Security & Cybersecurity

Dieses Kapitel beschreibt die Sicherheitsfunktionen von EasySightPro sowie die empfohlenen Maßnahmen für die sichere Installation, Konfiguration und den Betrieb des Systems.

EasySightPro wurde nach dem Prinzip „Secure by Design“ entwickelt. Sicherheitsmechanismen werden über den gesamten Produktlebenszyklus hinweg bereitgestellt und gepflegt.

Security Overview

Sicherheitsmechanismen

EasySightPro verwendet:

  • Digitale Code-Signaturen (Authenticode)

  • SHA256-Integritätsprüfungen

  • Signierten Manifest Trust Anchor

  • Windows-Sicherheitsmechanismen

  • Laufzeit-Integritätsprüfung von Programmdateien

  • Sichere Softwarebereitstellung durch signierte Installationspakete

Operating System Hardening

Unterstützte Betriebssysteme

EasySightPro wird mit folgendem Betriebssystem getestet und unterstützt:

  • Windows 11 IoT Enterprise LTSC 2024

Betriebssystem und Supportzeitraum

  • Jedes Hauptrelease von EasySightPro unterstützt ein festgelegtes Betriebssystem.

  • Sicherheitsupdates für EasySightPro gibt es bis zum Ende des Supportzeitraums des jeweiligen Hauptreleases. Sie werden auch dann ausgeliefert, wenn der Support des Betriebssystems bereits abgelaufen ist.

  • Updates für RELISTE-Produkte gibt es nur bis zum Supportende des jeweiligen Produkts.

  • Der Betriebssystem-Support eines RELISTE VisionControllers endet mit dem Support der eingesetzten Windows-LTSC-Version. Für Windows-Updates nach diesem Zeitpunkt ist ein kostenpflichtiges Upgrade notwendig.

Empfohlene Sicherheitseinstellungen

Aktivieren:

  • Windows Defender

  • Windows Firewall

  • BitLocker

  • Aktuelle Windows-Sicherheitsupdates

  • Benutzerkontensteuerung (UAC)

Deaktivieren:

  • SMBv1

  • Veraltete Netzwerkdienste

  • Nicht benötigte Benutzerkonten

  • Nicht benötigte Windows-Dienste

Kommunikationssicherheit

Netzwerkkommunikation

EasySightPro verwendet derzeit keine TLS-verschlüsselte Kommunikation.

Die Software ist für den Einsatz in industriellen Netzwerken vorgesehen, in denen geeignete organisatorische und technische Sicherheitsmaßnahmen umgesetzt werden sollten.

Empfohlene Maßnahmen:

  • Betrieb innerhalb eines geschützten Produktionsnetzes

  • Netzwerksegmentierung

  • Firewall-Regeln

  • VPN für Fernzugriffe

  • Zugriffsbeschränkung auf autorisierte Systeme

Empfehlung

EasySightPro sollte nicht direkt aus ungeschützten öffentlichen Netzwerken erreichbar sein.

Der Betreiber ist für die sichere Einbindung in die Netzwerkumgebung verantwortlich.

Software Integrity Protection

Integritätsschutz

EasySightPro schützt die Integrität der ausgelieferten Software durch:

  • Digitale Signaturen

  • SHA256-Prüfsummen

  • Laufzeitprüfung der Programmdateien

  • Versionsprüfung des Trust Anchors

  • Signierte ManifestAnchor-DLL

Vertrauensanker

Reliste.ManifestAnchor.dll dient als Root of Trust für die Integritätsprüfung.

Vor dem Start der Anwendung werden Signatur, Zertifikat, Version und Integrität des eingebetteten Manifests geprüft.

Security Limitations

Aktuelle Einschränkungen

EasySightPro verwendet derzeit keine Ende-zu-Ende-Verschlüsselung der Kommunikationsverbindungen.

Abhängig von der Systemarchitektur kann Netzwerkverkehr innerhalb des lokalen Netzwerks übertragen werden.

Der sichere Betrieb setzt daher voraus:

  • geschützte Netzwerkinfrastruktur

  • Firewall-Schutz

  • Netzwerksegmentierung

  • kontrollierten Fernzugriff

  • aktuelle Betriebssystem-Sicherheitsupdates

Kiosk-Modus

Im Kiosk-Modus von EasyComputerManagement läuft EasySightPro als Benutzeroberfläche für den Bedienerbenutzer „Vision“. Der Kiosk-Modus erschwert den Zugriff auf Windows, schottet das System aber noch nicht vollständig ab:

  • Die Schaltfläche Ordner öffnen im Bereich Sicherung öffnet ein Fenster des Windows-Explorers. Darüber sind die Laufwerke des Controllers sowie verbundene Netzlaufwerke erreichbar, und Dateien können außerhalb von EasySightPro geändert, gelöscht oder ausgeführt werden.

  • Datei-Dialoge (z. B. Öffnen, Speichern unter) bieten ebenfalls Funktionen des Windows-Explorers.

Eine künftige Version von EasySightPro blendet Ordner öffnen im Kiosk-Modus aus und bietet für Sicherungen eine eigene Exportfunktion auf Wechseldatenträger. Bis dahin wird empfohlen:

  • den Controller nur von berechtigtem Personal bedienen zu lassen,

  • auf dem Controller keine Netzlaufwerke mit sensiblen Daten zu verbinden,

  • Sicherungen regelmäßig zusätzlich außerhalb des Controllers aufzubewahren.

Cryptography

  • SHA256

  • Authenticode Code Signing

  • RSA-basierte Code-Signing-Zertifikate

  • Windows-Zertifikatsspeicher

Security Updates

Alle ausgelieferten Installationspakete werden digital signiert.

Die Echtheit der Software kann über die digitale Signatur sowie die mitgelieferte SHA256-Prüfsumme überprüft werden.