OSEEK

Der Sensor öffnet echte TLS-Verbindungen und liest daraus die Angaben des Zertifikats und der Kette. Der automatische Lauf nimmt Adressbereiche und Ports aus dem signierten Profil und arbeitet jede freigegebene Kombination nacheinander ab, ohne die gesamte Zielmenge im Speicher zu halten.

Ein Vorlauf über DNS und TCP prüft die Erreichbarkeit nur lesend, ohne Routen, Firewallregeln oder VPN zu ändern. Die Routenanalyse stuft freigegebene Bereiche nach Erreichbarkeit ein und schlägt vor, wo ein Sensor platziert werden sollte.

Bedient wird OSEEK über zwei Programme: den Sensor beim Kunden und die Steuerung beim Techniker. Eine lokale Weboberfläche mit neun Ansichten, deutsch und englisch, und eine lokale HTTP-Schnittstelle dienen der Auswertung; Inventar und Laufmetriken liegen als JSONL vor, beschrieben durch versionierte JSON-Schemata.

Auf genau einem freigegebenen Pfad ordnet OSEEK Dateien ein: PEM-Zertifikate, öffentliche und private Schlüssel sowie Container im Format PKCS#12 und JKS. Die Ausgabe enthält nur Pfad, Objektklasse und Anzahl, niemals den Inhalt eines Schlüssels.

Das Krypto-Inventar erfasst symmetrische und asymmetrische Metadaten mit Schutzstatus und korreliert Funde über den öffentlichen Schlüsselanteil, nicht über geheime Daten. Schlüssel werden nicht entnommen, geprüfte Dateien nicht verändert.

Ein OSEEK-Auftrag beginnt mit dem Umfang: welche Netze, welche Hosts, welcher Zeitraum. Daraus entsteht ein signiertes Build Profile und eine Execution Lease, die genau diesen Umfang freigeben. Unser Techniker führt den Sensor vor Ort oder gemeinsam mit Ihrem Team aus; der Sensor arbeitet einmalig, lesend und ohne Internetzugang.

Eine versionierte Bewertungslogik trennt klassische Altlasten von der Migration auf Post-Quanten-Verfahren. Sie prüft jeden Fund auf Anfälligkeit für den Shor-Algorithmus, auf die Schwächung durch Grover und auf Eignung als PQC-Kandidat.

Daraus folgt eine von fünf stabilen Migrationsphasen, von der sofortigen Behebung bis zur manuellen Prüfung. Das Befundvokabular ist fest: RSA unter 2048 Bit, EC unter 224 Bit, DSA und DES sowie Signaturen mit MD5 und SHA-1 gelten als Altlast.

Nach dem Lauf werten wir Inventar und Befunde gemeinsam aus. Wir priorisieren nach Migrationsphase, Schutzbedarf und Aufwand und leiten eine Roadmap ab: welche Altlasten sofort behoben werden, welche Systeme Post-Quanten-Verfahren bereits unterstützen und wo Hersteller oder Dienstleister liefern müssen. Die Roadmap ist Grundlage für Budget, Ausschreibungen und die Berichte an Leitung und Aufsicht.

Jeder Lauf schreibt ein Inventar als JSONL, in dem jeder Datensatz seine Herkunft aus Kunde, Auftrag und Lease wiederholt. Parallel entsteht ein Audit-Pfad, der nur angehängt wird und jeden Eintrag über SHA-256 mit seinem Vorgänger verkettet.

Signiert wird außerhalb des Programms: OSEEK erzeugt die Signierbytes, Ihr eigenes Hardware-Sicherheitsmodul signiert Profil und Lease mit Ed25519. Im ausgelieferten Programm liegt kein privater Schlüssel, nur die öffentlichen Vertrauensanker.

Vor jeder Verbindung bildet der Sensor den Hashwert seines eigenen Programms und prüft beide Umschläge, die Zeit, die Laufzeit sowie die Bindung an Artefakt und Profil. Verbindungen laufen nur zu vorab aufgelösten Adressen, die im signierten Umfang liegen; ein Adresswechsel nach der Auflösung fällt damit aus.