Sicherheit für ein neues Produkt. Die dormakaba Schweiz AG liess die neue Zutrittslösung exivo von den Sicherheitsexperten von Redguard prüfen. Dabei war die Ausgangslage nicht ohne Herausforderungen: exivo wird in der Cloud entwickelt und betrieben, es verbindet virtuelle und physische Komponenten (Internet of Things) und die Arbeit und Tests von Redguard mussten mit einer agilen Softwareentwicklung Schritt halten.

Höher hätte man die Anforderungen kaum setzen können: exivo verwaltet nicht irgendeinen Prozess, sondern steuert, wer, wann, welchen Raum in einem Gebäude betreten darf. Das Zutrittssystem ist eine komplette Neuentwicklung und wird – erstmals für dormakaba – in der Cloud entwickelt und in der Cloud betrieben. exivo besteht obendrein aus physischen Elementen beim Kunden. Es ist also ein Beispiel für eine moderne Internet-of-Things-Lösung. Und wenn das nicht schon genug Komplexität wäre: exivo ist ein multifunktionales System mit umfangreichen Funktionen. So können beispielsweise Partnerunternehmen mit exivo Zutrittslösungen für ihre Kunden bestellen, planen und managen. exivo ist also sozusagen ein Komplettpaket in Sachen Zutritt. Das hat zur Folge, dass das neue Produkt neben mehreren Modulen auch unterschiedliche Nutzer-Gruppen mit verschiedenen Funktionen und Berechtigungsebenen verwaltet.

“Das maximiert unsere Anforderungen in Sachen Sicherheit. Sie gehen über das üblicherweise bereits hohe Mass für eine Zutrittslösung hinaus. exivo muss auf vielen Ebenen ein Höchstmass an Sicherheit erreichen.” Patrik Eigenmann, verantwortlicher Chefingenieur bei dormakaba für das neue Produkt

Produkt und Prozesse untersucht

Ein Vorgängerprodukt oder ein Produktvorbild für den neuen Alleskönner aus Zürich gab es nicht. dormakaba hat exivo von Grund auf neu entwickelt. Für Patrik Eigenmann stand darum von Anfang an fest, dass es in Sachen Sicherheit auch einen kritischen Blick von aussen braucht.

„Das Vier- Augen-Prinzip war hier unverzichtbar.“ Nach einer Ausschreibung hat sich dormakaba für Redguard entschieden. Neben der guten Reputation und der räumlichen Nähe sei das Angebot von Redguard schlicht das insgesamt überzeugendste Angebot gewesen, begründet er die Auswahl. Während des Entwicklungsprozesses nahm Redguard die gesamte Produktentwicklung von exivo in Bezug auf das Thema Sicherheit intensiv unter die Lupe. Der Blick der Experten richtete sich dabei gleichermassen auf Prozesse und Produkte. Fazit der Begleitung aus Sicht von Patrik Eigenmann: Redguard lieferte an vielen Stellen wichtigen Input für ein Plus an Security. Die Experten fanden kein grosses Problem, das die Anwendung in Frage gestellt hätte, aber sie ermittelten Schwachstellen und empfahlen Massnahmen, die das Sicherheitslevel der Anwendung nochmal erhöht haben.

Verbesserungen bei der Firmware

So wurde zum Beispiel in der Webanwendung von exivo die Struktur der Benutzerrollen und Berechtigungen trennschärfer formuliert. Bei der physischen Hardware beim Kunden vor Ort (Peripherie Controller) führten Pre- und Re-Tests zu Verbesserungen der Controller-Firmware, etwa zu einer garantierten Aktualität aller Sicherheitszertifikate. Gemeinsam hat man das Niveau der Prüfungen angehoben. So gaben sich dormakaba und Redguard nicht mit Man-in-the-Middle-Angriffen zufrieden, sondern munitionierten die simulierten Angreifer mit zusätzlichen internen Informationen, um ihren Erfolg wahrscheinlicher zu machen.

