UCC Schlüsselverwaltung (OpenBao)
Geheimnisse gehören nicht in Konfigurationsdateien.
Datenbankpasswörter, API-Schlüssel und Zertifikate Deiner Anwendungen liegen an einem Ort: verschlüsselt, mit klaren Regeln, wer was lesen darf, und mit einem Protokoll über jeden Zugriff. Wir betreiben dafür OpenBao, die freie Weiterentwicklung von HashiCorp Vault, in unserem Rechenzentrum im ehemaligen Banktresor in Thayngen oder auf Deinen eigenen Servern.
Ein Schlüsselbrett mit Wächter
In den meisten Unternehmen hängen die Schlüssel zu Datenbanken und Schnittstellen offen herum: in Konfigurationsdateien, in Skripten, in der Versionsverwaltung. Wer eine Datei kopieren kann, hat den Schlüssel gleich mit. Niemand weiss genau, welcher Dienst welches Passwort kennt, und ein abgelaufenes Zertifikat fällt erst auf, wenn die Anwendung stillsteht.
OpenBao ist das Schlüsselbrett mit Wächter. Deine Anwendungen melden sich an, der Wächter prüft, ob sie den Schlüssel bekommen dürfen, und schreibt jede Ausgabe ins Protokoll. Auf Wunsch fertigt er den Schlüssel erst im Moment der Anfrage an und zieht ihn nach Ablauf selbst wieder ein. Ein gestohlenes Datenbankpasswort ist dann nach Ablauf der eingestellten Frist wertlos.
OpenBao steht unter der freien Lizenz MPL 2.0 und wird unter dem Dach der Linux Foundation entwickelt, mit Beiträgen von Unternehmen wie SAP und GitLab. HashiCorp hat die Lizenz von Vault 2023 geändert; OpenBao ist der Zweig, der offen geblieben ist.
Was OpenBao kann
- OpenBao verwahrt statische Geheimnisse mit Versionsverlauf.
- Es erzeugt Datenbankzugänge für PostgreSQL, MySQL und MariaDB auf Anfrage und löscht sie nach Ablauf.
- Als eigene Zertifizierungsstelle arbeitet es mit ACME, wie Let's Encrypt, aber für Dein internes Netz.
- Daten Deiner Anwendungen verschlüsselt und signiert es, ohne dass diese den Schlüssel je sehen.
- Für SSH stellt es signierte Zertifikate aus, statt dass Schlüssel auf Servern verteilt werden.
Pakete und Preise
Im Banktresor-Rechenzentrum
-
Deine eigene OpenBao-Instanz mit drei Knoten auf getrennter Hardware; fällt ein Knoten aus, arbeiten Deine Anwendungen weiter.
-
Betrieb, Aktualisierung, tägliche Sicherung, Überwachung rund um die Uhr und das Entsiegeln nach jedem Neustart sind inbegriffen.
Betrieb bei Dir
-
Drei Knoten auf Deinen Servern, betreut über den Wartungsvertrag, inklusive Entsiegeln im monatlichen Wartungsfenster
Einführung und Migration
-
Einrichtung
-
Umstieg von HashiCorp Vault
-
Anbindung Deiner Anwendungen
-
Aufbau einer eigenen Zertifizierungsstelle
Alle Preise zuzüglich Mehrwertsteuer. Mitglieder des Gewerbevereins Reiat erhalten auf die Monatspreise den Vorteilspreis.
Zum Preis: Die Rechenleistung macht bei uns wenige Franken aus. Bezahlt wird die Arbeit: jede neue OpenBao-Version lesen und testen, bevor sie eingespielt wird, die Sicherung prüfen und einmal im Quartal wiederherstellen, das Protokoll auswerten. Dazu kommt das Entsiegeln: Nach jedem Neustart geben drei Menschen ihren Schlüsselanteil ein, zwei von uns und einer von Dir. Es gibt keinen Generalschlüssel in einer Maschine, der das automatisch erledigt. Eine Schlüsselverwaltung, die niemand pflegt, ist ein Risiko mit gutem Namen.
