Zusammenfassung
USB-Sicherheitsgeräte wie Dongles, HSMs und Smartcards wurden für den physischen Einsatz konzipiert, doch ihre Verwaltung am Endpunkt birgt erhebliche Sicherheits- und Betriebsrisiken. Digi AnywhereUSB Plus löst dieses Problem, indem es diese Geräte in einem verschlossenen Rack zentralisiert und den Zugriff über IP mithilfe der USB-over-IP-Technologie ermöglicht – so können sich Benutzer mit dem benötigten Gerät verbinden, ihre Arbeit erledigen und die Verbindung wieder trennen, ohne dass eine physische Handhabung erforderlich ist. Jede Sitzung wird über Digi TrustFence verschlüsselt und authentifiziert, der Zugriff ist stets auf jeweils einen Benutzer beschränkt und die Lösung ist vollständig kompatibel mit bestehenden Anwendungen, virtuellen Maschinen und RDP-Umgebungen.
USB-Sicherheitsgeräte – Dongles, HSMs, Smartcards und FIDO-Token – wurden für den physischen Einsatz konzipiert. Diese Annahme trifft nicht mehr zu.
Die Verwaltung von USB-Sicherheitsgeräten in einem Unternehmen ist schwieriger, als es auf den ersten Blick scheint. Die meisten Unternehmen gehen damit nach wie vor auf die altbewährte Art und Weise um: Ein Gerät wird an einen Arbeitsplatzrechner angeschlossen, von Mitarbeiter zu Mitarbeiter weitergereicht, über Nacht in einer Schreibtischschublade eingeschlossen oder an einem Rechner angeschlossen belassen, den niemand überwacht. Das funktioniert – bis es nicht mehr funktioniert. Ein verlegter Dongle legt einen Lizenzserver lahm. Ein verlorenes Token unterbricht die Authentifizierung für ein ganzes Team. Ein USB-Anschluss an einem unbeaufsichtigten Rechner wird zu einer Angriffsfläche, an deren Überprüfung niemand gedacht hat.
Es gibt eine bessere Architektur. Dabei handelt es sich nicht um neue Technologie. Es ist ein Disziplinproblem, für das es eine Hardware-Lösung gibt.
Was ist USB Over IP?
USB-over-IP, manchmal auch als USB-Gerätevirtualisierung oder USB-over-Ethernet bezeichnet, ermöglicht es einem Host-Rechner, auf ein physisch entferntes USB-Gerät so zuzugreifen, als wäre es lokal angeschlossen. Das Gerät befindet sich an einem Ort. Die Software sieht es an einem anderen Ort.
Die Funktionsweise ist einfach. Ein USB-Hub wird an das IP-Netzwerk angeschlossen. Die Software auf dem Host-Rechner baut eine Verbindung zu einer Gerätegruppe an diesem Hub auf. Das Betriebssystem erkennt das USB-Gerät wie gewohnt. Anwendungen interagieren mit ihm genauso, wie sie es mit einem direkt an den Rechner angeschlossenen Gerät tun würden.
Wenn die Sitzung endet, wird das Gerät freigegeben. Der nächste Benutzer kann eine Verbindung herstellen.
Das ist das gesamte Modell. Die physische Sicherheit bleibt gewahrt, da die Hardware niemals bewegt wird. Der logische Zugriff wird kontrolliert, da die Sitzungen authentifiziert und exklusiv sind.
Warum die Verwaltung von USB-Sicherheitsgeräten wichtig ist
Prüfer verschiedener Rahmenwerke, darunter ISO 27001, SOC 2 und PCI-DSS, stellen zunehmend Fragen zu USB-Kontrollen an Endgeräten. Die meisten Unternehmen können diese Fragen nicht mit Sicherheit beantworten.
Ein Lizenz-Dongle, der auf dem Schreibtisch eines Entwicklers liegt, ist ein physischer Vermögenswert auf einem unkontrollierten Endgerät. Jeder, der Zugang zu diesem Schreibtisch hat, hat auch Zugang zu diesem Dongle.