“Es wurden maximal viele Möglichkeiten der Manipulation durchgespielt.” Patrik Eigenmann, verantwortlicher Chefingenieur bei dormakaba für das neue Produkt

Auch Arbeitsweise geprüft

Das Prüfen von Hardware und Anwendungen war aber nur ein Job von vielen. Weil dormakaba die Anwendung intern entwickelt hat, war es auch wichtig, während des Softwareentwicklungsprozesses maximale Sicherheit zu garantieren. Ein Produkt ist bekanntlich nur so sicher, wie während der Software-Entwicklung alle sicherheitsrelevanten Themen beachtet werden. Redguard hat hier genau überprüft, wie die Verantwortlichen arbeiten.

Security ist nach dem Verständnis von dormakaba kein Zusatz, sondern ein selbstverständlicher Bestandteil des Entwicklungsprozesses.

Ein Schwerpunkt der Unterstützung durch Redguard war die technische Beratung der Entwickler. Redguard gab Antworten auf Fragen wie: Wie gut ist die Entwicklung dokumentiert, welche Benutzerberechtigungen gibt es, welche Verhaltensregeln gelten für die Entwickler? Hier konnten laut Patrik Eigenmann „zahlreiche Themen adressiert werden“, die das Unternehmen auch umgesetzt hat.

Konkretes Beispiel: Die Apple-Rechner, auf denen das Produkt entwickelt worden ist, waren zunächst nicht in die Unternehmens-IT eingebunden. Das ist heute korrigiert, zum Vorteil des gesamten Konzerns: Mittlerweile werden alle „Macs“ von Global-IT gemanagt, berichtet Eigenmann.

Infrastruktur mit im Blick

Zum technischen Consulting im Entwicklungsprozess gehörte es auch, dass Redguard die Infrastruktur der Cloud-Entwicklungsumgebung (u.a. Amazon Web Services) geprüft hat. Redguard konnte hier – genauso wie beim Hosting der Anwendung in der Cloud – dem Auftraggeber signalisieren, dass keine Sicherheitsbedenken bestehen.

Prädikat: ausgezeichnet

Aus Sicht von Redguard war es bei diesem Projekt eine zusätzliche Herausforderung, dass dormakaba einen agilen Ansatz bei der Softwareentwicklung verfolgte, der bis hin zu Continuous Integration und Continuous Deployment (CI/CD) reichte. Die Sicherheitsberatung musste dabei den gesamten Entwicklungsprozessen zeitnah Schritt auf Schritt begleiten. Bei dormakaba ist man sehr zufrieden mit seinem neuen Projektpartner in Sachen Sicherheit. Patrik Eigenmann verleiht der Zusammenarbeit mit Redguard das Prädikat „ausgezeichnet“. Fachliches Know-how, Professionalität, Schnelligkeit und Flexibilität hätten bei Redguard gestimmt. „Es konnte uns nichts besseres passieren“. Das sei vor allem bemerkenswert, weil das Produkt eine komplette Neuentwicklung ist und sein Unternehmen mit einer cloud-basierten Lösung zusätzlich neue Wege beschritten hat. Für Eigenmann steht fest, dass er auch künftig beim Thema Sicherheit auf den prüfenden, externen Blick von Redguard setzen wird.

“In Sachen Sicherheit brauchen wir den kritischen Blick von aussen. Das Vier-Augen-Prinzip ist unverzichtbar. Dazu gehört neben dem Fokus auf das Produkt auch eine Prüfung unserer Arbeitsweise.” Patrik Eigenmann, verantwortlicher Chefingenieur bei dormakaba für das neue Produkt

Lesen Sie hier, wie Redguard den IoT Security Verification Standard (ISVS) von OWASP unterstützt – und wie dieser dabei hilft, die Informationssicherheit von IoT-Lösungen zu erhöhen.