MyQ Roger Datensicherheit Whitepaper
Einführung
Der Zweck dieses Dokuments ist es, die Kunden von MyQ Roger über die Prozesse zu informieren, die die Herstellung von Verbindungen im System beinhalten und über die Sicherheitsmaßnahmen, die ergriffen werden, um die daraus resultierende Datenübertragung zu schützen. Das Dokument bietet auch einige zusätzliche Ressourcen mit mehr Informationen über die Sicherheit, die von Microsoft für die Azure Public Cloud Plattform eingerichtet wurde.
Allgemeine Informationen
Die Cloud-Sicherheit für MyQ Roger wurde unter Berücksichtigung aller relevanten Industriestandards und Best Practices entwickelt.
Es gibt drei Instanzen von Software, die das MyQ Roger Produkt ausmachen:
der MyQ Roger-Server, der in Microsoft Azure läuft (Rechenzentren in Irland und den USA)
der MyQ Roger embedded (EMB) Client, der auf dem MFP läuft
die MyQ Roger-Mobilanwendung, die auf dem Smartphone des Benutzers läuft
den MyQ Roger Client, der auf dem Computer des Benutzers läuft.
Alle diese Teile der Software stellen über Port 443 (https://) eine Verbindung zueinander her.
Der MyQ Roger Server benutzt die Hostnamen https://discovery.myq.cloud/regions, https://eu.roger.myq.cloud und amqps://eu.amqp.myq.cloud.
Verifizierung des Benutzers beim Server über den EMB-Client
Der EMB-Client ist eine MyQ-Anwendung, die auf der Hardware des Multifunktionsdruckers installiert ist und als Benutzerschnittstelle dient. Die Kommunikation zwischen dem cloudbasierten Roger-Server und dem EMB-Client wird hergestellt, um den gegebenen Benutzer mit dem MyQ-Roger-Server (Datenbank) zu verifizieren und zu authentifizieren und um den Bereich der Aktionen und Rechte zu bestätigen, die diesem Benutzer innerhalb des MyQ-Roger-Systems zur Verfügung stehen.
Der Benutzer initiiert die Benutzersitzung durch Scannen eines dynamischen QR-Codes auf dem Touchscreen des MFP mit der MyQ Roger-Mobilanwendung. Daraufhin wird eine sichere Verbindung zwischen dem EMB-Client und dem MyQ Roger-Server hergestellt. Das verwendete Sicherheitsprotokoll ist TLS 1.2 und alle relevanten Zertifikate werden für jede Benutzersitzung mit SSL-Labore die Gesamtbewertung von MyQ Roger ist A+ (entspricht der Sicherheit beim Internet-Banking).
Die Authentifizierung des Benutzers (und des EMB-Clients) erfolgt in zwei Schritten:
Der EMB-Client verifiziert sich mit dem Roger-Server in Übereinstimmung mit dem OAuth 2.0 Geräteautorisierung Erteilung. Der Server ist nun bereit, die in der Warteschlange stehenden Aufträge des Benutzers auf dem MFP-Gerät freizugeben.
Der EMB-Client führt eine Befehlsanforderung in Übereinstimmung mit dem Ressourceneigentümer Passwort Berechtigungsnachweis Erteilung. Der Benutzer kann nun neue Druckaufträge von seinem OneDrive oder lokalen Speicher übermitteln und Scanvorgänge am MFP durchführen.
Nachdem diese beiden Schritte durchgeführt wurden, erhält der EMB-Client das Recht, im Namen des authentifizierten Benutzers Funktionen aufzurufen, die diesem zur Verfügung stehen.
Authentifizierungs-Token
Wenn der Benutzer beim Roger-Server autorisiert ist, gibt der Server eine eindeutige Zugangstoken - eine Reihe von Bytes, die nicht geknackt werden kann. Während der Lebensdauer des Tokens, die etwa 20 Minuten beträgt, können die Nutzer auf die Funktionen von MyQ Roger zugreifen, ohne ihre Anmeldedaten jedes Mal neu eingeben zu müssen, wenn sie eine andere Aktion durchführen. Token bieten auch eine zweite Sicherheitsebene für die Verbindung.
MyQ Roger unterstützt auch Token auffrischen die eine längere Lebensdauer haben als Access-Tokens (3 Monate). Der MFP verwendet ein Refresh-Token mit einer gleitenden Verfallszeit von 3 Monaten. Wenn der MFP während dieser Zeit nicht benutzt wird, wird er vom Mieter getrennt und erlaubt den Benutzern keinen Zugang zu MyQ Roger, bis er wieder verbunden wird.
Zugang zu Daten und Datenspeicherung
Wenn die MyQ Roger-Anwendung mit dem OneDrive for Business des Benutzers verbunden wird, gewährt der Benutzer MyQ Roger das Recht, die Ordner "Drucken" und "Scannen" zu durchsuchen und zu speichern (sie werden von MyQ Roger erstellt, wenn sie vor der Verbindung nicht existieren). MyQ Roger wird jedoch Zugriff auf das gesamte OneDrive des Benutzers verlangen, genau wie andere Anwendungen - dies ist auf eine Microsoft-Beschränkung zurückzuführen. Gedruckte oder gescannte Dokumente werden nicht über den MyQ Roger Server übertragen, so dass der Server ihren Inhalt in keiner Weise verändert oder speichert. Der Server prüft nur die verfügbaren Scanprofile und Druckfunktionen des Benutzers. Der Austausch von Dokumentendaten erfolgt nur zwischen dem angeschlossenen Cloud-Dienst des Benutzers (OneDrive for Business ab April 2021) und dem MFP, der in der Regel über eigene Verschlüsselungstools verfügt, je nach den Präferenzen des Kunden.
MyQ speichert die folgenden Informationen über Druckaufträge:
E-Mail Adresse des Benutzers
Vollständiger Name oder Benutzername des Benutzers
PIN-Code/Passwort des Benutzers (gehasht)
Dateiname des gedruckten Dokuments
MyQ speichert die folgenden Informationen über Scanaufträge:
Zeitstempel des Scans
Die Speicherung von Daten unterliegt den geltenden Gesetzen und Vorschriften (z. B. GDPR).
Microsoft Azure Public Cloud Ressourcen zur Datensicherheit
Die im OneDrive for Business des Nutzers enthaltenen Daten fallen unter den Schutz von Microsoft als Anbieter des Cloud-Dienstes Azure. Das Whitepaper von Microsoft zur Cloud-Sicherheit vom 31.03.2021 finden Sie hier: "Aktivieren von Datenresidenz und Datenschutz in Microsoft Azure-Regionen"und deckt (neben anderen) die folgenden Themen ab
Wie Microsoft Kundendaten vor unbefugtem Zugriff schützt und wie Microsoft mit behördlichen Anfragen und anderen Anordnungen Dritter umgeht und ihnen widerspricht
Die strengen Richtlinien und Praktiken, die Microsoft für die Aufbewahrung und Löschung von Kundendaten anwendet
Wie Microsoft durch die Einhaltung von Datenschutzbestimmungen und -standards den Schutz der Kundendaten unterstützt
Weitere Anweisungen zum Schutz der Geschäftsumgebung des Kunden in Microsoft Azure finden Sie in der Azure Security Center.