Warum UCC Pro?
| Selbst betreiben | Cloud-Dienst eines US-Anbieters | UCC Schlüsselverwaltung | |
|---|---|---|---|
| Standort der Schlüssel | bei Dir | im Rechenzentrum des Anbieters, unter US-Recht | in Thayngen, Schweiz |
| Lizenz | frei | proprietär | frei, MPL 2.0 |
| Betrieb, Aktualisierung, Sicherung | Deine Leute | der Anbieter | wir |
| Ansprechpartner | intern | Ticket | Techniker, der Deine Instanz kennt |
| Verwahrung der Schlüsselanteile | intern zu regeln | beim Anbieter | Vier-Augen-Prinzip, ein Anteil im Schliessfach im Banktresor |
Für wen ist die Schlüsselverwaltung?
Betriebe mit eigener Software
Deine Anwendungen brauchen Datenbankpasswörter und Schnittstellenschlüssel. Heute stehen sie in Dateien. Mit der Schlüsselverwaltung holt sich jede Anwendung beim Start, was sie braucht, und nicht mehr.
Entwicklungsteams mit Containern
Kubernetes und Container brauchen Geheimnisse zur Laufzeit. OpenBao meldet Container direkt über Kubernetes an und erzeugt kurzlebige Zugänge, die nach Ablauf verfallen.
Unternehmen mit HashiCorp Vault
Die Lizenz von Vault ist seit 2023 nicht mehr frei. Wir prüfen Deine Installation, zeigen, was in OpenBao gleich funktioniert und was nicht, und migrieren. Ohne Versprechen vor der Bestandsaufnahme.
Sicherheit und Vertrauen
Der Ort
Deine Instanz läuft in der Hochsicherheitszone unseres Rechenzentrums im ehemaligen Banktresor, in einem eigenen Netzsegment nur für Dich. Erreichbar ist sie über die verschlüsselte Verbindung zu Deinem Standort, nicht offen im Internet. Die Anteile des Schlüssels, mit dem OpenBao entsiegelt wird, liegen getrennt bei Dir, bei zwei Personen von UCC Pro und versiegelt in unserer Schliessfachanlage. Keine Person allein kann die Instanz öffnen. Dafür benennst Du zwei Personen mit Schlüsselanteil, von denen in der Geschäftszeit eine innert zwei Stunden erreichbar ist.
Der Betrieb
Jeder Zugriff wird protokolliert und in unserem Sicherheitsüberwachungssystem ausgewertet. Die Instanz wird rund um die Uhr überwacht, täglich gesichert und einmal im Quartal zur Probe wiederhergestellt. Wir arbeiten nach den Anforderungen von ISO 27001, sind aber nicht danach zertifiziert.
Klartext: OpenBao ist kein Zero-Knowledge-Dienst. Wer eine Instanz betreibt, kann technisch auf ihren Inhalt zugreifen. Dagegen stehen bei uns Protokoll, Vier-Augen-Prinzip und Vertrag. Für Passwörter, die nur Du entschlüsseln können sollst, gibt es Vaultwarden.
Was wir nicht bieten
- Wir betreiben keine gemeinsame Instanz für mehrere Kunden, sondern für jeden Kunden eine eigene.
- Wir stellen keine Instanz offen ins Internet.
- Wir entsiegeln nicht automatisch. Ein Schlüssel, der sich selbst aufschliesst, ist bequem, aber genau der Generalschlüssel, den diese Lösung vermeidet.
- Wir sagen keine Verfügbarkeit in Prozent zu. Zugesichert sind Reaktion und Beginn der Behebung, wie im Wartungsvertrag.
Passt dazu
Vaultwarden
Der Passwort-Manager für Dein Team, für die Zugänge, die Menschen brauchen.
Wo liegen Deine Schlüssel heute?
In einem Gespräch von einer Stunde klären wir, wo Deine Anwendungen heute Geheimnisse ablegen und was sich mit der Schlüsselverwaltung ändert.