Sicherheit

Der Sicherheitsbereich bündelt alles, womit ThinForge selbst abgesichert wird: das Web-Zertifikat, die Schlüssel für die Geräte-Bereitstellung, die Signatur von Updates und ein laufender Schwachstellen-Scan. Du findest ihn in den Einstellungen unter dem Tab Sicherheit (nur für Administratoren).

TLS-Zertifikat

Schützt die Web-Oberfläche und alle Verbindungen zum Server. Nach der Installation ist ein selbst-signiertes Zertifikat aktiv. Die Statuskarte zeigt, ob die Verbindung verschlüsselt ist, Name, Typ, verbleibende Tage bis zum Ablauf (bzw. „Abgelaufen"), Gültigkeitsbereiche und Fingerabdruck.

Rotieren — erzeugt ein frisches selbst-signiertes Zertifikat mit von dir gewählter Gültigkeit und Hostnamen.
Hochladen — hinterlege dein eigenes, von einer Zertifizierungsstelle ausgestelltes Zertifikat (Zertifikat- und Schlüsseldatei im PEM-Format, Schlüssel ohne Passphrase).

Hinweis: Nach jedem Austausch ist die Oberfläche für wenige Sekunden kurz nicht erreichbar, während das Zertifikat neu geladen wird. Bestehende Anmeldungen bleiben erhalten. Rotiere rechtzeitig vor Ablauf — die Karte zeigt dauerhaft die verbleibenden Tage an und meldet ein abgelaufenes Zertifikat.

SSH-Bereitstellung

ThinForge richtet neue Geräte beim ersten Ausrollen über einen zentralen SSH-Schlüssel ein. Hier verwaltest du diesen Server-Schlüssel und das Heartbeat-Token, mit dem sich Geräte beim Server melden.

Generieren / Rotieren — erzeugt einen neuen Schlüssel. Geräte, die online sind, übernehmen ihn automatisch beim nächsten Melden (in der Regel innerhalb einer Minute); Offline-Geräte holen ihn nach, sobald sie wieder erreichbar sind.
Heartbeat-Token rotieren — vergibt ein neues Token; die Geräte übernehmen es automatisch beim nächsten Melden.
Verlauf — ältere Schlüssel und Token werden zur Sicherung aufbewahrt und können einzeln gelöscht werden.

Hinweis: Während der kurzen Übergangsphase nach einer Rotation kann eine gleichzeitig gestartete Fernwartung auf einem Gerät fehlschlagen. Plane Rotationen am besten zwischen zwei Rollout-Stufen ein oder warte, bis alle Online-Geräte den neuen Schlüssel gezogen haben.

Signatur-Schlüssel

Mit dem Signatur-Schlüssel signiert der Server alle Geräte-Updates, sodass die Geräte deren Echtheit prüfen können. Du kannst hier einen Schlüssel erzeugen oder rotieren; vorhandene Geräte übernehmen einen neuen Schlüssel automatisch. Zeigt die Karte unsignierte Updates an, holt Jetzt signieren die Signaturen nach.

Hinweis: Das Bereitstellungs-Medium (Tools-ISO) wird beim Erzeugen oder Rotieren des Schlüssels nicht automatisch neu gebaut. Der aktuelle Schlüssel landet erst beim nächsten Neubau der Tools-ISO darauf — dieser läuft automatisch beim nächsten Start der Cloning-VM. Damit Neu-Installationen den aktuellen Schlüssel kennen, gib danach die frische Tools-ISO aus, verteile das neue Medium und ziehe alte Boot-Medien ein.

Schwachstellen-Scan

Der Scan prüft auf Knopfdruck alle Bestandteile des Servers auf bekannte Sicherheitslücken (CVEs) und bewertet jede Fundstelle danach, wie erreichbar die betroffene Komponente überhaupt ist.

Scan starten — startet einen Hintergrund-Lauf; die Oberfläche zeigt den Fortschritt und den Zeitpunkt des letzten Laufs.
Übersicht — bei kritischen und hohen Funden siehst du die Roh-Zahl und die effektive Zahl nach Bewertung; mittlere und niedrige Funde werden als einfache Gesamtzahl angezeigt. Ziel sind null effektive kritische und hohe Fundstellen.
Details — je Komponente lässt sich die vollständige Liste der Fundstellen mit Paket, Kennung, verfügbaren Korrekturen und Bewertung ausklappen.

Ein Befund mit Status prüfen heißt, dass die automatische Bewertung keine Aussage treffen konnte — diese Fälle sieht das Sicherheits-Team manuell durch. Lass den Scan nach jedem Update durchlaufen.

SBOMs

Zu jedem Scan-Lauf stehen Stücklisten der enthaltenen Software (Software Bill of Materials) in mehreren Standard-Formaten zum Download bereit. Das ist nützlich für Compliance-Nachweise oder um den Stand zu einem bestimmten Zeitpunkt zu archivieren.