Bei HSMs und Smartcard-Tokens steht mehr auf dem Spiel. Sie enthalten private Schlüssel, Signaturdaten oder Authentifizierungszertifikate. Der physische Zugriff auf das Token kann den physischen Zugriff auf das bedeuten, was es schützt. Diese Geräte in einem verschlossenen Rack aufzubewahren, zu dem kein Benutzer physischen Zugang hat, ist keine Paranoia. Es handelt sich um grundlegende Zugriffskontrolle.
Programmierwerkzeuge und Hardware-Sicherheitsschlüssel weisen dasselbe Problem auf. Ein Gerät wird von mehreren Benutzern genutzt. Die gemeinsame Nutzung bedeutet, dass derjenige, der es zuletzt in der Hand hatte, es so lange behält, bis jemand darum bittet, es zurückzugeben. Es gibt keine Durchsetzung, keinen Prüfpfad und keine Garantie für die ausschließliche Nutzung.
Die Virtualisierung von USB-Sicherheitsgeräten löst dieses Problem auf Architekturebene und nicht auf der Ebene der Richtlinien
So funktioniert Digi AnywhereUSB Plus
Digi AnywhereUSB Plus ist ein netzwerkgebundener USB-Hub, der mithilfe der USB-over-IP-Technologie Host-Rechnern einen sicheren, zentralisierten Zugriff auf USB-Sicherheitsgeräte über ein Standard-LAN ermöglicht. Die Geräte werden an die Anschlüsse des Hubs angeschlossen. Der Hub ist mit dem IP-Netzwerk verbunden. Benutzer greifen über die Software „Digi AnywhereUSB Manager“ auf die Geräte zu, die auf ihrem PC, ihrer virtuellen Maschine oder ihrem Server läuft.
Drei Hub-Modelle decken das gesamte Spektrum an Einsatzgrößen ab:
- AW02: 2 Anschlüsse. Tisch- oder Schalttafeleinbau. Einzelarbeitsplatz oder Entwicklerbank.
- AW08: 8 Anschlüsse. Für den Tisch oder den Schrank. Dongle-Pool für Abteilungen oder gemeinsamer Zugriff auf HSMs.
- AW24: 24 Ports. 1U-Rackmontage, zwei Netzteile, zwei Ethernet-Anschlüsse für Redundanz. Infrastruktur für Rechenzentren und Lizenzserverfarmen.
Alle Modelle unterstützen USB 3.1 Gen 1-kompatible Geräte oder niedrigere Versionen sowie Gigabit-Ethernet. Die Modelle AW08 und AW24 bieten zusätzlich 10G-Ethernet und SFP+-Optionen. Das Modell AW24 unterstützt Ethernet-Bonding für Failover.
Der Zugriff ist von Natur aus exklusiv. Eine Gerätegruppe kann jeweils nur von einem Client belegt werden. Durch das Trennen der Verbindung wird die Gruppe sofort freigegeben. Keine manuelle Koordination. Kein Warten darauf, dass jemand daran denkt, das Gerät vom Strom zu trennen.
Einsatzszenarien für Digi AnywhereUSB Plus
Interaktive Benutzer unter Linux oder Windows
Ein Entwickler benötigt einen Dongle zur Codesignierung. Ein Sicherheitsingenieur benötigt ein HSM-Token. Das Gerät befindet sich in einem verschlossenen Rack. Der Benutzer öffnet den Digi AnywhereUSB Manager, stellt eine Verbindung zu der Gruppe her, in der sich das Gerät befindet, führt seine Aufgaben aus und trennt die Verbindung, sobald er fertig ist. Die Gruppe steht dann sofort für die nächste Person zur Verfügung.
