Zertifikate überwachen, ohne private Schlüssel zu verwahren

Sentinel akzeptiert keine eingehenden Verbindungen. Zur Registrierung verwendet Sentinel ein für die Organisation ausgestelltes Token. Es ist wiederverwendbar, damit sich eine ganze Agentenflotte anhand desselben Images selbst registrieren kann. Jede Sentinel-Instanz erzeugt anschließend lokal ein eigenes Ed25519-Schlüsselpaar und überträgt den privaten Schlüssel nie. Nach der Registrierung signiert sie Aufgabenabrufe, Berichte und Schlüsselrotationen mit Ed25519 gemäß RFC 9421; das Registrierungstoken dient dann nicht mehr zu ihrer Authentifizierung. Sie können das Organisationstoken jederzeit erneuern. Das bisherige Token wird sofort ungültig, ohne bereits registrierte Sentinel-Instanzen zu beeinträchtigen.

Beim Anlegen einer Organisation führt Nocert einmalig einen öffentlichen Scan der Domain hinter dem @-Zeichen in der geschäftlichen E-Mail-Adresse aus, die Sie mit dem Einmalcode bestätigen. Eine auf der Marketing-Website eingegebene Domain wird an die Registrierung übergeben und füllt dieses Feld für die geschäftliche E-Mail-Adresse vorab aus; sie wird nicht separat als Scanziel ausgewählt. Ein erster Durchlauf durch öffentliche Hostnamen-Datensätze liefert die Ausgangsziele. Der Scan kontaktiert anschließend nur Hosts innerhalb der bestätigten E-Mail-Domain, aus dem öffentlichen Internet und auf TLS-Ports, wie es jeder Beobachter tun könnte. Beobachtete Hosts werden danach erneut gescannt; SAN-Hostnamen innerhalb derselben Domain werden ebenfalls verfolgt. Für einen größeren Umfang ist ein Kontrollnachweis erforderlich: Erneute Abfragen von Subdomain-Datensätzen, Scans von über einen DNS-Connector importierten Hostnamen und manuell hinzugefügte Endpunkte warten darauf, dass Sie ein Verifizierungstoken als nocert-verify-TXT-Eintrag in einer von Ihnen kontrollierten Zone veröffentlichen. Dies kann nur jemand mit Kontrolle über diese Zone tun. Für die Anmeldung und das Zurücksetzen des Passworts werden per E-Mail versandte Einmalcodes verwendet, die nach 20 Minuten ablaufen. TOTP-Mehrfaktorauthentifizierung ist optional.

Nocert analysiert die DER-Daten des Zertifikats in kurzlebigen nsjail-Unterprozessen. Jeder Prozess verfügt über eigene Netzwerk-, Benutzer-, Mount- und PID-Namespaces. Das Erstellen von Sockets ist blockiert, /proc wird nicht eingehängt und CPU-, Speicher-, Prozess- sowie Dateiausgabelimits werden durchgesetzt. Bei einer selbst gehosteten Custom-Bereitstellung laufen die Anwendung und der Zertifikatsparser auf der von Ihnen kontrollierten Infrastruktur.

Nocert ermittelt die Organisation aus der authentifizierten Sitzung. Für jede Organisation verwendet es eigene Elasticsearch-Indizes und beschränkt PostgreSQL-Abfragen auf dieselbe Organisation.

Sie können Netzwerk-, Dateisystem-, Local-Listener- und Kubernetes-Scans unabhängig voneinander deaktivieren. Der paketierte Linux-Dienst läuft unter einem eigenen unprivilegierten Benutzer, ohne Linux-Capabilities und mit einer gehärteten systemd-Unit. Dateisystem-Scans sind auf die Berechtigungen des Sentinel-Dienstkontos begrenzt. Sie stellen die Anmeldedaten und RBAC-Berechtigungen mit Lesezugriff für Kubernetes-Scans bereit.