Sicherheit

Wenig Rechte. Wenig Wege. Nichts Geheimes.

Ein Verwaltungswerkzeug für Active Directory ist selbst ein Angriffsziel. Deshalb hat DirectoryOps so wenig wie möglich: keine eigenen Rechte, keinen Server, keine Verbindung nach Hause.

NUR LESEN in Release 1Schreibende Funktionen laufen bisher nur im Testlabor.
0 DienstkontenDirectoryOps arbeitet mit dem angemeldeten Konto.
0 Byte TelemetrieNutzungszähler gibt es nur lokal und nur, wenn Sie sie einschalten.

Sicherheitsmodell

Sechs Zusagen

Jede Zusage ist im Code durch Tests abgesichert und im Labor gegen echte Domain Controller geprüft.

Lesen ist der Normalfall

Release 1 schreibt nicht ins Verzeichnis. Spätere schreibende Funktionen zeigen jede Änderung vorher und brauchen Ihren ausdrücklichen Klick, mit Protokoll und Rücknahme.

Keine Dienstkonten, keine Server

Kein Konto mit Vollzugriff, das jemand stehlen könnte. DirectoryOps nutzt die Rechte des angemeldeten Admins; was er sehen und ändern darf, entscheidet der DC.

Geheimnisse werden nie gelesen

Kennwort-, LAPS-, BitLocker-, gMSA- und Vertrauensschlüssel-Attribute sowie alles, was das Schema als vertraulich markiert, fragt DirectoryOps gar nicht erst ab. Was nicht geladen wird, kann weder angezeigt noch exportiert noch protokolliert werden.

Verschlüsselt zum DC

LDAP mit Kerberos, signiert und verschlüsselt, oder LDAPS. Kein stiller Wechsel des Domain Controllers, keine Verweisverfolgung in fremde Domänen.

Signierte Updates

Versionsdatei mit ECDSA signiert, Paket per SHA-256 geprüft, Herausgeber per Authenticode. Ältere Versionen werden abgelehnt. Installiert wird nur nach Klick.

Protokoll ohne Inhalte

Das lokale Betriebsprotokoll enthält keine Attributwerte, keine Suchtexte und keine DNs. Es hilft beim Support, ohne Ihr Verzeichnis abzubilden.

Was wohin geht

Verbindungen, vollständig

Diese Tabelle ist die vollständige Liste. Für Firewall-Freigaben und die Datenschutz-Folgenabschätzung.

Ziel	Wozu	Protokoll	Abschaltbar
Ihre Domain Controller	Verzeichnis lesen	LDAP 389 (Kerberos, signiert + verschlüsselt) / LDAPS 636, Global Catalog 3268/3269	nein (Zweck der Anwendung)
`directoryops.tomoris.com`	Update-Prüfung: Versionsdatei und Signatur	HTTPS 443	ja, per Einstellung oder GPO
TOMORIS-Download-Speicher (Azure, Westeuropa)	Update-Paket laden, nur nach Klick	HTTPS 443	ja, mit der Update-Prüfung
Lizenz	Prüfung der Lizenzdatei	keine Verbindung, offline	–
Telemetrie	gibt es nicht	–	–

Die Update-Prüfung nutzt den System-Proxy mit Windows-Anmeldung. Ohne Internet: interne Freigabe oder Offline-Paket, siehe Download.

Update-Kette

Was vor jeder Installation geprüft wird

Versionsdatei und Signatur werden geladen; die ECDSA-Signatur (P-256, SHA-256) wird geprüft, bevor der Inhalt gelesen wird.
Produkt, Kanal und Alter der Versionsdatei müssen passen; eine niedrigere Version als die je gesehene wird abgelehnt.
Das Paket wird geladen und gegen Größe und SHA-256 aus der signierten Versionsdatei geprüft.
Bei signierter Anwendung muss das Paket denselben Authenticode-Herausgeber tragen.
Erst dann bietet DirectoryOps die Installation an. Sie entscheiden, wann.

Der private Signaturschlüssel liegt in einem Azure Key Vault mit Löschschutz und verlässt ihn nur zum Signieren eines Releases. Die Anwendung kennt nur öffentliche Schlüssel; ohne Schlüssel prüft sie keine Updates.

Virenscanner und SmartScreen

Für Kunden veröffentlichen wir nur Pakete mit der Code-Signatur der TOMORIS GmbH. Keine Packer, keine nachgeladenen Skripte, keine versteckten Dienste.

Schwachstelle gefunden?

Bitte vertraulich an contact@tomoris.com, Betreff „DirectoryOps Sicherheit“. Wir antworten innerhalb von zwei Werktagen.