Systemanforderungen und Überlegungen zur Installation von Space

Einführung

Dieser Abschnitt enthält technische Informationen zur Installation der "ProAccess Space"-Software ("Space" im Folgenden), wie z. B. Systemanforderungen, Konnektivitätsaspekte usw. Es richtet sich an fortgeschrittene Anwender (wie Salto-Distributoren, die mit IT-Teams zusammenarbeiten), die sich mit dem Software-Installationsprozess befassen müssen.

Übersicht

Space ist eine Zutrittskontrollsoftware, die von Salto entwickelt und produziert wird, um elektronische Zutrittspunkte zu verwalten, die von Salto hergestellt werden, wie z. B. elektronische Beschläge, Zylinder, sowie Online-IP- und Funk-Türkomponenten.

Im nachstehenden Diagramm ist ein grundlegendes Schema des Space-Zutrittskontrollsystems dargestellt, in dem die folgenden Hauptkomponenten zu sehen sind: der Space-Server, die Client-Computer und die Salto-Peripherie- und Türkomponenten.

System-Überblick

Vereinfachtes Schema des Space-Zutrittskontrollsystems.

Symbole der Netzwerk-Komponenten

Symbol	Beschreibung
Space-Server	Enthält den Space-Dienst und die SQL-Datenbank (SQL DB). Er verwaltet und steuert in Echtzeit alle Salto Online-Geräte, bspw. Online-Türen, die Funk-vernetzt(RF) betrieben werden. Er verarbeitet auch alle Anfragen der Space-Clients.
Space-Client	Auf diesen laufen Client-Anwendungen, bspw. Space und die lokale IO-Brücke.
Encoder	Encoder sind externe Geräte, die die Zutrittsdaten auf physischen Medien lesen und aktualisieren, sowie Zutrittsrechte auf diese schreiben. Encoder können per USB oder Ethernet verbunden werden.
Türkomponente	Gewährt oder verweigert den Zutritt, abhängig von den Berechtigungen der präsentierten Medien. Diese Geräte können online oder offline und batteriebetrieben sein. Batteriebetriebene BLUEnet-fähige Türkomponenten sind mit einer Technologie ausgestattet, die diese online-fähig macht. Wenn diese Türkomponenten jedoch nicht mit einem Netzwerkgerät verbunden sind, müssen sie mittels PPD aktualisiert werden. Diese Türkomponenten werden im Space-System als "Standalone" bezeichnet.
Tragbares Programmiergerät (PPD)	Übermittelt Informationen, wie die Identität oder Einstellungen an Türkomponenten. Diese Geräte können mit Türkomponenten über NFC oder per Kabel kommunizieren(abhängig von der eingesetzten Hardware). Sie für die Initialisierung und Aktualisierung von Offline-Türkomponenten genutzt. Siehe PPD für weitere Informationen.
Steuerung	Ermöglicht Zutrittskontrolle in Echtzeit. Steuerungen werden vom Space-Server verwaltet und arbeiten gleichzeitig als Online-Tür und Medien-Updater. Steuerungen werden über den RS485-Bus mit Lesern verbunden.
Gateway	Ein Gerät, das für Zugriffspunkte bestimmt ist, in denen eine Online-Anbindung erforderlich ist. Gateways verbinden elektronische Türkomponenten über Nodes und ermöglichen diesen Offline-Geräten so Online verbunden zu sein. Gateways arbeiten als Ende-Zu-Ende-verschlüsselte Schnittstelle zwischen den angebundenen Geräte einerseits und der Software andererseits.
Nodes und Repeater	Hierbei handelt es sich um Nodes oder Repeater, die die nutzbare Entfernung zwischen Türkomponenten und dem Gateway erweitern. Ein Node muss per Kabel und RS485-Bus an ein Gateway angebunden werden, wohingegen Salto BLUEnet Repeater drahtlos kommunizieren.
JustIN Cloud	Fungiert als Schnittstelle zwischen dem Space-Backend und den JustIN mobile Apps.
JustIN App	Die Salto JustIN mobile App ermöglicht es Smartphones als Medien zu nutzen. Sie stellt sicher, dass Personen ihre Medien jederzeit und überall online erhalten können.

Die folgenden Abschnitte erläutern detailliert die Hardwareanforderungen und Sicherheitsüberlegungen, die bei der Installation von Space auf dem Space-Server und den Clients zu beachten sind.

