Airlock Gateway 8.5
Airlock Gateway 8.5 bringt zentrale Verbesserungen in den Bereichen Sicherheit, Automatisierung und Betrieb. Anomaly Shield wird durch IP Reputation gezielt geschäft, Post-Quantum-sichere Verfahren bieten Schutz vor zukünftigen Kryptorisiken, und erweiterte ACME-Services ermöglichen automatisierte Zertifikate auch in internen Umgebungen. Mit der neuen PXE-basierten Installation lassen sich Gateways neu vollständig unbeaufsichtigt ausrollen. Zudem wurden verschiedene Komponenten aktualisiert und Altlasten bereinigt.
Airlock Anomaly Shield – Erweiterung um IP Reputation
Mit der neuen Funktion IP Reputation fliesst die Historie einer IP-Adresse direkt in die Risikobewertung ein. IPs mit negativer Historie werden früher geprüft und strenger bewertet.
Dadurch werden False Positives bei bekannten, gutartigen IPs reduziert und die Erkennung tatsächlich verdächtiger Zugriffe wird beschleunigt.
Diese Funktion ist automatisch aktiv und erfordert keine Konfiguration.
Upgrade auf OpenSSL 3.5 – Modernste Kryptografie mit langfristiger Unterstützung
Airlock Gateway wurde auf OpenSSL 3.5 aktualisiert. Die neue LTS-Version erhält damit Support bis 2030. Das Upgrade bringt nicht nur neue Funktionen, sondern reduziert auch langfristige Risiken.
Wichtige Verbesserungen umfassen:
- Serverseitiges QUIC (Quick UDP Internet Connections) verbessert Performance für moderne Protokolle.
- Modernisierte Defaults, z. B. AES-256 statt veralteter 3DES
- PQC-fähige Algorithmen (Details im Abschnitt Post Quantum Cryptography)
Die HSM-Kompatibilität bleibt erhalten. Wir konnten nCipher und Luna mit OpenSSL 3.5 erfolgreich validieren.
Damit bleibt Ihre Gateway-Installation für die kommenden Jahre kryptografisch auf dem modernsten Standard.
Post Quantum Cryptography – Schutz vor «Harvest now, decrypt later»
Angreifer sammeln heute verschlüsselte Daten, um sie später mit Quantenrechnern zu entschlüsseln. Gateway 8.5 adressiert dieses als «Harvest now, decrypt later» bekannte Risiko mit wichtigen Neuerungen, die Ihre Systeme auch gegen zukünftige Quantenangriffe resistent machen:
- Secure by default: PQC-fähige KEM-Gruppen (Key Encapsulation Mechanisms) sind standardmässig aktiv.
- Hybride Key Exchanges: Klassische und Post-Quantum-Algorithmen werden kombiniert. Dadurch bleibt die Verbindung auch dann sicher, wenn ein einzelnes Verfahren künftig gebrochen werden sollte.
- Reporting: Sie sehen im Logging transparent, welche Clients bereits PQC-fähige Gruppen verwenden. TLS-Key-Exchange-Gruppen werden in TLS-SESS-START geloggt und stehen zusätzlich als ENV-Cookies und Rewrite-Variablen zur Verfügung.
- Performance: Die Einführung von PQC führt auf derselben Hardware zu keinen relevanten Performance-Einbussen.
- Breite Kompatibilität: Chromium-Browser wie Chrome und Edge unterstützen PQC bereits. Apple aktiviert die Verfahren automatisch mit iOS/macOS 26. Firefox bietet PQC via Konfigurationsschalter an.
Seit Gateway 8.2 (anfangs 2024) wurden diese PQC-Funktionalitäten gemeinsam mit Kunden und Partnern in PoCs erprobt. Die gewonnenen Erkenntnisse sind direkt in das Produkt eingeflossen.
Weiterführende Informationen finden Sie in unserem Blog-Artikel.
Add-on Tomcat – Modernisierung für aktuelle Java-Anwendungen
Mit Gateway 8.5 ist der Add-on Tomcat in der Version 11 verfügbar und unterstützt damit aktuelle Java-Versionen.
- Upgrade:
- Falls WAR-Dateien deployt sind, wird mit Gateway-Upgrade der Add-on Tomcat 9 aktualisiert.
- Sind keine WAR-Dateien deployed, wird der Add-on Tomecat im Rahmen des Upgrades deinstalliert.
- Manuelle Installation: Falls gewünscht, kann der Add-on Tomcat manuell via Konsole installiert werden.
- Tomcat 11: Die neue Tomcat-Version setzt Java 17 oder neuer voraus und erfordert die Aktualisierung Ihrer Java-Applikationen.
- Parallelbetrieb von Tomcat 9 und 11: Der Add-on Tomcat ist in den Versionen 9 und 11 verfügbar, damit ältere Java Applikation bis zum nächsten Release (Gateway 8.6) noch betrieben werden können.
