Lira RDP Security

PRODUKTDOKUMENTATION · PLATTFORM

Lira RDP Plattform-Updates

Eine datierte Chronik der Sicherheits-, Zuverlässigkeits- und Betriebsverbesserungen für das Lira-Portal und die Serviceplattform. Windows-Agent-Versionen werden separat dokumentiert.

Aktuelles Plattform-UpdateGeschlossene technische Vorschau auf Lira Agent 3 und Lira Access

Verlauf der Plattform-Updates

Sicherheit und ZuverlässigkeitAktuelles Plattform-Update

Geschlossene technische Vorschau auf Lira Agent 3 und Lira Access

  • Die neue Architektur von Agent 3 trennt Überwachung, Ereigniserfassung, Transport, lokalen Schutz, Updates und MFA. Der aktuelle Entwicklungsstand besteht 660 verwaltete Vertrags- und Sicherheitsprüfungen; dies ist ein technischer Nachweis und keine Aussage zur allgemeinen Verfügbarkeit.
  • Die Geräteidentität von Lira Access hat reale Abnahmetests unter einem Standardbenutzer auf Windows 10 und Windows 11 bestanden. Der private ECDSA-P-256-Schlüssel wird lokal in Windows CNG erzeugt, ist nicht exportierbar und auf SYSTEM sowie den besitzenden Windows-Benutzer beschränkt.
  • Auf den Organisationsbereich beschränkte Geräteeinladungen, Freigabe durch Administratoren, Widerruf und Identitätsrotation mit zwei Schlüsseln sind hinter einem deaktivierten Feature-Flag implementiert. Das Portal kann über diesen Kanal keine beliebigen Shell- oder PowerShell-Befehle auf einem Endgerät ausführen.
  • Lira Access bleibt eine geschlossene technische Vorschau ohne öffentliches Installationspaket. Ende-zu-Ende-Prüfungen von Client und Tunnel, öffentliche Codesignatur, ein Stabilitätslauf mit dem exakten Binärpaket und eine unabhängige Sicherheitsprüfung bleiben Freigabekriterien. Anfragen für einen Piloten sind unter [email protected] willkommen.
Sicherheit und Zuverlässigkeit

Technische Vorschau auf Lira Agent v3

  • Die Entwicklung einer neuen Windows-Agent-Architektur für Windows Server und Windows 10/11 hat begonnen. Überwachung, Ereigniserfassung, Transport, lokaler Schutz, Updates und MFA werden getrennt, damit eine blockierte Integration nicht unbemerkt den gesamten Agenten anhalten kann.
  • Der v3-Steuerkanal verwendet eine an die Registrierung gebundene Geräteidentität, strikte Nachrichtenverträge und eine wiedergabegeschützte Sequenzierung. Der lokale Schutz soll bei einem Ausfall der Steuerungsebene weiterarbeiten; das Portal kann keine beliebigen Shell-Befehle auf Endgeräten ausführen.
  • Das Portal erkennt bereits das v3-Protokoll und sperrt die MFA-Aktivierung, bis die signierte Bereitstellung und die Windows-Anmeldetestmatrix abgeschlossen sind. Agent v3 ist eine technische Vorschau, noch nicht allgemein verfügbar und durchläuft vor der Freigabe Labor-, Pilot- und eingeschränkte Produktionsphasen.
Sicherheit und Zuverlässigkeit

Sicherere Server- und Endpoint-Installation

  • Der Bereich „Geräte“ trennt nun Server, Endpoints und die gemeinsame Flottenansicht. Der Installationsdialog bietet eigene Server- und Endpoint-Pfade mit dem jeweils passenden MSI und PowerShell-Befehl.
  • Neue Installationen verwenden eine kurzlebige Install ID, statt Registrierungsgeheimnisse in der Befehlszeile des Windows-Dienstes abzulegen. Agentstatus und Updateverzeichnisse sind auf SYSTEM und Administratoren beschränkt; umfassende Defender-Ausnahmen werden nicht mehr erstellt.
  • Server- und Endpoint-Pakete besitzen getrennte Produktidentitäten und lehnen die falsche Windows-Geräteklasse ab. Lira Endpoint verwendet ein eingeschränktes Beobachtungsprofil; sein Lizenzverbrauch wird separat angezeigt.
  • Der grafische MSI-Assistent unterstützt Englisch, Ukrainisch, Russisch, Deutsch, Spanisch und Französisch. Der Übergang zur Verzeichnisauswahl wurde korrigiert, um Windows-Installer-Fehler 2819 zu vermeiden.
  • Signierte Bootstrap-Metadaten binden Kanal, Version, Paketgröße und SHA-256. Betriebswarnungen sind verständlich, fehlgeschlagene zentrale Firewall-Vorgänge werden automatisch wiederhergestellt und lokale Agent-Sperren erhalten eine definierte Laufzeit. Die öffentliche Agentversion bleibt 2.7.39.
Sicherheit und Zuverlässigkeit