Space-Server

Der Space-Server stellt das Herzstück des Systems dar, da er sowohl die Salto-Datenbank als auch den Space-Dienst beherbergt.

Die Space-Datenbank enthält Daten zum Zutrittskontrollsystem der Anlage, wie z. B. Zutrittsrechte, Ereignislisten der Türkomponenten, Schließplan usw.

Derzeit unterstützte Backend DB Systeme sind MS-SQL Server und MS-LocalDB (mehr dazu später).

Der Space-Dienst ist dagegen ein Windows NT-Dienst, der für die .NET-Plattform entwickelt wurde. Er bietet die folgenden zwei Funktionen:

1. Führt die Zutrittskontrolle durch die Verwaltung und Überwachung der Online-Salto-Geräte (sowohl Zugriffspunkte als auch SVN-Updater) durch.
2. Teilt und verarbeitet Anfragen von Space-Clients und Integratoren.

Der Space-Dienst wird über ein Tool namens "ProAccess Space Configurator" konfiguriert.

Hardware- und Systemanforderungen

Die Hardware- und Systemanforderungen für den Space Server sind wie folgt:

• Unterstützte Betriebssysteme: Microsoft Windows 10, 11, Server 2016 oder höher. Sowohl 32-Bit- als auch 64-Bit-Versionen.

• Datenbank¹: Microsoft SQL Server 2012, 2014, 2016, 2017, 2019, 2022 und LocalDB. Alle Editionen, einschließlich "Express", werden unterstützt.

• Microsoft SQL Native Client 11.0 (wird standardmäßig durch den Space-Installer installiert).

• Mindestanforderungen Hardware: Diese hängen maßgeblich von der Anzahl der IP-Geräte ab die durch Space verwaltet werden, bspw. Ethernet-Encodern, Gateways und CU42E0. Als Daumenregel gilt:

  • Anlagen mit weniger als 300 IP-Geräten: Eine dedizierte Maschine mit mindestens zwei 2,5 GHz-CPUs und 8 GB RAM ist erforderlich.
  • Anlagen mit mehr als oder gleich 300 IP-Geräten: Eine dedizierte Maschine mit mindestens vier 2,5GHz CPUs und 16 GB RAM ist erforderlich.

Darüber hinaus wird ein 1024×768 High-Color 32-Bit-Display (zum Arbeiten mit der GUI-Webanwendung über Browser) empfohlen.

• .NET Framework 4.6.2 oder höher (im Installationsprogramm enthalten).

• Der benötigte Festplattenspeicher hängt von der Größe des Schließplans und der Archivierungsrichtlinie ab. Mindestens 5 GB werden empfohlen.

• Namensauflösung(DNS): Space kann für die Kommunikation zwischen Geräten Namen(statt fester IP-Adressen) verwenden. In dieser Hinsicht zur korrekten Auflösung von Maschinennamen in die zugehörige IP-Adresse wird ein Systemnamensauflöser (wie z. B. ein Domain Name System oder DNS) benötigt.

• Datum und Uhrzeit des Servers müssen korrekt konfiguriert sein, bevor die Space-Software gestartet wird. Andernfalls könnte die Leistung der Online-Geräte(wie z. B. Funk-Türkomponenten) negativ beeinflusst werden.

• Erforderliche LDAP-Steuerelemente/Erweiterungen:

  • Wenn Personen oder Anwender über das LDAP-Protokoll aus Ihrem Verzeichnisdienst(DS) in die Space-DB importiert werden sollen, stellen Sie sicher, dass die folgende LDAP-Steuerung\Erweiterung von Ihrem DS- oder LDAP-Server unterstützt wird: "1.2.840.113556.1.4.319". Beispielsweise unterstützt Microsoft Active Directory bekanntermaßen das angegebene LDAP-Steuerelement, wohingegen Oracle Directory Server Enterprise Edition (ODSEE) es nicht unterstützt.