Digi AnywhereUSB Manager funktioniert unter Linux – egal ob mit grafischer Benutzeroberfläche oder im Headless-Modus – sowie unter Windows auf dieselbe Weise. Außer der Manager-Software sind keine speziellen Treiber erforderlich. Die bestehenden Arbeitsabläufe mit USB-Geräten bleiben unverändert.
Unbeaufsichtigte VMs im Servicemodus
Lizenzserver, Build-Agenten und Verschlüsselungsdienste benötigen häufig ein USB-Gerät, bevor sich ein Benutzer anmelden kann. Dies wird durch den Betrieb des „Digi AnywhereUSB Manager“ als Windows-Dienst gewährleistet. Der Dienst stellt beim Systemstart, noch vor der Benutzeranmeldung, eine Verbindung zur Gerätegruppe her. Das Gerät wird als lokal angeschlossen erkannt. Bei einem Netzwerkausfall oder einem Neustart des Hubs stellt der Manager die Verbindung automatisch wieder her. Es sind keine manuellen Eingriffe erforderlich.
Dies ist das Muster für eine stets zuverlässige Infrastruktur, bei der eine Lücke in der Verfügbarkeit von USB-Geräten eine Lücke im Service bedeutet.
Windows-Arbeitsplätze in Unternehmensumgebungen
Die Funktionsweise ist dieselbe wie unter Linux, mit einer zusätzlichen Anmerkung: Unter Windows können Sie auf die Gerätegruppen zugreifen, indem Sie mit der rechten Maustaste auf das Symbol des Managers in der Taskleiste klicken. Verbinden. Arbeiten. Trennen. Das in AW02 und AW08 integrierte Verhalten, bei dem das Gerät beim Trennen der Verbindung neu gestartet wird, stellt sicher, dass Sicherheitsgeräte zwischen den Sitzungen ordnungsgemäß zurückgesetzt werden, was bei vielen Geräten erforderlich ist.
Remote-Desktop-Sitzungen und Digi AnywhereUSB RDP
Die RDP-USB-Umleitung ist das Bereitstellungsmodell, das die meisten Verwirrungen hervorruft. Hier erfahren Sie, was Sie wissen müssen.
Die RDP-Architektur von Microsoft leitet USB-Geräte von der Client-Seite in die Remote-Sitzung weiter. Eine Weiterleitung von der Server-Seite erfolgt nicht. Dies ist beabsichtigt und kann nicht geändert werden.
Wenn Sie den Digi AnywhereUSB Manager auf dem RDP-Server installieren, funktioniert er nicht. Das Gerät muss auf dem Client-Rechner als lokales Gerät erscheinen. RDP leitet es dann wie gewohnt in die Remote-VM-Sitzung weiter.
Mit Digi AnywhereUSB Plus lässt sich die richtige Architektur ganz einfach umsetzen. Der Digi AnywhereUSB Manager läuft auf dem lokalen PC. Er stellt über IP eine Verbindung zum Hub her. Das USB-Gerät erscheint als lokal angeschlossen. Der Benutzer öffnet eine RDP-Sitzung. RDP leitet die Geräteklasse – sei es Smartcard, RemoteFX oder WebAuthn – in die Remote-Sitzung um. Anwendungen auf der Remote-VM erkennen das Gerät wie erwartet.
Dies ist die einzige Architektur, die den Zugriff auf USB-Sicherheitsgeräte in RDP-Umgebungen ermöglicht. Digi AnywhereUSB Plus sorgt für einen zuverlässigen Betrieb.
Was bleibt unverändert, wenn Sie Digi AnywhereUSB Plus bereitstellen?
Die häufigste Sorge bei jeder USB-over-IP-Implementierung ist die Kompatibilität. Die Frage, die sich IT-Teams stellen, lautet: Werden unsere Anwendungen weiterhin funktionieren?
