Sicherheit bei Onshape

Infrastruktur und Zertifikate

Onshape ist auf der Amazon Web Services (AWS) Elastic Compute Cloud (EC2) Infrastructure as a Service (IaaS) Cloudplatform aufgebaut. AWS und EC2 wurden als ideale Technologie identifiziert, um eine modernes und sicheres CAD System bereitzustellen. AWS stellt eine Infrastruktur der Spitzenklasse bereit, mit global verteilten, physikalisch abgesicherten Datenzentren mit redundanter Stromversorgung, Kühlung und Netzwerken. Weiterhin ist AWS nach mehreren internationalen Standards zertifiziert, darunter ISO 9001, ISO 27001, SOC-2 Typ II, FIPS 140-2 und NIST 800-53. Onshape selbst ist ebenfalls nach SOC-2 Typ II zertifiziert. Zusätzlich zu diesen Zertifikaten nutzt Onshape die AWS Virtual Private Cloud (VPC) Technologie, um den Netzverkehr der in den Service hinein, und aus ihm herausfließt zu isolieren und abzusichern. Die Regeln für die VPC Konfiguration werden im Quellcode definiert, einem Begutachtungsverfahren unterzogen und per Automation implementiert.

Dateifreies CAD System

Onshapes verteilte und hochverfügbare Datenbankarchitektur speichert alle Konstruktionsdaten in modernen NoSQL Datenbanken. Diese Datenbanken nutzen geographisch verteilte Server mit mehreren Kopien für eine hohe Verfügbarkeit. Alle drei Stunden wird ein Backup für die Disaster Recovery erstellt. Backups werden alle drei Wochen wiederhergestellt und jedes Modell wird automatisch auf seine Kompatibilität zu neuen Versionen von Onshape getestet. Dies validiert zeitgleich, dass neue Funktionen, die bei einem Update freigeschaltet werden, existierende Modelle nicht unbrauchbar machen.

Zugriff und Audit Trail

Der Zugang zu Onshape erfolgt über Standard Webbrowser wie z.B. Chrome, Firefox, Safari und bei iOS und Android Mobilgeräten über Apps (mit vollem Funktionsumfang). Performance und Aussehen sind unabhängig von den Betriebssystemen Windows, MacOS, Linux und Chrome OS.
Die CAD Daten verlassen zu keinem Zeitpunkt die sichere Cloud (ausgenommen der Besitzer der Daten hat ausdrücklich den Befehl zum Export erteilt.) Somit arbeitet jeder Projektteilnehmer zu jeden Zeitpunkt an der aktuellsten Version der Datei. Da mehrere Zugänge zu einer Datei gleichzeitig möglich sind, können mehrere, global verteilte Nutzer zeitgleich an derselben Datei arbeiten. Ort, Zeitpunkt und Gegenstand eines Datenzugriffs werden in einem permanenten Audit Trail aufgezeichnet.

Verschlüsselung

Jeder Zugriff von Kundenrechnern auf die Server von Onshape wird durch das TLSv1.2 Datenübertragungsprotokoll abgesichert. Dieses favorisiert starke kryptografische Verschlüsselungsverfahren, wie z.B. AES-GCM und lehnt schwächere ab. Zum Schutz vor Hackerangriffen werden Onshapes persistente Designdaten ebenfalls verschlüsselt. Alle Datenbanken sind mit verschlüsselten Dateisystemen konfiguriert, die eine 256-Bit-AES-Verschlüsselung im XTS-Blockverschlüsselungsmodus verwenden, wobei die Schlüssel vom AWS Key Management System (KMS) verwaltet werden. Das KMS nutzt Hardware-Sicherheitsmodule, um die Sicherheit der Kodierungsschlüssel zu bewahren. Die Server von Onshape werden vollautomatisiert bereitgestellt und konfiguriert und regelmäßig ersetzt, manchmal sogar mehrmals an einem Tag. Auf den Onshape Servern wird abgesehen von Onshape keine weitere Software betrieben, was die Wahrscheinlichkeit für ein Ausnutzen von Sicherheitslücken beim E-Mail-Verkehr oder Webbrowser auf 0 reduziert.

Zugriffsrechte

Onshape verwendet starke Authentifizierungssysteme zur Ermittlung der Benutzeridentität und bietet mit einem zeitbasierten Einmalkennwort (TOTP) zusätzlich die Möglichkeit zur Zwei-Faktor-Authentifizierung (2FA). Dadurch bleibt der Zugang zu den Benutzeraccounts weiterhin geschützt, auch wenn Benutzername und Passwort durch Dritte veröffentlicht wurden. Alle Passwörter werden durch die Schlüsselableitungsfunktion PBKDF2 abgeleitet, wobei das Passwort gesaltet und gehasht wird. Dies stellt sicher, dass nach einer Kompromittierung der Onshape Passwortdatenbank die gespeicherten Passwörter nicht ohne großen Rechenaufwand preisgegeben werden. Online Angriffe werden durch die Drosselung von ungültigen Login-Versuchen verhindert.
Innerhalb der Onshape Anwendung wird der Zugriff auf CAD Dokumente durch 7 granulare Rechte unterteilt (Lesen, Schreiben, Kopieren, Kommentieren, Verlinken, Löschen, Teilen). Dies ermöglicht den Besitzern von Dokumenten Sicherheitsaspekte und Anforderungen der Arbeitsabläufe auszubalancieren. Zugriffsrechte können jederzeit erteilt oder entzogen werden. Jeder Zugriff auf Daten und Änderung der Rechte kann in einem permanenten Audit Trail eingesehen werden.