Überlegungen zu virtuellen Maschinen

Prinzipiell kann der Space-Dienst(inkl. DB) auf virtuellen Maschinen installiert und ausgeführt werden. Dabei müssen aber folgende wichtige Punkte berücksichtigt werden:

• Stellen Sie sicher, dass genügend CPU- und RAM-Ressourcen zugewiesen sind. Unzureichende Ressourcen verursachen Latenz, die sich negativ auf die Interaktionen zwischen dem Space-Dienst und den Online-Steuerungen und Personen auswirkt.
• Falls Ihr Rechner mit mehr als einem physischen NIC(Network Interface Controller) ausgestattet ist, stellen Sie sicher, dass der gesamte IP-Verkehr von/zu Space Software über den gleichen physischen NIC geht. Andernfalls können Kommunikationsprobleme mit Online-Geräten, wie CU42E0 auftreten).
• Falls Kommunikationsprobleme zwischen dem Space Server und den Salto IP-Geräten auftreten und Sie Windows Server 2012 R2 verwenden, kann es helfen die VMQ (Virtual Machine Queue) Funktion auf NICs zu deaktivieren. Weitere Informationen finden Sie unter folgendem Link: https://docs.microsoft.com/en-us/troubleshoot/windows-server/networking/poor-network-performance-hyper-v-host-vm

Kommunikationsports und Konnektivität

Der Space-Dienst ist keine isolierte Software. Ganz im Gegenteil: Der Space-Dienst öffnet mehrere Ports für Drittanbieter-Systeme, die an der Anfrage von Zutrittskontrollressourcen und -Diensten interessiert sind (bspw. Hotel PMS). Umgekehrt baut der Space-Dienst auch Verbindungen zu Systemen von Drittanbietern auf, um bestimmte Daten oder Dienste von diesen zu beziehen(z. B. MS-SQL Server oder die Salto-Cloud).

Das untenstehende Diagramm zeigt alle vom Space-Dienst verwalteten Kommunikations-Ports. Bei TCP/IP-Ports symbolisiert der Pfeil den Listening-Port, zu dem eine Verbindung hergestellt wird.

Die folgende Tabelle listet alle möglichen Kommunikations-Ports(inkl. Standardwert) auf, die vom Space-Dienst, je nach Integrationstyp, verwendet werden können.

Konnektivitätsschema für Space

Konnektivitätsschema für den Space-Dienst - alle für die TCP/IP-Ports zur Verfügung gestellten Werte sind konfigurierbar.

Anschlüsse und Verbindungen vom und zum Space-Dienst

Einige wichtige Überlegungen zur Konnektivität:

• Stellen Sie sicher, dass die MS-Windows Firewall (oder andere ähnliche Programme wie Antiviren-Viren) den Space-Dienst nicht blockiert. Fügen Sie bei Bedarf Ausnahmen in der Windows-Firewall hinzu, um die Blockierung des Space-Dienstes zu vermeiden.
• Einige Firewalls sind so konfiguriert, dass sie TCP/IP-Verbindungen mit einer langen Inaktivitätsdauer automatisch beenden, was zu Kommunikationsproblemen innerhalb des Systems führt. Um Kommunikationsprobleme zu vermeiden, stellen Sie sicher, dass die vorhandene Firewall TCP/IP-Verbindungen nicht automatisch beendet, wenn die Inaktivität kürzer als:
  • 5 Minuten für Websocket-Verbindungen.
  • 105 Sekunden für das Oracle Hospitality PMS (FIAS) Protokoll.

• Space enthält einen eigenen Webserver. Es ist kein externer Webserver (wie MS-IIS oder Tomcat) erforderlich.
• Unterstützung für HTTP-Proxy: Sie können Space so konfigurieren, dass die gesamte HTTP-Kommunikation (z. B. mit der Salto Cloud) an einen Proxyserver weitergeleitet wird.
• Verbindungen zur Salto Cloud (d. h. https://*.saltowebservices.com) werden nur dann benötigt, wenn Sie digitale Schlüssel über die JustIN Mobile App verwenden möchten.
• Wenn Sie Benachrichtigungen an Fremdsysteme verschicken möchten, sollten Sie die "Webhook"-Funktionalität anstelle des "Event-Streams" verwenden: Erstere ist standardisierter, flexibler und sicherer als Letzterer.