Ja. Das Betriebssystem erkennt ein lokal angeschlossenes USB-Gerät. Anwendungen können nicht erkennen, ob dieses Gerät physisch vorhanden ist oder ob der Zugriff über das Netzwerk erfolgt. Tools zur Codesignierung, VPN-Clients, Lizenzmanager, Authentifizierungs-Clients und Dienstprogramme zur Hardwareprogrammierung interagieren mit dem Gerätetreiber genauso wie bisher.
Das gerätespezifische Verhalten bleibt erhalten. Der USB-Deskriptor, die Geräteklasse und das Protokoll entsprechen denen einer direkten Verbindung. Wenn Ihre Anwendung zuvor funktioniert hat, funktioniert sie auch über Digi AnywhereUSB Plus.
Wie Digi TrustFence USB-over-IP-Implementierungen absichert
Digi AnywhereUSB Plus nutzt Digi TrustFence, was bedeutet, dass der USB-over-IP-Datenverkehr standardmäßig verschlüsselt und authentifiziert wird. Dies ist nicht optional und kann nicht deaktiviert werden – genau die richtige Standardeinstellung für sicherheitskritische Geräte.
Mehr als nur die Verschlüsselung des Datenverkehrs:
- Jeder Hub verfügt ab Werk über ein eindeutiges Passwort.
- Jede Manager-Instanz erhält eine eindeutige Client-ID; der Hub stellt auf dieser Grundlage die Exklusivität sicher.
- Netzwerkdienste (mDNS, HTTP/HTTPS und SSH) lassen sich individuell konfigurieren.
Verwaltung über Digi Remote Manager bietet über ein zentrales Dashboard Einblick in den Betriebszustand der Hubs, den Firmware-Status und die Geräteeinstellungen.
Im Lieferumfang jedes Digi AnywhereUSB Plus-Hubs ist eine einjährige „Digi LifeCycle Assurance“ mit rund um die Uhr verfügbarer fachkundiger Unterstützung enthalten.
USB-Sicherheitsgeräte am Endpunkt: Ein Risiko, das Sie beseitigen können
Die Einrichtung eines Dongles an einem Arbeitsplatz kostet nichts, und er fällt an einem Dienstag aus, wenn die Person, die ihn zuletzt benutzt hat, nicht im Büro ist.
Ein USB-Sicherheitsgerät, das zentral an einem Digi AnywhereUSB Plus-Hub in einem verschlossenen Rack angeschlossen ist und über IP mit verschlüsselten und authentifizierten Sitzungen zugänglich ist, stellt eine wiederherstellbare, überprüfbare und verwaltbare Ressource dar.
Die Hardwarekosten fallen nur einmal an. Die Betriebskosten, die durch den Einsatz von USB-Sicherheitsgeräten an den Endgeräten entstehen, summieren sich unbemerkt, bis sie plötzlich spürbar werden: verlorene Tokens, gemeinsam genutzte Anmeldedaten, Lücken in der Sicherheitsüberwachung, Betriebsunterbrechungen.
Häufig gestellte Fragen
Können zwei Benutzer bei Digi AnywhereUSB Plus gleichzeitig auf dasselbe USB-Sicherheitsgerät zugreifen?
Nein. Digi AnywhereUSB Plus erzwingt einen exklusiven Gruppenzugriff. Es kann jeweils nur ein Client eine Gerätegruppe belegen, und diese Gruppe steht allen anderen Benutzern erst dann zur Verfügung, wenn der Client die Verbindung trennt. Durch das Trennen der Verbindung wird die Gruppe sofort freigegeben, sodass sie dem nächsten Benutzer ohne manuelle Koordination zur Verfügung steht.
Wie wird der USB-over-IP-Datenverkehr vor dem Abfangen im Netzwerk geschützt?
