Zero Trust als Methodik – durchgesetzt über hardwaregestützte Identitäten mit dem YubiKey
Wir arbeiten nach der Zero-Trust-Methodik. Sie ist eine Sicherheitsphilosophie nach dem Grundsatz never trust, always verify mit strikt minimalen Zugriffsrechten (Least Privilege). In unseren Abläufen setzen wir diese Methodik über hardwaregestützte Identitäten mit YubiKeys um. Identität, Authentifizierung und Autorisierung unserer Engineers sind an einen physischen, nicht extrahierbaren privaten Schlüssel gebunden, der für jeden Vorgang sowohl eine PIN als auch eine Berührung durch einen Menschen erfordert. So kann der Zugriff weder delegiert noch geteilt, per Phishing erbeutet oder unbemerkt von kompromittierten Rechnern genutzt werden.
In Kombination mit Keycloak, Teleport und Netbird können wir mit YubiKeys echte Zero-Trust-Prinzipien über Server, Cluster und interne Dienste hinweg durchsetzen. Jede Aktion wird ausdrücklich verifiziert, einer Person zugeordnet, protokolliert und auf den minimal nötigen Umfang beschränkt.
Wir bieten drei Wege für einen sicheren Zugriff auf Linux-Server und Kubernetes-Cluster.
Unabhängig von der gewählten Option empfehlen wir dringend, deren Netzwerkverbindungen nach dem Least-Privilege-Prinzip ausschließlich auf die von uns verwalteten Systeme zu beschränken.
Wir bieten zwei gehärtete SSH-Zugangsmethoden:
Eine kleine VM in Ihrem Netzwerk baut einen ausgehenden, reinen SSH-Tunnel zu unserer Infrastruktur auf. Jeder Zugriff über diesen Tunnel wird ausschließlich mit SSH-Schlüsseln authentifiziert, die auf YubiKeys gespeichert sind (Berührung erforderlich, mit 8-stelliger PIN).
Diese Variante baut keine ausgehende Verbindung auf. Stattdessen lauscht sie in Ihrem Netzwerk auf Port 22 und ist nur von unseren festen, dedizierten IP-Adressen in Dänemark, Deutschland und Finnland aus erreichbar, was für Redundanz sorgt.
Beide Bastion-Modelle können auf einer isolierten VM oder für Hochverfügbarkeit in Ihrem Kubernetes-Cluster laufen.
Als Alternative zu SSH-Bastions können wir Netbird einsetzen – ein Open-Source-VPN auf Basis des WireGuard-Protokolls.
Netbird ist direkt in Keycloak integriert und ermöglicht so zentrale Authentifizierung, MFA und fein abgestufte Zugriffsrichtlinien, ohne auf statische Zugangsdaten angewiesen zu sein.
Zugriffsrechte sind an Benutzeridentitäten gebunden, und alle Aktivitäten lassen sich über Netbird und Keycloak prüfen. Das sorgt für hohe Sicherheit und vollständige Transparenz.
Für den Kubernetes-Zugriff nutzen wir identitätsbasierte, hardwaregestützte Zugriffsmethoden und aktivieren die OIDC-Authentifizierung über Keycloak an der Kubernetes-API.
Für den Zugriff auf Linux-Server aktivieren wir die Authentifizierung mit SSH-Schlüsseln, die jeweils dem YubiKey einer Person zugeordnet sind.
Teleport bietet sicheren, zentralen Zugriff auf Kubernetes mit:
Der gesamte Teleport-Datenverkehr läuft über Gateways, die in Ihrer Umgebung bereitgestellt werden.
In der Regel erhalten wir Berechtigungen auf Cluster-Admin- oder Operator-Ebene, damit wir Probleme analysieren und beheben können, ohne Sie zu wecken. Die endgültigen Zugriffsebenen bestimmen jedoch weiterhin Sie.
Werden Passwörter oder andere Zugangsdaten benötigt, speichern wir sie in unserem privaten Repository. Es wird mit der Open-Source-Software passwordstore.org verwaltet und durch unsere YubiKey-Hardware-Tokens abgesichert:
Wo immer möglich, verzichten wir ganz auf Passwörter und setzen auf Keycloak oder hardwarebasierte Authentifizierung.
Ob über Teleport oder Netbird – Sie sehen jederzeit:
Die Logs lassen sich in Ihre Monitoring- und Logging-Systeme ebenso integrieren wie in unsere.