Enrollment) von Apple-Geräten in das MDM-Profil übernommen und gilt anschließend für die gesamte Kommunikation des Geräts mit dem MDM-Server, einschließlich des Check-ins. Ist das Pinning deaktiviert, prüft das Gerät die Verbindung gegen den System-Truststore.

Die zu prüfenden Zertifikate werden im Bereich Anker-Zertifikate über Hinzufügen aus den in der Zertifikatsverwaltung hinterlegten CA-Zertifikaten ausgewählt; die Übersicht führt je Eintrag Name, Typ und das Ablaufdatum (Läuft ab). Zum Aktivieren des Pinnings ist mindestens ein Anker-Zertifikat erforderlich. Über den Schalter Zertifikatssperrprüfung erforderlich lässt sich zusätzlich eine Prüfung des Zertifikatswiderrufs erzwingen. Wird Certificate Pinning aktivieren ausgeschaltet, leert Relution die Liste der Anker-Zertifikate und setzt die Sperrprüfung zurück; nach erneutem Einschalten müssen die Anker-Zertifikate neu ausgewählt werden.

Pinning ist im MDM-Profil hinterlegt

Das Pinning wird bei der Registrierung in das MDM-Profil eingebettet. Änderungen an dieser Stelle wirken sich auf neue Registrierungen aus. An bereits registrierte Geräte überträgt Relution die geänderte Konfiguration erst, wenn deren MDM-Profil aktualisiert wird (Aktion MDM Profil aktualisieren oder automatische Erneuerung vor Ablauf des Identitätszertifikats). Eine fehlerhafte Konfiguration kann Geräte von der MDM-Kommunikation ausschließen; ein Gerät, das die Verbindung zum MDM-Server wegen eines falschen Pins nicht mehr aufbauen kann, erreicht auch keine Profilaktualisierung mehr und muss erneut registriert werden. Es sollten ausschließlich langlebige CA-Zertifikate gepinnt werden; beim Rotieren einer CA bleiben sowohl der alte als auch der neue Anker ausgewählt.

Zertifikatssperrprüfung nur mit Sperrinformationen aktivieren

Der Schalter Zertifikatssperrprüfung erforderlich darf nur eingeschaltet werden, wenn das TLS-Zertifikat des Servers Sperrinformationen (OCSP-Responder-URL) bereitstellt. Fehlt diese Information, verweigern Geräte möglicherweise die Verbindung.

Verhalten bei der Registrierung

Bei aktiviertem Pinning wird die Verbindung des Geräts zum MDM-Server während der Registrierung gegen die ausgewählten Anker-Zertifikate geprüft. Lässt sich die TLS-Zertifikatskette des Servers auf eines der Anker-Zertifikate zurückführen, gelingt die Registrierung. Diese Prüfung gilt auch für die spätere MDM-Kommunikation des registrierten Geräts. Bei Abweichung wird die Verbindung abgewiesen und die Registrierung schlägt fehl.

Ist das Pinning eingeschaltet, aber kein Anker-Zertifikat konfiguriert oder ladbar, erzeugt Relution die MDM-Profile ohne Pinning.

Geräte mit einer Betriebssystemversion unterhalb der für das Pinning erforderlichen Mindestversion werden weiterhin ohne Pinning registriert; die Registrierung bleibt dort funktionsfähig.

Benachrichtigungen zu Anker-Zertifikaten

Relution überwacht die gepinnten Anker-Zertifikate stündlich sowie nach jedem Speichern und meldet Probleme im Benachrichtigungscenter, damit ein Aussperren von Geräten frühzeitig verhindert werden kann. Die Benachrichtigungen erhalten Benutzer der Global-Organisation, die die TLS-Vertrauenskonfiguration einsehen dürfen. Gemeldet werden unter anderem:

  • ein Anker-Zertifikat, das in weniger als 90 Tagen abläuft oder bereits abgelaufen ist,
  • ein Anker-Zertifikat, das nicht geladen werden kann oder kein CA-Zertifikat ist,
  • ein wirkungsloses Pinning, etwa wenn kein Anker-Zertifikat konfiguriert ist oder keines mit der TLS-Zertifikatskette des Servers übereinstimmt.

Wie hilfreich war dieser Artikel?