Zugriffsberechtigungen

Im Folgenden erfahren Sie, welche Berechtigungen Space benötigt, um arbeiten zu können:

1. Das Windows-Konto, unter dem der Space-Dienst ausgeführt wird(im Folgenden als Space-Konto bezeichnet), benötigt Vollzugriff auf die Space DB. Der einfachste Weg besteht darin, diesem Windows-Konto die Rolle DB-OWNER für die Space DB zuzuweisen.
2. Das Space-Konto benötigt Vollzugriff auf den Space-Installationsordner (standardmäßig C:\SALTO\ProAccess Space) und die darunter liegenden Ordner. Darüber hinaus muss jeder andere Arbeitsordner (bspw. zum Exportieren oder Importieren von Dateien) ebenfalls zugänglich sein.
3. Falls HTTPS verwendet werden soll, braucht das Space-Konto Zugriff auf das verwendete Zertifikat.

Die gute Nachricht ist, dass das Setup-Programm alle oben genannten Einstellungen standardmäßig für Sie vornimmt. Beachten Sie, dass Admin-Rechte erforderlich sind, um die Installation zu starten.

Bei einer Neuinstallation wird das standardmäßige Windows-Konto für die Ausführung des Space-Dienstes das integrierte Konto "Network Service" mit nur geringen Berechtigungen sein. Genauer gesagt, sein virtuelles Gegenstück:

NT SERVICE\ProAccessSpaceService

Wenn Sie ein Update der Software durchführen, wird das gegenwärtig verwendete Konto für den Space-Dienst nicht geändert.

Diese Standardkonfiguration und andere Einstellungen können jederzeit mit dem Servicekonfigurationstool "ProAccess Space Configurator" geändert werden. Beachten Sie jedoch, dass Sie dem Space-Dienst manuell Berechtigungen für alle oben genannten Ressourcen erteilen müssen, falls Sie das Windows-Konto des Space-Dienstes ändern. Das heißt, die Space-DB, die Space-Ordner und das HTTPS-Zertifikat.

Weitere Sicherheitsaspekte, die Sie beachten sollten, sind:

• Es wird empfohlen, ein passwortloses Konto zu verwenden, bspw. integrierte Konten, wie "Network Service". Andernfalls wird der Space-Dienst nach Ablauf des Passworts nicht mehr funktionieren.
• Um die gesicherte Version von HTTP zu verwenden(HTTPS), müssen Sie zunächst ein gültiges Zertifikat auswählen. Dieses wird im Space-Configurator ausgewählt und muss auf dem Server hinterlegt sein. Aus Sicherheitsgründen empfehlen wir dringend, HTTPS anstelle von HTTP zu verwenden. Beachten Sie, dass das ausgewählte Zertifikat auch auf den Client-Rechnern gültig sein muss, um: 1. die Warnmeldung "Nicht vertrauenswürdige Verbindung" im Browser zu vermeiden und 2. Browsern den Empfang von Echtzeit-Benachrichtigungen(wie Öffnungen von Türen) vom Server zu ermöglichen.
• Weitere Überlegungen, wenn Salto "Graphical Mapping" verwendet wird: Der Space-Dienst akzeptiert Verbindungen aus der GM-Software nur, wenn er unter vertrauenswürdigen Benutzersitzungen arbeitet. Im Fall einer Windows-Domänenumgebung sind vertrauenswürdige Benutzer Mitglieder derselben Windows-Domäne wie der des Space-Servers: Wenn der Benutzer vom Domänencontroller nicht als gültiges Mitglied angesehen wird, kann der Client (das heißt Graphical Mapping) keine Verbindung zum Dienst herstellen.

Wenn Sie keine Windows-Domänenumgebung, sondern eine Arbeitsgruppenumgebung haben, müssen Sie den entsprechenden Benutzer sowohl auf dem Space-Server als auch auf dem Client erstellen, um vertrauenswürdige Verbindungen zu haben.

Überlegungen zur Datenbank

Es darf genau eine Instanz der Space DB im Netzwerk vorhanden sein.

Aus Performancegründen wird dringend empfohlen, Space DB und -Dienst auf dem gleichen Server zu installieren. Andernfalls wirkt sich jede Latenz zwischen beiden Komponenten negativ auf alle Interaktionen mit Peripheriegeräten und Frontend-Sitzungen aus.

Der Space-Dienst kann mit zwei Arten von DB-Systemen zusammenarbeiten: MS-SQL Server oder MS-LocalDB. In den folgenden Abschnitten werden einige Überlegungen zu beiden DB-Typen erläutert.

LocalDB

LocalDB is eine abgespeckte Version von MS SQL Server, die eine schnelle und einfache Installation ohne Konfiguration ermöglicht. Sie eignet sich für kleine Installationen (in der Regel, wenn eine einzelne Maschine verwendet wird).