Windows-Deinstallation und Zuverlässigkeit signierter Updates

  • Per Portal-Skript installierte Agents registrieren nun native Windows-Deinstallationsbefehle, die Dienst, Watchdog, Credential Provider/Filter und lokalen Registrierungsstatus entfernen.
  • Das RSA-PSS-Manifestprofil wurde für .NET-Kompatibilität korrigiert, vertrauenswürdige Update-Ursprünge bleiben eng zugelassen und konkurrierende Update-Pfade werden serialisiert.
  • Agent 2.7.39 ist das globale Ziel. 22 von 25 aktiven Agents wurden automatisch aktualisiert; drei bleiben nach sicherem Abbruch wegen fehlendem Signatur-Stammvertrauen online auf 2.7.34. Alle sechs Artefakte bestanden Authenticode; Backend-Regression: 552 bestanden, einer übersprungen.
Sicherheit und Zuverlässigkeit

Kompatibilitätskorrektur für die Agent-Ereigniserfassung

  • Während des gestuften Rollouts liefen Heartbeats weiter, obwohl ein Antwortvertragsfehler die Security-Ereigniserfassung unterbrach.
  • Die Backend-Korrektur stellte alle geprüften 2.7.33-Kollektoren aus ihren dauerhaften Checkpoints wieder her, ohne Windows-Protokolle zu löschen.
  • Agent 2.7.34 isoliert Update-Prüffehler von der Erfassung. 22 von 25 aktiven Agents laufen jetzt auf 2.7.34 und bestanden signierte Nur-Lese-Prüfungen. Das globale Ziel ist 2.7.34; drei bleiben bis zur unabhängigen Bereitstellung der Signatur-Stammzertifikate sicher auf 2.7.31. Vollständige Backend-Regression: 549 bestanden, ein Test übersprungen.
Sicherheit und Zuverlässigkeit

Sicherheitshärtung und stufenweise Agent-Bereitstellung

  • Agentenbefehle verwenden jetzt agentenspezifisch signierte Umschläge mit Ablaufzeit, lokaler Zulassungsliste und dauerhaftem Replay-Schutz; die gemeinsame Legacy-Token-Authentifizierung wurde entfernt.
  • Für MFA sind jetzt Fail-open- und Fail-closed-Ausfallverhalten ausdrücklich dokumentiert und über den Windows Credential Provider Filter durchgesetzt; die Prüfung der Anmeldedaten bleibt Aufgabe der Windows LSA.
  • Die signierte Update-Vertrauenskette, mandantenspezifische TOTP-Speicherung, Phishing-Einschränkungen, Prüfnachweise und verbleibenden Vertrauensgrenzen sind im öffentlichen Engineering-Bericht dokumentiert.
  • Agent 2.7.33 bestand kontrollierte Canary-Tests auf Windows Server 2016 und 2022. Das globale Ziel bleibt 2.7.31, bis die unabhängige Verteilung des Vertrauensankers und die verbleibende Live-Testmatrix abgeschlossen sind.
Sicherheit und Zuverlässigkeit

Zuverlässigkeit der Agentenverbindung

  • Das serverseitige Routing für den primären Live-Kanal der Agenten wurde für Installationen korrigiert, die auf die Polling-Ausweichverbindung gewechselt waren.
  • Vorhandene Agenten kehren über ihren regulären automatischen Wiederholungszyklus zum primären Kanal zurück; weder eine Neuinstallation noch eine neue Windows-Agent-Version ist erforderlich.
  • Die Polling-Ausweichverbindung bleibt bei einer Unterbrechung des Live-Kanals verfügbar, sodass sich Agentenstatus und Befehlsübermittlung ohne erneute manuelle Registrierung wiederherstellen können.
Sicherheit und Zuverlässigkeit