- Airlock-Module: Der ICAP-SDK und der SOAP-Filter liegen in einer aktualisierten Version vor und können mit Tomcat 11 betrieben werden.
Mit Gateway 8.6 wird nur noch Tomcat 11 verfügbar sein. Dieser erfordert die Unterstützung von Java 17 oder neuer. Bitte aktualisieren sie ihre Apps oder deployen sie diese extern auf einem alten Tomcat.
ACME-Services – Weiterentwicklung für interne und nicht exponierte Domains
Mit Gateway 8.3 haben wir ACME eingeführt, um die Zertifikatsausstellung, -erneuerung und -verwaltung umfassend zu automatisieren. Gateway 8.5 führt diesen Ansatz konsequent weiter: Zusätzlich zur bisherigen TLS-ALPN-01-Challenge unterstützt das Gateway nun DNS-01. Mit der Erweiterung lassen sich Zertifikate jetzt auch für nicht öffentlich erreichbare Domains vollautomatisch beziehen.
- Automatisierte Zertifikate auch für interne Domains: DNS-01 ermöglicht ACME-gestützte Zertifikate für Systeme, die nicht öffentlich erreichbar sind, z.B. in internen Netzwerken.
- ACME-Services und DNS-Provider werden miteinander verknüpft, damit die notwendigen DNS-TXT Einträge erstellt werden.
- Volle Automatisierung über alle Zonen hinweg: Zertifikate für externe und interne Services lassen sich einheitlich, konsistent und ohne manuelle Eingriffe verwalten.
- Sicherheitsrisiken durch abgelaufene Zertifikate werden in allen Netzwerkbereichen minimiert.
Die Erweiterung reduziert administrativen Aufwand nochmals deutlich und erweitert Anwendungsfälle, insbesondere in internen oder isolierten Zonen.
PXE-basierte Installation – Provisionierung ohne manuelle Schritte
Die neue PXE-Installation ermöglicht ein vollständig automatisiertes Ausrollen neuer Gateways. Das beschleunigt Neu- oder Masseninstallationen, reduziert Fehler und sorgt für konsistente Setups, insbesondere bei:
- grossen Umgebungen und verteilten Standorten
- MSSP (Managed Security Service Provider)
- Lab- und QA-Umgebungen
Die Gateway-Dokumentation wurde um PXE-basierte Installation erweitert und beschreibt die notwendigen Schritte.
End of life
Microsoft Mapping Templates und Splunk AppMicrosoft Mapping Templates – End of life
Die Mapping Templates für folgende Produkte wurden entfernt:
- Exchange 2016 / 2019
- SharePoint 2016 / 2019
- WebDAV
Grund dafür sind die allgemeine Marktbewegung hin zu Cloud-Diensten und die Einstellung des Supports auf Seiten Microsoft: Exchange 2016 und 2019 wurden per 14. Oktober 2025 eingestellt, SharePoint 2026 und 2019 folgen per 14. Juli 2026. WebDAV hingegen führt neben OneDrive und ähnlichen Lösungen eher ein Nischendasein.
Deshalb werden wir die genannten Mapping Templates nicht mehr weiter pflegen. Bestehende Installationen funktionieren weiterhin auch mit Gateway 8.5.
Airlock Splunk App – End of life
Wir haben uns dazu entschieden, die Airlock Splunk App nicht mehr weiterzuentwickeln. Sie ist per sofort eingestellt.
Kürzerer Release Lifecycle für Gateway 8.4
Mit Airlock Gateway 8.5 wird OpenSSL auf Version 3.5 aktualisiert. Da die derzeitige Version 3.0.x nur noch bis August 2026 vom OpenSSL-Projekt unterstützt wird, wird auch der Supportzeitraum von Gateway 8.4 entsprechend angepasst und leicht verkürzt.
Der Support für Airlock Gateway 8.4 endet deshalb im August 2026.
Gehärtete Filterregeln dank Bug Bounties
Nicht zuletzt hat auch unser seit 2020 erfolgreich laufendes Airlock Bug Bounty Programm zu zahlreichen Sicherheitsverbesserungen geführt, die in den aktuellen Release einfliessen. Wir danken den White Hackern, die ihre Findings mit uns teilen. Hier erfahren Sie mehr über das Airlock Bug Bounty Programm.
Einfaches Update
Airlock Gateway 8.5 ist jetzt auf der Airlock Techzone verfügbar. Das Update auf diese Minor-Version erfordert keine manuellen Anpassungen – Ihre bestehende Konfiguration kann problemlos migriert und aktiviert werden. Einen detaillierten Überblick über alle Neuerungen und Korrekturen finden Sie in den Release Notes.
Airlock Gateway 8.5 Release-Video
In unserem Release-Video erhalten Sie alle Details zu Airlock Gateway 8.5.