Eine Einschränkung in Bezug auf LocalDB ist, dass nur Verbindungen vom lokalen Rechner akzeptiert werden. Dies ist eigentlich kein Problem, da sich Browser der Client-Rechner nicht direkt mit der DB, sondern mit dem Space Service² verbinden.

MS SQL-Server

Folgende wichtige Punkte sollten Sie in Hinblick auf die MS-SQL-Server-Datenbank berücksichtigen:

• Wie bereits erwähnt, wird dringend empfohlen, die Space-DB und die Software auf demselben Computer zu installieren.
• Stellen Sie sicher, dass das Space-Konto die DB_OWNER-Rolle auf die Space DB hat.
• Stellen Sie sicher, dass der Kompatibilitätsgrad der Space-Datenbank mindestens SQL2005 ist.
• Es wird empfohlen, die SSL-Verbindung in der MS-SQL Server-Instanz zu aktivieren, damit die Kommunikation zwischen der Datenbank und dem Space-Dienst verschlüsselt wird. Dies wird empfohlen, wenn sich die Datenbank nicht auf demselben Computer wie der Space-Dienst befindet. Siehe Anhang C für weitere Details.

Im Normalfall werden die ersten drei Einstellungen automatisch während der Einrichtung vorgenommen.

Bewährte Sicherheitspraktiken

Um ein sicheres System zu erhalten, sollten Sie die folgenden bewährten Maßnahmen befolgen:

1. Stellen Sie sicher, dass die Betriebssysteme auf Ihrem Server und den Clients immer auf dem aktuellsten Stand sind und über die aktuellsten Sicherheitspatches verfügen. Selbstverständlich sollten Sie keine veralteten Windows-Betriebssysteme verwenden, für die der Hersteller keinen Support mehr anbietet. Dasselbe gilt auch für den MS-SQL Server, der für die Datenspeicherung verwendet wird.
2. Verwenden Sie ein Windows-Konto mit niedrigen Berechtigungen, um den Space-Dienst auszuführen. Beispielsweise NT SERVICE oder besser NT SERVICE\ProAccessSpaceService (standardmäßig durch Setup konfiguriert).
3. Halten Sie die Space DB isoliert, indem Sie keinem anderen Benutzer die Zugriffsberechtigungen darauf erteilen. Nur Space-Dienst und Systemadministratoren sollten Zugriff auf die Space DB haben.
4. Aus Performance- und Sicherheitsgründen wird dringend empfohlen, Space DB und -Dienst auf demselben Server zu installieren.
5. Aktivieren Sie im MS-SQL Server SSL für die DB-Verbindungen. Dies ist wichtig, wenn sich DB-Instanz und Space-Dienst auf verschiedenen Maschinen befinden.
6. Verwenden Sie Secure HTTP (HTTPS) beim Verbinden von Client-Browsern mit dem Space-Webserver. Bitte beachten Sie, dass die Konfiguration von HTTPS nicht einfach ist und Unterstützung durch IT-Mitarbeiter erfordert.
   • Verwenden Sie ein von einer Zertifizierungsstelle (CA) signiertes Zertifikat. Selbstsignierte Zertifikate sollten nur für Testzwecke verwendet werden, niemals für Produktionsumgebungen.
   • HTTPS verwendet im Hintergrund SSL/TLS-Protokolle, um Privatsphäre und Datenintegrität zwischen zwei Parteien zu gewährleisten. Es gibt unterschiedliche SSL/TLS-Versionen, derzeit wird von der Space-Software allerdings ausschließlich Version 1.2 unterstützt. Siehe Anhang A für weitere Details.
   • Hinter den Kulissen stellen Cipher-Suites einen Satz von Algorithmen und Protokollen bereit, die für die Sicherung der Kommunikation zwischen Clients und Servern erforderlich sind. So werden sichere Netzwerkverbindungen über SSL/TLS ermöglicht. Es gibt zahlreiche Cipher-Suites. Derzeit werden die Folgenden von Space unterstützt:
     • TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
     • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
     • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
     • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
     • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
     • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
     • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
7. Wenn Sie Benachrichtigungen vom Space-Dienst erhalten müssen, sollten Sie die HTTPS-basierte Webhook-Funktionalität anstelle der "Event-Stream"-Funktionalität verwenden, da erstere standardisierter, flexibler und sicherer ist.
8. Wenn die Authentifizierung über Space verwendet wird, stellen Sie sicher, dass eine geeignete Passwortrichtlinie aktiviert ist (z. B. Passwörter mit Buchstaben, Zahlen und Symbolen). Sie können auch die LDAP-Authentifizierung für die Anmeldung bei der Space-Software in Betracht ziehen.
9. Um die Sicherheit der Anmeldung zu erhöhen, wird die Aktivierung der Zwei-Faktor-Authentifizierung empfohlen(2FA).³
10. Achten Sie auch darauf, die automatische Abmeldung zu verwenden. Dabei wird eine Anwender-Sitzung automatisch nach einer eingestellten Anzahl Sekunden Inaktivität beendet.
11. Sichern Sie die Space-Datenbank regelmäßig (bspw. täglich). Dies ist wichtig für die Notfallwiederherstellung, den Geschäftsbetrieb und die Informationssicherheit. Es wird dringend empfohlen, die Kopien an einem anderen Ort zu speichern.
12. Setzen Sie Space nicht direkt dem Internet aus. Wie Sie wissen, ist das Internet keine vollkommen sichere Umgebung und kann die Software potenziellen Sicherheitsrisiken aussetzen. Daher sollten Sie die Software innerhalb einer sicheren Netzwerkumgebung betreiben, um ihre Sicherheit und Zuverlässigkeit zu gewährleisten. Wenn Sie von außerhalb auf Space zugreifen müssen, sollten Sie stattdessen ein VPN nutzen.