Datenwiederherstellung

Onshape nutzt zur transparenten Kommunikation von Problemen mit dem bereitgestellten Service eine Status-Website. Absichtlich, oder unabsichtlich gelöschten Daten können durch die moderne Datenbankarchitektur wieder hergestellt werden. Systemabstürze oder Datenverluste durch Anwenderfehler, wie sie häufig bei konventionellen CAD-Programmen auftreten, werden fast vollständig vermieden.

Schutz von Kundendaten

Onshape nimmt den Schutz und die Vertraulichkeit von Kundendaten sehr ernst. Mitarbeiter von Onshape haben keine Möglichkeit auf Kundendaten zuzugreifen, außer die Daten wurden explizit mit dem Onshape Support geteilt. Hinzu kommt, dass für das Betriebspersonal die Serverumgebung nur per VPN erreichbar ist. Die dazu geforderte Authentifizierung beinhaltet ein Passwort, ein verschlüsseltes Schlüsselpaar bestehend aus öffentlichem und privatem Schlüssel, einen vereinbarten Schlüssel und die Zwei-Faktor-Authentifizierung.

Validierung durch Drittanbieter

Onshape ist mit dem Unternehmen Synack eine Partnerschaft eingegangen, in deren Zuge das hoch angesehene Unternehmen fortwährend Penetrationstests durchführt und Sicherheits-Management betreibt. Sicherheitsforscher aus der ganzen Welt setzen Werkzeuge nach neuestem Stand der Technik ein, um Schwachstellen in Onshapes CAD System und den umgebenden Systemen offenzulegen. Die Tests umfassen APIs, DNS Management und Hostrechner, welche über das Internet erreichbar sind. Um die Qualität der Testangriffe zu gewährleisten, werden die Forscher von Synack nach Anzahl und potenziellem Schadensausmaß der aufgedeckten Sicherheitslücken bezahlt. Synack kann bereits tausende von Stunden auflisten, die für Penetrationstests an Onshape aufgewendet wurden. Offengelegte Sicherheitslücken werden umgehend an das Onshape Sicherheitsteam gemeldet, die mit der Sichtung, Einteilung und Vermeidung möglicher Komplikationen beauftragt sind. Onshapes Bereitstellungsautomation ist in der Lage Updates und Sicherheitslücken zügig einzuspielen. In der Vergangenheit konnten Schwachstellen innerhalb weniger Stunden für alle Onshape Benutzer geschlossen werden.

Zusätzlich laufen auf allen Onshape Servern Software Agenten, womit ein Intrusion Detection System (IDS) betrieben wird. Dieses System überwacht jeden Systemaufruf an den Betriebssystemkern und stellt folgendes bereit:

• Datei-Integritätsüberwachung (FIM)
• Überwachung des Netzwerk Ein- und Ausgang
• Überwachung der Rechteausweitung
• Überwachung der AWS Konfigurationsänderung
• Echtzeitmeldung von Problemen des Ausmaßes Stufe 1 an das Onshape Sicherheitsteam

Viele dieser Begriffe mögen Ihnen an der Stelle unbekannt erscheinen. Sofern man kein Informatikstudium mit Schwerpunkt Cybersicherheit absolviert hat, ist das vollkommen normal. Um ein gleiches Level an Sicherheit bei einem mittelständischen Unternehmen mit lokal installiertem CAD zu etablieren, wäre ein enormer zeitlicher und personeller Aufwand gefordert. Da es sich bei Onshape um eine Software as a Service Lösung handelt, sind diese Funktionen in jedem Paket integriert. Onshape garantiert damit jedem Nutzer seines Systems gleichermaßen die höchsten Sicherheitsstandards.

Im Kern können durch die oben beschriebenen Maßnahmen die Risiken von Datenverlust oder -diebstahl drastisch reduziert werden. Neben all den Sicherheitsaspekten bietet das CAD aus der Cloud jedoch auch andere entscheidende Vorteile, darunter die Zusammenarbeit, Skalierbarkeit und die Wirtschaftlichkeit. In Kombination machen sie Onshape zu einem mächtigen Werkzeug für die Produktentwicklung.

Onshape wird in Deutschland von PTC-Partner INNEO Solutions vertrieben. INNEO Solutions steht seit über 35 Jahren für marktführende Lösungen in der Computer unterstützten Produktentwicklung CAD/PLM.