Ihre privaten Schlüssel bleiben bei Ihnen.
Die Verbindung geht von Ihrem Netzwerk aus.
Sentinel ruft Aufgaben bei Nocert ab und sendet seine Beobachtungen über HTTPS. Dafür ist keine eingehende Verbindung von Nocert in Ihr Netzwerk erforderlich.
Nocert über HTTPSIhr TLS-Datenverkehr führt nicht über Nocert.
Nocert liegt außerhalb Ihres TLS-Datenpfads. Ist Nocert nicht verfügbar, stellen Ihre Dienste weiterhin TLS bereit.
Nocert überwacht Zertifikate. Es stellt sie nicht aus, erneuert sie nicht, stellt sie nicht bereit und widerruft sie nicht.
Sie legen fest, was Sentinel scannt.
Nach der Registrierung per Token signiert Sentinel seine Anfragen mit Ed25519 (RFC 9421). Der Agent fragt Aufgaben bei Nocert ab und sendet Berichte über HTTPS. Netzwerk-, Dateisystem-, lokale Port- und Kubernetes-Scans lassen sich separat deaktivieren.
Wenn Nocert kompromittiert wird
Bei einer Kompromittierung von Nocert könnten Arbeitsbereichsdaten offengelegt und lokal erlaubte Scans ausgelöst werden. Sentinel bietet keine Remote-Shell.
Zugriff und Isolation
KontozugriffZwei-Faktor-Authentifizierung und Organisationsrollen.
Passwörter werden mit Argon2id gehasht; TOTP ermöglicht Zwei-Faktor-Authentifizierung. Die Rollen Eigentümer, Operator und Leser steuern den Zugriff. OIDC-SSO und Rollenzuordnung sind in Business und Custom verfügbar.
DatenschutzmechanismenIsolierte Analyse, Organisationsgrenzen, verschlüsselte Geheimnisse.
Zertifikate werden in kurzlebigen nsjail-Prozessen mit Ressourcenlimits und ohne Netzwerkzugriff analysiert. Datenabfragen sind auf die authentifizierte Organisation beschränkt. Connector-Zugangsdaten und Konfigurationsgeheimnisse werden mit AES-256-GCM verschlüsselt; der Schlüssel liegt außerhalb der Datenbank.
Welche Daten verlassen Ihr Netzwerk?
Zertifikate im DER-Format, Fingerprints und beobachtete Zertifikatsketten.
IP-Adressen, Ports, TLS-Einstellungen, Dateipfade und Kubernetes-Objektpfade, je nach aktivierten Scan-Modi. Dateiscans können auch auf zu weit gefasste Berechtigungen privater Schlüssel hinweisen, ohne die Schlüssel zu übertragen.
Bei der Registrierung überträgt der Agent seinen öffentlichen Signaturschlüssel und Rechner-Metadaten wie Hostname, Betriebssystem, IP-Adresse und Subnetze. Sein privater Signaturschlüssel und Kubernetes-Zugangsdaten bleiben lokal.
Nocert ist nicht ISO-27001-zertifiziert und hat keinen SOC-2-Bericht.
Prüfen Sie den Agenten, den Sie installieren.
Der Quellcode von Sentinel ist unter Apache 2.0 öffentlich verfügbar. Sie können ihn lesen, eine signierte Version herunterladen und Sentinel selbst kompilieren.
Wo die Daten liegen
Die Anwendungsdaten werden bei OVHcloud in Frankreich und Deutschland gehostet. Andere Anbieter übernehmen Scans, die Auslieferung von Webinhalten und Benachrichtigungen.
- OVHcloudAnwendungsdaten
- Frankreich und Deutschland
- ScalewayScan- und Benachrichtigungsrelays
- EU · Vorübergehende Verarbeitung
- CloudflareWebschutz und Auslieferung
- Globales Netzwerk · US-Hauptsitz
Netzwerk-, Zahlungs- und E-Mail-Anbieter können Daten gemäß DPA außerhalb des EWR verarbeiten. Zahlungsanbieter erhalten keine Zertifikatsscandaten; Benachrichtigungs-E-Mails können Zertifikats- und Hostname-Details enthalten.
Self-Hosting ist mit Custom verfügbar.
Schwachstelle melden
Haben Sie ein Sicherheitsproblem entdeckt? Nutzen Sie unsere Kontaktseite oder die Meldewege in security.txt.