Client-Rechner

Client-Rechner benötigen nur einen Web-Browser, um auf Space zugreifen zu können. Sie benötigen keine zusätzliche Software, außer Sie möchten Geräte mit USB-Verbindung verwenden. Die folgenden Unterabschnitte erläutern alle Überlegungen zu Client-Rechnern im Detail.

Die Space-Webapp

Webbrowser sind das Fenster, über das Sie mit der Salto Space-Software interagieren. Die Standard-URL für die Verbindung ist:

http://{{host_machine_name}}:8100

Wobei {{host_machine_name}} der Name des Servers ist, auf dem der Space-Dienst ausgeführt wird.

Folgende Anforderungen gelten für die Verwendung des Space-Frontends:

• Webbrowser: Jeder aktuelle Browser, der HTML5-kompatibel ist. Zum Beispiel: Chrome, Firefox, Edge, Safari, etc. Der Internet Explorer ist bedingt kompatibel, aber aufgrund seiner extrem geringen Leistung und Abkündigung nicht empfehlenswert. Kein Silverlight erforderlich.
• Hardware: 1GHz-(oder höher)-CPU und 4 GB RAM.
• Betriebssysteme: Wenn Ihr Client-Rechner USB-Geräte (z. B. PPD oder Encoder) verwalten soll, ist Windows erforderlich, da das Bridge-Programm (im nächsten Abschnitt erläutert) nur Windows-Computer (Windows 10, 11, Server 2016 oder höher) unterstützt. Wenn kein USB-Gerät angeschlossen werden soll, kann jedes beliebige Betriebssystem verwendet werden.

Hinweis: Das Adobe Flash Player Plugin für die Webcam-Nutzung wird nicht mehr unterstützt.

Eine letzte Überlegung, die wir bedenken sollten, ist, dass das Space Frontend für Desktop-Rechner konzipiert wurde. Obwohl es auf iOS- oder Android-Mobilgeräten funktioniert, ist die UX-Erfahrung mit solchen Geräten alles andere als optimal.

Die 'Brücke' zwischen dem Space-Dienst und den USB Geräten

Webbrowser legen aus Sicherheitsgründen mehrere Einschränkungen für Webanwendungen fest, wenn es um die Nutzung lokaler Systemressourcen, wie USB-Anschlüsse geht. Aus diesem Grund erhält die Space-Webapp keinen Zugriff auf USB-Ports und somit auch nicht auf die Salto USB-Geräte die daran angeschlossen sind(bspw. PPDs oder Encoder).

Salto bietet eine Lösung für dieses Problem: die sogenannte "Local IO Bridge". Dies ist ein winziger Windows NT-Dienst, der nur auf den Client-Rechnern installiert werden muss, mit denen Salto USB-Geräte verbunden werden sollen.

