Suchen

Der Makro-Editor ist ein visueller Knotengraph, der auf dem Server läuft. Ein Knoten „Systemereignis“ löst aus, wenn die Zustandsüberwachung ein passendes Ereignis meldet – etwa ein bald ablaufendes Zertifikat, hohe Festplatten- oder GPU-Auslastung oder einen schwachen Geräteakku – und gibt Ereignistext und Wert an seinen Ausgängen weiter. Mit einem Telegram-Send-Knoten verbunden, sendet er eine Nachricht über die Telegram-Bot-API. Der Graph wird mit „Validieren“ geprüft, lässt sich simulieren, und im Live-Betrieb zeigt der Editor die Werte, die durch jeden Knoten fließen.

Das Web-Adminpanel fragt beim Server den aktuellen TLS-Zustand ab und zeigt vier Karten: das verwendete Transportprotokoll (HTTPS mit TLS 1.2 oder 1.3), das Serverzertifikat und sein Ablaufdatum, Typ und Länge des Serverschlüssels sowie das für Browser geladene Zertifikat mit seinem SHA-256-Fingerabdruck. Dieselben Ablaufdaten speisen einen Hintergrundwächter, der Ereignisse für Server, Zertifizierungsstelle, Partnerserver und Kameras auslöst, bevor etwas abläuft – Alarme können so an Makros, E-Mail oder Telegram gehen.

Der Server kann eine Zertifizierungsstelle erzeugen oder eine bestehende importieren. CA-Zertifikat und privater Schlüssel werden auf dem Server gespeichert; die Schlüsseldatei ist nur für das Dienstkonto lesbar und optional passwortgeschützt, und nur signierte Zertifikate verlassen den Rechner. Der Reiter lädt außerdem das CA-Zertifikat herunter, sichert und stellt es wieder her, installiert es im Vertrauensspeicher des Systems, widerruft Zertifikate anhand der Seriennummer und erstellt eine Sperrliste (CRL). Auch ein RADIUS-Serverzertifikat für 802.1X lässt sich von derselben CA ausstellen.

Ein neues Schlüsselpaar wird erzeugt und von der gespeicherten CA ein Zertifikat für die angegebenen Namen-, DNS- und IP-Einträge signiert, mit gewählter Gültigkeit und gewähltem Schlüsseltyp. Das Ergebnis wird als PEM (Zertifikat, Schlüssel und CA) oder als PKCS#12-Paket angeboten. Mit der Server-Option wird das Zertifikat als eigenes Zertifikat des Servers installiert, die CA für den Desktop-Client als vertrauenswürdig hinterlegt, das alte selbstsignierte Zertifikat ausgemustert und der Dienst neu gestartet – Browser zeigen dann keine Warnungen mehr, sobald sie der CA vertrauen.

Sie listen Kameras von Hand auf oder importieren eine CSV-Datei mit Adresse, Hersteller, Zugangsdaten und Ports. Für jede Zeile stellt der Server ein Gerätezertifikat aus der Zertifizierungsstelle aus, überträgt Zertifikat und CA über die Web-API des jeweiligen Herstellers auf die Kamera und schaltet dann HTTPS ein. Es gibt auch Aktionen zum Deaktivieren und zum Testen von HTTPS. Der Server muss die Kameras im Netzwerk erreichen, und die Zugangsdaten werden nur für diesen Durchgang verwendet. Das Ergebnis: ein einziger Durchgang statt einer Anmeldung an jeder Kamera.

Für eine Kamera signiert der Server ein Gerätezertifikat, lädt es über die Hersteller-API hoch und kann die CA mitschicken, HTTPS aktivieren, unverschlüsseltes HTTP abschalten und die gesicherte Verbindung testen. Der zweite Abschnitt verbindet sich per SSH mit einem anderen PotoP-Host, kopiert Zertifikat, Schlüssel und CA-Datei in das Zielverzeichnis und kann einen Dienst neu starten. Beide Vorgänge laufen auf dem Server, der das Ziel daher erreichen können muss, und erfordern Administratorrechte.

Das Panel zeigt das aktuell für den Web-Client geladene Zertifikat mit Inhaber, Aussteller, Gültigkeit, Schlüsseltyp und -länge, Signaturalgorithmus und SHA-256-Fingerabdruck und kann es als PEM exportieren. Der Mobilbereich stellt das CA-Zertifikat zum Download oder als QR-Code bereit, den ein Telefon oder Tablet scannen kann – so vertraut das Gerät dem Server einmalig und warnt nicht mehr. Installationsanleitungen und Skripte gibt es für Linux, macOS und Windows.

Bevor das Passwort gesendet wird, kontaktiert die Anmeldeseite den gewählten Server über HTTPS und prüft das Zertifikat gegen den Vertrauensspeicher des Browsers. Ist die Kette gültig und passend, erscheint die grüne Meldung „Sichere Verbindung“, andernfalls sieht der Benutzer eine Warnung. Diese Prüfung übernimmt der TLS-Stack des Browsers selbst, sie kann also von der Seite nicht vorgetäuscht werden. Die Zugangsdaten werden anschließend über die verschlüsselte Verbindung an den verifizierten Server gesendet.

Der KI-Chat ist in den Web-Client und den Desktop-Client integriert. Die meisten Anfragen versteht eine regelbasierte Befehls-Engine auf dem Server – im Chat als „direkt“ gekennzeichnet –, die Formulierungen wie „Layouts auflisten“ denselben Funktionen zuordnet, die auch die Benutzeroberfläche aufruft. Das Hilfe-Panel listet Beispielformulierungen nach Thema auf. Aktionen, die etwas verändern, etwa das Anlegen einer Zertifizierungsstelle oder das Verteilen von Zertifikaten, stellen ihre Fragen Schritt für Schritt und ändern nichts, bevor Sie bestätigen. Umfangreiche Antworten landen auf dem Ergebnis-Board, damit das Gespräch übersichtlich bleibt.

Jedes Bauteil auf jeder Zeichnung kann ein Ablaufdatum für ein Zertifikat tragen, und diese Seite sammelt sie mit einer einzigen Abfrage unternehmensweit, sortiert nach verbleibenden Tagen. Ein Hintergrundjob prüft die Daten täglich und warnt sechs, drei, zwei und einen Monat sowie zwanzig, zehn und einen Tag vor dem Ablauf und noch einmal danach. Die Warnungen gehen per E-Mail, Telegram und innerhalb der Suite an die Personen, die Zeichnungen bearbeiten dürfen. Jede Warnstufe wird am Element selbst vermerkt, sodass ein Neustart oder ein zweiter Lauf sie nie wiederholt.