TightGate-Pro

Dediziertes Remote-Controlled Browser System
zum Schutz vor Gefahren aus dem Internet

Automatisch generierter Auszug aus dem Administrationshandbuch

Datum: 11.04.2019

Herausgeber:

m-privacy GmbH

Technische Redaktion

Werner-Voß-Damm 62

12101 Berlin

Fon: +49 30 243423-34

support@m-privacy.de

www.help.m-privacy.de

Allgemeine Hinweise zu diesem Handbuch

Alle Materialien und Ausführungen wurden mit Sorgfalt erarbeitet und zusammengestellt. Den­noch sind Fehler nicht auszuschließen. Die m-privacy GmbH übernimmt keine Haftung für Schäden, die aus Unrichtigkeit einzelner Angaben entstehen.

Im Sinne einer raschen Orientierung und zur Vermeidung von Sicherheitsrisiken werden besonders wichtige Aspekte durch wiederkehrende Stichworte gekennzeichnet. Diese sind:

Hinweis
Unter diesem Stichwort werden nützliche Details zur rationellen Verwendung von TightGate-Pro er­läutert.

Achtung
Unter diesem Stichwort erfolgen Hinweise zur Problemvermeidung bzw. zur Vorbeugung von Betriebs­störungen bei TightGate-Pro.

Warnung
Unter diesem Stichwort erfolgen Hinweise auf mögliche Fehler bei der Konfiguration und Verwendung von TightGate-Pro, die weitreichende Sicherheitsrisiken bergen oder zu schwerwiegenden Betriebs­störungen führen können.

Inhaltsverzeichnis

Das Administrationskonzept der mp-Firewall

Die mp-Firewall hat speziell vordefinierte Benutzerrollen, die den herkömmlichen Administrator (root) ersetzen. Die großen Vorteile dieses dezentralen Administrationskonzeptes ist einerseits der Schutz des Administrationsaccount vor einer funktional unangemessen Allmacht1) Die herkömmliche Konzentration aller Administrationsaufgaben und Systemrechte in einem zentralen Account macht diesen besonders gefährlich; gelingt es Hackern an dieser Stelle einzudringen, haben sie Zugriff auf das gesamte System. . Anderseits wird durch die funktionale Aufteilung der einzelnen Administrationsaufgaben eine Delegation der Aufgaben möglich. Zu den speziellen Rechten der einzelnen Administrationsrollen vergleichen Sie bitte die Übersicht der Rollenrechte. Grundsätzlich lässt sich eine Unterteilung der Administrationsrollen in folgende Bereiche vornehmen:

Der Netzwerk-Bereich
Für die Systemadministration der mp-Firewall wurde die Rolle config geschaffen. Sie ist zuständig für die Netzwerkeinstellungen und allgemeine Systemvorgaben. Keinen Zugriff hingegen hat diese Administrationsrolle auf Benutzerverzeichnisse und Benutzereinstellungen. Damit ist ein Outsourcing der Wartungsaufgaben für das Netzwerk datenschutzrechtlich unbedenklich.

Der personenbezogene Bereich
Für diesen Administrationsbereich ist die Rolle maint vorgesehen. Diesem Administrationsaccount obliegt es, die Benutzerzugänge/E-Mailkonten der mp-Firewall zu pflegen. Es können Konten angelegt, Mailvorgaben gesetzt, Zugangsberechtigungen und -einschränkungen vorgenommen und Passwörter geändert werden. Dieser Administrator hat keine Möglichkeit einer inhaltlichen Kontrolle der Benutzerverzeichnisse und -daten.

Der Wartungs-Bereich
Für Wartungsaufgaben der mp-Firewall wurden die Rollen backuser und update vorgesehen. Sie haben nur einen sehr begrenzten Funktionsumfang und speziell definierte Rechte. Dabei ist der backuser ausschließlich für das Erstellen und Rücksichern von Backups und die dafür notwendigen Einstellungen verantwortlich. Gleiches gilt für die Rolle update bei der Pflege des Systems. Beide Rollen haben weder Zugriff auf die Netzwerkeinstellung noch dürfen sie Benutzerverzeichnisse einsehen.

Der Sicherheits-Bereich
Die zentrale Sicherheit der mp-Firewall wird über den Zugriffsrechteschutz RSBAC gewährleistet. Die RSBAC-Konfiguration ist bei Auslieferung komplett und sollte nicht von Benutzern verändert werden. Zur Bearbeitung der RSBAC-Sicherheitseinstellungen gibt es die Rollen security und root.