Das "Local IO Bridge"-Programm kann über die Space-Webapp installiert werden (d. h. über den Browser). Sie finden dieses Programm auch im Installationsordner der Space, Unterordner ..\dist auf dem Server.

Die "Local IO Bridge" fungiert, wie der Name schon sagt, als "Kommunikationsbrücke" zwischen dem Space-Dienst und den USB-Geräten.

Dies wird zunächst durch Aufbauen einer TCP/IP-Verbindung zum Space-Dienst und anschließend durch Öffnen des USB-Ports erreicht, an den das Salto-Gerät angeschlossen ist. Sobald beide Endpunkte geöffnet sind, tut die "Local IO Bridge" nichts anderes, als Nachrichten von einem Endpunkt zum anderen weiterzuleiten. Das Endergebnis ist, dass USB Geräte vom Space-Dienst auf dem Server ferngesteuert werden.

Zusammenfassend die Hauptüberlegungen für das Programm "Local IO Bridge":

• Der Installer der "Local IO Bridge" kann aus der Space-Webapp (aus dem Webbrowser) heruntergeladen werden. Sie finden diese auch auf dem Server, im Installationsordner der Space, Unterordner ..\dist. Die Installation ist einfach und unkompliziert.
• Die "Local IO Bridge" erfordert .NET Framework 4.0 oder höher (wird bei der Installation automatisch installiert, falls es fehlt). Das Betriebssystem muss Windows 10, 11, Server 2016 oder höher sein.
• Der "Local IO Bridge" kann über die Befehlszeile im unbeaufsichtigten Modus installiert werden⁴. Dies hilft beim automatisierten Bereitstellen des Programms auf Client-Rechnern. Zu diesem Zweck müssen Sie die Schalter "quiet" und "installDir" verwenden, wie im folgenden Beispiel gezeigt:

C:\setup_saltolocaliobridge.exe -quiet -InstallDir= "C:\SALTO\ Local IO Bridge"

Wobei im Schalter "installDir" der gewünschte Installationsordner angegeben werden muss.

• Jedes Mal, wenn Kommunikation zwischen dem lokalen USB-Gerät und dem Space-Dienst auf dem Server erfolgen soll (bspw. beim Auslesen eines Mediums mittels Salto Encoder), wird eine TCP/IP-Verbindung vom Programm "Local IO Bridge" zum Server aufgebaut. Das Standard-TCP/IP-Zielport ist 8102, kann aber bei Bedarf auf einen anderen Wert konfiguriert werden. Siehe auch Ports und Verbindungen vom und zum Space-Dienst.
• Darüber hinaus öffnet das Programm "Local IO Bridge" zwei Listening-Ports, mit denen die Space-Webapp (die im Browser ausgeführt wird) verbunden ist. Dabei handelt es sich um zufällige Ports, zwischen 50.000 und 51.000.
• Stellen Sie sicher, dass der Dienst "Salto Local IO Bridge" läuft, bevor Sie mit Salto USB-Geräten arbeiten. Die Space-Webapp zeigt Ihnen eine Warnung an, wenn sie feststellt, dass die "Local IO Bridge" nicht verfügbar ist.

Ports und Verbindungen von und zur "Local IO Bridge"

Anhang A: Sicherheitsprotokolle und Verschlüsselungssuiten für HTTPS

HTTPS verwendet im Hintergrund SSL (Secure Socket Layer) oder seine neuere Version TLS (Transport Layer Security), um Privatsphäre und Datenintegrität zwischen zwei Parteien zu gewährleisten. Die Space-Software unterstützt SSL/TLS mithilfe einer Microsoft-Bibliothek namens Schannel.dll, die Teil der Windows-Plattform ist (einschließlich Windows 10, 11, Server 2012 R2, Server 2016 usw.).

Die Schannel-Bibliothek unterstützt mehrere Versionen von SSL/TLS7 (einschließlich SSL v2.0, SSL v3.0, TLS v1.0, TLS v1.1, TLS v1.2 und TLS 1.3) sowie verschiedene kryptografische Algorithmen.