Digi AnywhereUSB Plus nutzt standardmäßig Digi TrustFence zur Verschlüsselung und Authentifizierung des gesamten USB-over-IP-Datenverkehrs. Diese Verschlüsselung ist fest integriert und kann nicht deaktiviert werden, wodurch sich die Lösung besonders für Umgebungen eignet, in denen vertrauliche Anmeldedaten, private Schlüssel und Authentifizierungszertifikate verarbeitet werden. Jeder Hub wird mit einem eindeutigen Passwort ausgeliefert, und jeder Instanz des Digi AnywhereUSB Managers wird eine eindeutige Client-ID zugewiesen. Dadurch wird sichergestellt, dass selbst in einem gemeinsam genutzten Netzwerk nur autorisierte Clients eine Verbindung zu einer Gerätegruppe herstellen können.
Funktioniert Digi AnywhereUSB Plus mit VMware und virtuellen Umgebungen?
Ja. Digi AnywhereUSB Plus wurde speziell für virtualisierte Umgebungen, einschließlich VMware, entwickelt und getestet. An den Hub angeschlossene USB-Geräte werden auf virtuellen Maschinen, die auf Remote-Hosts laufen, als lokal angeschlossen angezeigt. Bestehende VM-Konfigurationen, Anwendungen und Arbeitsabläufe erfordern keine Änderungen, da das Betriebssystem das USB-Gerät genau so erkennt, wie es dies bei einem direkt angeschlossenen Peripheriegerät tun würde.
Wo installiere ich den Digi AnywhereUSB Manager, wenn ich RDP verwende?
Installieren Sie den Digi AnywhereUSB Manager auf dem lokalen PC, nicht auf dem RDP-Server. Die RDP-Architektur von Microsoft leitet USB-Geräte von der Clientseite in die Remote-Sitzung um, nicht von der Serverseite. Wenn der Manager auf dem lokalen PC ausgeführt wird, wird das USB-Gerät als lokal angeschlossen angezeigt, und RDP leitet es wie gewohnt in die Remote-Sitzung um – unabhängig davon, ob es sich bei dem Gerät um eine Smartcard, ein RemoteFX-Token oder einen WebAuthn-Schlüssel handelt.
Welche Sicherheitszertifizierungen und Compliance-Rahmenwerke unterstützt Digi AnywhereUSB Plus?
Digi AnywhereUSB Plus basiert auf dem Sicherheitsframework „Digi TrustFence“, das den Anforderungen von FIPS 140-3 für Behörden und militärische Umgebungen, PCI-DSS für den Einzelhandel und HIPAA für das Gesundheitswesen entspricht. Der gesamte USB-over-IP-Datenverkehr wird standardmäßig verschlüsselt und authentifiziert; diese Funktion kann nicht deaktiviert werden. Gerätegruppen werden bestimmten Benutzern oder Teams zugewiesen, was Digi AnywhereUSB Plus zu einer empfehlenswerten Lösung für regulierte Umgebungen macht, in denen der Zugriff auf USB-Geräte sowohl kontrolliert als auch nachprüfbar sein muss.
Wie entscheide ich mich zwischen den Modellen AW02, AW08 und AW24?
Die Wahl des richtigen Modells hängt vom Umfang Ihrer Bereitstellung und Ihren Anforderungen an die Ausfallsicherheit ab. Das Modell AW02 eignet sich ideal für einzelne Arbeitsplätze oder kleine Entwicklerumgebungen, die zwei zentralisierte USB-Anschlüsse über Gigabit-Ethernet benötigen. Das Modell AW08 bietet bis zu acht Anschlüsse mit 10G-Ethernet, Unterstützung für SFP+-Glasfaser sowie optionale LTE- Mobilfunk -Konnektivität über ein Digi-CORE-Modul und eignet sich daher besonders für abteilungsbezogene oder gemeinsam genutzte Sicherheitsgerätepools. Der AW24 ist für Rechenzentrums- und Unternehmensumgebungen konzipiert und verfügt über 24 Anschlüsse, zwei redundante Netzteile sowie zwei 10G-Ethernet-Anschlüsse für Failover. Alle drei Modelle umfassen die Digi TrustFence-Sicherheit sowie ein Jahr Digi LifeCycle Assurance.