Korrekturen an der französischen Portal- und Dokumentationsfassung

  • Die französischen Pilotkennzahlen zeigen jetzt entweder die veröffentlichten Länderzeilen mit Datenschutzhinweis oder die Meldung über unzureichende Daten, niemals beides zugleich. Gesamtzahl und veröffentlichte Auswahl bleiben klar getrennt.
  • Die französische Datenschutzerklärung enthält nun den Abschnitt zur KI-Datenverarbeitung. Er erläutert den deterministischen Engineering-Assistenten, den optionalen Support-Assistenten und welche Betriebs- oder Geheimdaten nicht automatisch angefügt werden.
  • Die Prüfkennzeichnung auf der französischen Seite zur Sicherheitstechnik trennt Marke, Ergebnis, Prüfbereich und Datum semantisch. Zudem wurde die Formulierung zu Portal-Zugangsdaten im Leitfaden für den sicheren Einstieg korrigiert.
  • Abstände und Demo-Texte auf der Startseite, Produkt- und Leistungsbeschreibungen sowie die Anleitungen zu RDP MFA und Agent-Installation wurden abschließend professionell auf Französisch überarbeitet.
Sicherheit und Zuverlässigkeit

Deutsche Lokalisierung von Portal und Dokumentation

  • Das vollständige deutsche Portal einschließlich geschützter Ansichten, Validierungsmeldungen, Benachrichtigungen und Transaktions-E-Mails wurde redaktionell für den professionellen Infrastrukturbetrieb im DACH-Raum überarbeitet.
  • Anmeldung, Registrierung und Passwortwiederherstellung liefern den deutschen Inhalt jetzt bereits im initialen HTML aus. Die Sprachauswahl bleibt bei Authentifizierungs- und Rechtstext-Links erhalten.
  • Die Terminologie für Serverbestand, Agent-Registrierung, Agent-Statussignale, Zulassungslisten, Wiederherstellung, MFA, Windows Update, Microsoft Defender und RDP-Zertifikate ist nun in Portal, Anleitungen und Versionshinweisen einheitlich.
  • Die öffentlichen Pilotkennzahlen unterscheiden jetzt klar zwischen allen beobachteten Herkunftsländern und der kleineren, nach Anwendung des Datenschutz-Schwellenwerts veröffentlichten Auswahl.
Sicherheit und Zuverlässigkeit

Kontinuität von Abonnement und Zugriff

  • Das Portal warnt Administratoren jetzt fünf Tage vor dem Ende eines Abonnements und zeigt den anschließenden Wiederherstellungszeitraum eindeutig an.
  • Bestehende Installationen können sich nach dem Abonnementende zehn Tage lang erneut verbinden, sodass der Dienst nach der Zahlung ohne Neuinstallation wiederhergestellt werden kann.
  • Bei einer Aussetzung des Schutzes bleibt die gespeicherte MFA-Richtlinie erhalten und wird nach der Reaktivierung des Abonnements automatisch wiederhergestellt.
  • Agentenseiten unterscheiden jetzt zwischen aktivem Steuerkanal und Abfrage-Rückfall und verhindern eine unsichere Entfernung, solange die MFA-Erzwingung noch aktiv ist.
  • Die Installation von Windows-Updates wechselt jetzt sofort in den laufenden Zustand, ohne kurz einen Fehler aus einem früheren Versuch anzuzeigen.
Sicherheit und Zuverlässigkeit

Update zur Sitzungszuverlässigkeit im Portal

  • Portal-Tabs, die nach Ablauf der Sitzung geöffnet bleiben, wechseln bei der nächsten Aktion jetzt zur Anmeldung, statt Dashboard-Aktualisierungen unbegrenzt warten zu lassen. Melden Sie sich erneut an, um fortzufahren.
Sicherheit und Zuverlässigkeit

Sicherheits- und Zuverlässigkeitsupdate

  • Das Portal bietet autorisierten Administratoren jetzt geführte Unterstützung bei der Prüfung der Serverbereitschaft und der Wiederherstellung des Zugriffs.
  • Die Zuverlässigkeit der Registrierung wurde für Zeiträume mit mehreren gleichzeitigen neuen Besuchen verbessert.
  • Die browserseitigen Sicherheitskontrollen wurden verstärkt, um das Risiko der Ausführung nicht autorisierter Seiteninhalte zu verringern.