Im Prinzip wählt die Schannel-Bibliothek automatisch das beste Protokoll und den besten kryptographischen Algorithmus, abhängig von den Fähigkeiten des Clients und Servers. Sie können jedoch Schannel.dll konfigurieren, um die Verwendung bestimmter Versionen des SSL/TLS-Protokolls und von Cipher-Suiten zu steuern. Diese Konfiguration erfolgt durch Festlegen bestimmter Schlüssel in der Windows-Registry, wie im folgenden Microsoft-Artikel erläutert:

• https://support.microsoft.com/en-us/help/245030/how-to-restrict-the-use-of-certain-cryptographic-algorithms-and-protocols-in-schannel.dll

Beachten Sie, dass diese Sicherheitskonfiguration maschinenweit gilt und nicht pro Anwendung konfiguriert werden kann. Dies bedeutet, dass sich Änderungen an der Schannel-Konfiguration auf alle Anwendungen auswirken, die diese Bibliothek verwenden.

Die direkte Bearbeitung der Registrierungsschlüssel ist nicht einfach. Eine komfortablere Möglichkeit zum Konfigurieren der Sicherheitsoptionen ist die Verwendung des Tools IISCrypto von "Nartac Software":

• https://www.nartac.com/Products/IISCrypto
• https://www.nartac.com/Products/IISCrypto/FAQ

IISCrypto ist ein kostenloses GUI-Tool (siehe Screenshots unten), mit dem Sie verschiedene Protokolle und Verschlüsselungssammlungen einfach aktivieren und deaktivieren können.

Anhang B: Bereitstellung der Zertifikate für HTTPS

Das Einrichten von HTTPS-Zertifikaten in LAN-Umgebungen ist keine einfache Aufgabe und sollte von geschultem IT-Personal durchgeführt werden. Dieser Abschnitt ist keineswegs ein ausführliches Handbuch zur Erstellung und Installation von Zertifikaten für den Space HTTPS-Endpunkt, sondern vielmehr ein vereinfachender Überblick. Das Bild unten zeigt die wichtigsten Schritte:

1. Erstellen Sie eine unternehmensinterne Zertifizierungsstelle (CA). Wenn Sie noch keine haben, erstellen Sie zunächst Ihre "Root"-CA (dies ist ein selbstsigniertes Zertifikat). Legen Sie die Werte für Felder wie Ablaufdatum, Schlüssel, Hashing-Algorithmus usw. fest.
2. Verteilen Sie die erstellte Unternehmens-CA an die Client-Computer. Das Zertifikat muss zum Speicher der vertrauenswürdigen Stammzertifizierungsstellen hinzugefügt werden.
3. Erstellen Sie das Space-Zertifikat und signieren Sie es mit der Unternehmens-CA. Das Feld, das innerhalb des Space Zertifikats am wichtigsten ist, ist der "Common Name". Dort geben Sie den Hostnamen des Space Servers an ("Server01" im Beispiel)
4. Installieren Sie das Space-Zertifikat auf dem Space-Server. Falls erforderlich, erteilen Sie dem Windows-Konto des Space-Dienstes Zugriffsberechtigungen auf das Zertifikat.
5. Konfigurieren Sie die Space-Software (mit dem Configurator-Tool), um das Space-Zertifikat zu verwenden.

Bereitstellung von Zertifikaten für HTTPS

Anhang C: Konfigurieren des MS-SQL-Servers zum Erzwingen verschlüsselter Verbindungen

Im Folgenden erfahren Sie, wie Sie erzwingen können das die Verbindung zwischen dem Server und den DB-Clients verschlüsselt erfolgen soll(siehe Screenshots weiter unten):

1. Öffnen Sie den SQL Server-Konfigurations-Manager und klappen Sie den Punkt SQL Server-Netzwerkkonfiguration aus. Klicken Sie mit rechts auf die gewünschten Protokolle für {{server_instance}} und öffnen Sie die Eigenschaften.
2. In den Eigenschaften der Protokolle für {{instance_name}} öffnen Sie den Reiter Zertifikat, wählen dort im gleichnamigen Feld das gewünschte Zertifikat aus und klicken anschließend auf OK.
3. Wechseln Sie in den Reiter Flags und ändern Sie dort die Einstellung Strikte Verschlüsselung erzwingen auf Ja. Klicken Sie anschließend auf OK, um den Dialog wieder zu schließen.
4. Starten Sie den SQL Server-Dienst neu

Weitere Details:

https://learn.microsoft.com/en-us/sql/database-engine/configure-windows/configure-sql-server-encryption?view=sql-server-ver15#to-configure-the-server-to-force-encrypted-connections

Fußnoten