craft-notes

Gute Nachrichten: Die meissner.IT steht zum zweiten Mal in der Gold-Liste der Hall of Fame des BSI im Rahmen des E-Mail-Sicherheitsjahres.

Warum Gold?

Das BSI vergibt den Goldstatus an Unternehmen, die DNSSEC umsetzen. Das ist kein Selbstzweck: Ohne signierte Zonen gibt es kein DANE, und ohne DANE bleibt die Transportverschlüsselung zwischen Mailservern angreifbar. DNSSEC ist damit das Fundament für sicheren E-Mail-Transport nach TR-03108.

Unser Setup

Wie so oft setzen wir auf schlanke, gut verständliche Komponenten. Basis ist OpenBSD: sicher per Default, sauber dokumentiert, keine Überraschungen.

Die Management Übersicht, warum wir FreeBSD nutzen:

• Schlank (Mewburn rc vs. systemd)
• ZFS
• Klare Trennung System / Applikationen
• Patches direkt von Entwicklern (upstream), nicht von Betreuern (maintainer)
• Manuelle Aktualisierungen möglich, da weniger Pakete
• Diversifikation, vermeidet Monokultur

Etwas mehr Details:

Das Arbeiten mit FreeBSD und ZFS bereitet Freude. Man merkt bei der Benutzung, dass der Kernel und das Basissystem zusammen entwickelt werden; alles fühlt sich konsistent, zusammengehörig und sehr gut designt an.

Ich werde öfter gefragt, warum wir so gerne FreeBSD einsetzen. Manchmal erwische ich mich dabei, sehr ausschweifend und theoretisch zu antworten. Da dies nicht immer der verständlichste Weg ist, hier einmal ein Beispiel aus der Praxis.

Es sollte eine Single-Sign-On (SSO) Lösung für diverse Applikationen erstellt werden. Als Komponenten werden eingesetzt:

• Keycloak
• PostgreSQL für Keycloak
• OAuth2-Proxy für Anwendungen, die kein OAuth2 / OIDC unterstützen.
• Eine eigene Web-Anwendung, die eine Übersicht aller angebotenen Applikationen liefert (Spring Boot, Java).
• nginx als Reverse-Proxy

Fünf unterschiedliche Dienste. In unserem Setup wird jeder Dienst in einer Jail betrieben. Die Jails werden mit BastilleBSD betrieben, einem sehr leichtgwichtigen Jail Manager. Genutzt werden sogenannte Thin Jails: Sie nutzen ein gemeinsames Basissystem, sodass eine typische Installation nur den Speicherplatz für die installierten Pakete (keycloak, postgres etc.) verbraucht: