App-Installation

App-Installation

Der STP.Documents.OnPremise Mobile DESK ist eine Progressive Web App (PWA) und funktioniert daher in jedem modernen Browser. Eine Installation aus einem App Store ist nicht erforderlich.

Um die App auf das eigene Smartphone zu bekommen, können Nutzer entweder den QR-Code scannen, der auf der Infoseite nach erfolgreicher Installation des Agents angezeigt wird – dieser kann vom Kanzlei-Admin per E-Mail verschickt werden – oder sie rufen im Browser https://…stp-cloud.de/documents auf. Die App kann dann entweder weiterhin im Browser genutzt oder auf dem Startbildschirm abgelegt werden. Das Anheften auf den Startbildschirm ist typisch für PWAs. Die App erhält dann ein eigenes Icon und kann wie jede andere App angeordnet werden.

Benutzeranmeldung

Nach dem Öffnen der App muss sich der Nutzer zunächst anmelden. Dazu gibt er seinen Benutzernamen und sein Passwort ein, um zu bestätigen, dass er berechtigt ist, die App zu nutzen und eine Verbindung zum On-Premise-System seines Mandanten herzustellen. Es wird empfohlen, „Login-Daten merken“ zu aktivieren, damit die Anmeldung länger bestehen bleibt.

Beim Login prüft das System außerdem, ob der sich anmeldende Nutzer mit einem On-Premise-Benutzerkonto im On-Premise STP UserManagement verknüpft ist. Diese Verknüpfung ist wichtig, damit Anfragen an STP.Documents.OnPremise im Namen des richtigen Nutzers erfolgen. Es können nur Daten abgerufen werden, auf die der Nutzer in STP.Documents.OnPremise auch tatsächlich Zugriff hat.
Existiert diese Verknüpfung nicht, informiert die App den Nutzer darüber, dass er in der On-Premise-Umgebung nicht bekannt ist. Der Nutzer kann dann in die CloudAccess-Gruppe im On-Premise STP UserManagement aufgenommen werden, wodurch die Verknüpfung hergestellt wird. Ob die Verknüpfung besteht, kann auch im Profil des Cloud-Nutzers durch Doppelklick auf die E-Mail-Adresse geprüft werden.

Geräteregistrierung

Nach erfolgreicher Benutzeranmeldung erfolgt die Registrierung des Geräts. Der geheime Schlüssel wird verwendet, um eine Ende-zu-Ende-verschlüsselte Verbindung mit dem Agenten in der On-Premise-Umgebung herzustellen.

Beim ersten Start erkennt die App automatisch, dass noch kein Gerät eingerichtet ist, und wechselt in den Einrichtungsmodus. Standardmäßig können bis zu fünf Geräte pro Nutzer registriert werden. Es ist wichtig, den Fingerabdruck des öffentlichen Schlüssels des Agenten, wie er in der App angezeigt wird, mit dem Fingerabdruck auf der Infoseite des Agenten oder in der E-Mail des Admins zu vergleichen. So wird sichergestellt, dass die Ende-zu-Ende-verschlüsselte Verbindung mit dem richtigen Endpunkt aufgebaut wird (Trust On First Use).
Anschließend werden ein geheimer Schlüssel und ein öffentlicher Schlüssel zufällig generiert. Der öffentliche Schlüssel wird an den Agenten gesendet, sodass eine sichere Verbindung zwischen App und Agent mittels kryptografischer Verfahren aufgebaut werden kann. Der geheime Schlüssel darf nicht veröffentlicht und muss sicher aufbewahrt werden. Die Sicherheit der App hängt direkt von der Sicherheit dieses geheimen Schlüssels ab.

Schlüsselverwaltung

Für eine Webanwendung ist es grundsätzlich schwierig, einen geheimen Schlüssel vertraulich zu halten. Der STP.Documents.OnPremise Mobile DESK unterstützt dafür drei verschiedene Mechanismen. Diese bieten unterschiedliche Grade an Sicherheit und Komfort. Je nach Risiko und Sicherheitsniveau der Kanzlei kann eine sicherere oder bequemere Einstellung gewählt werden.

Passwortmanager

Die empfohlene Methode, um den geheimen Schlüssel vertraulich zu halten, ist die Nutzung des Passwortmanagers des Geräts. Alle Browser unterstützen dieses Verfahren. Passwortmanager sind darauf ausgelegt, Geheimnisse zu schützen, und eignen sich daher ideal zur Aufbewahrung des geheimen Schlüssels des STP.Documents.OnPremise Mobile DESK. Der geheime Schlüssel wird wie ein 214-stelliges Passwort behandelt.

Während der Registrierung wählt der Nutzer einen Gerätenamen. Der geheime Schlüssel wird automatisch generiert und darf nicht verändert werden. Beim Klick auf den Button „Verbinden“ bietet der Passwortmanager des Geräts an, den geheimen Schlüssel sicher zu speichern. Der Nutzer bestätigt diese Aktion.

Falls der Passwortmanager nicht anbietet, den geheimen Schlüssel zu speichern, sollte geprüft werden, ob der Passwortmanager aktiv ist. Unter iOS kann nur der iOS-Schlüsselbund diesen Dialog anzeigen, daher muss dieser zur Verwaltung des geheimen Schlüssels verwendet werden.

Nachdem der geheime Schlüssel im Passwortmanager gespeichert wurde, fordert die App den Nutzer auf, diesen zu verwenden. Dazu klickt der Nutzer in das Feld für den Gerätenamen und wählt den geheimen Schlüssel aus dem Passwortmanager aus. So ist sichergestellt, dass der geheime Schlüssel korrekt gespeichert ist und für Logins verwendet werden kann. Die Registrierung ist damit abgeschlossen. Die Authentifizierung mit dem geheimen Schlüssel ist nun erfolgreich eingerichtet. Der Administrator muss jetzt das Gerät aktivieren, damit die App eine Verbindung herstellen kann.

Jedes Mal, wenn die App geöffnet wird, kann der geheime Schlüssel aus dem Passwortmanager in die App geladen werden, sodass eine sichere Verbindung aufgebaut werden kann.

STP.SecretService

Falls die App in einer Umgebung genutzt wird, in der die Verwendung installierter Passwortmanager schwierig ist, kann diese Alternative genutzt werden. Der geheime Schlüssel wird in einem von STP gehosteten Passwortmanager in der Cloud gespeichert, dem STP.SecretService. Da der geheime Schlüssel das Gerät nicht verlassen sollte, wird er zunächst mit einer PIN verschlüsselt und dann nur verschlüsselt im STP.SecretService abgelegt.

Um diese Alternative zu nutzen, kann während der Geräteregistrierung die gelbe Option gewählt werden. Nach Klick auf den Button „Verbinden“ erscheint statt des Passwortmanagers eine PIN-Eingabe. Der Nutzer kann eine PIN wählen, um den geheimen Schlüssel zu verschlüsseln. Der verschlüsselte geheime Schlüssel wird dann in der Cloud gespeichert und steht dem Nutzer zur sicheren Verwendung zur Verfügung. Im letzten Schritt der Registrierung erscheint der verschlüsselte geheime Schlüssel als Button über den Eingabefeldern.

Wenn der Nutzer auf diesen Button klickt, erscheint erneut die PIN-Eingabe. Nur mit der richtigen PIN kann der geheime Schlüssel entschlüsselt werden. In diesem Fall werden der geheime Schlüssel und der Gerätename wie beim Passwortmanager in die Eingabefelder übernommen. Der Nutzer kann dann die Registrierung abschließen. Falls der Passwortmanager des Geräts an dieser Stelle anbietet, den geheimen Schlüssel zu speichern, kann der Passwortmanager-Dialog abgebrochen werden, da der geheime Schlüssel bereits in der Cloud gespeichert ist. Der Administrator muss jetzt das Gerät aktivieren, damit die App eine Verbindung herstellen kann.

Jedes Mal, wenn die App geöffnet wird, kann der geheime Schlüssel über den Button oberhalb der Eingabefelder verwendet werden. Um den geheimen Schlüssel zu nutzen, muss die richtige PIN zur Entschlüsselung eingegeben werden.

Im Browser

Der geheime Schlüssel kann auch direkt im LocalStorage des Browsers gespeichert werden, sodass beim Starten der App keine weitere Auswahl im Passwortmanager oder PIN-Eingabe erforderlich ist.

Diese Alternative ist zwar am benutzerfreundlichsten, aber auch am wenigsten sicher. Der LocalStorage des Browsers wird zum Beispiel gelöscht, wenn Browser-Caches entfernt werden. In diesem Fall wäre der geheime Schlüssel verloren und das Gerät müsste erneut registriert werden. Außerdem kann auf den LocalStorage per JavaScript zugegriffen werden, sodass bei einem erfolgreichen Cross-Site-Scripting-(XSS)-Angriff der geheime Schlüssel ausgelesen werden könnte. Die App versucht, XSS-Angriffe zu verhindern, indem beispielsweise keine JavaScript-Direktiven verwendet werden, die für XSS anfällig sind. Ein absoluter Schutz kann jedoch nicht garantiert werden.

Um diese Alternative zu nutzen, kann während der Geräteregistrierung die rote Option gewählt werden. Nach Klick auf den Button „Verbinden“ erscheint lediglich eine Warnmeldung, die auf die Risiken dieser Einstellung hinweist. Der Nutzer kann dann die Registrierung abschließen. Der Administrator muss jetzt das Gerät aktivieren, damit die App eine Verbindung herstellen kann.

Jedes Mal, wenn die App geöffnet wird, wird der geheime Schlüssel automatisch aus dem Browser-Speicher in die App geladen, sodass keine weitere Eingabe erforderlich ist.