Gately v0.6.6.4 veröffentlicht

14. November 2026

v0.6.6.4 herunterladen · GitHub Release

Sicherheit der Verwaltungsanmeldung

• Passwortregeln: Neue Passwörter haben 10 bis 72 Byte. Abgelehnt werden gängige schwache Passwörter (auch gängige Abwandlungen), Passwörter mit gately oder dem Benutzernamen, fortlaufende oder wiederholte Zeichen und Passwörter mit zu wenigen Zeichenarten (ab 16 Zeichen gelockert). Die Stärke wird beim Tippen live angezeigt.
• Erzwungene Änderung: Nach der Anmeldung mit dem Standardpasswort oder einem schwachen Passwort erscheint ein nicht schließbarer Dialog zur Passwortänderung; bis zur Änderung lehnt der Server andere Schreibvorgänge ab. Ein bestehendes schwaches Passwort wird bei der nächsten Passwortanmeldung erkannt.
• Ansteigende Sperre: Wird dieselbe Quelle wiederholt gesperrt, verdoppelt sich die Sperrdauer jedes Mal, bis höchstens 24 Stunden.
• Fehlerbudget für unbekannte Adressen: Erreicht die Gesamtzahl fehlgeschlagener Passwortanmeldungen von Adressen, die sich noch nie erfolgreich angemeldet haben, innerhalb von 10 Minuten das Limit (Standard 20, in den Systemeinstellungen anpassbar oder abschaltbar), liefern Passwortanmeldungen von unbekannten Adressen vorübergehend 429 und es wird eine Benachrichtigung gesendet. Bekannte Adressen und Passkey-Anmeldungen sind nicht betroffen.
• Passwortanmeldung abschalten: Sobald ein Passkey registriert ist, lässt sich die Passwortanmeldung abschalten, sodass nur Passkey oder Drittanbieter-Anmeldung funktionieren; gately reset-password schaltet sie wieder ein.
• Sicherheitsbewertung: Oben unter „Systemeinstellungen → Konto & Sicherheit“ steht die Sicherheitsbewertung der Verwaltung; jede der sieben Prüfungen zeigt ihre Punktzahl und einen Link zur passenden Einstellung.

Siehe Sicherheitsmodell & Datenschutzversprechen.

Vorrangige Sperrliste (#95)

Die IP-Zugriffskontrolle erhält eine „Vorrangige Sperrliste“: Adressen und Netzbereiche lassen sich von Hand eintragen oder abonnierte IP-Listen (etwa Bedrohungsdaten zu bösartigen IPs) referenzieren. Treffende Quellen werden immer abgelehnt. Die Liste wird vor Whitelist und Blacklist geprüft, gilt unabhängig vom Modus der Zugriffskontrolle und lässt sich auch durch Pfadregeln nicht aufheben, die Sperre hat also immer Vorrang. Websites, Portweiterleitungen, Protokoll-Routing, die integrierte STUN-Weiterleitung und frps-Instanzen (Anmeldeprüfung für frpc) können sie nutzen. Eine aktualisierte Abo-Liste wirkt sofort, und eine referenzierte Liste kann nicht gelöscht werden. Siehe Web-Dienste.

Web-Dienste

• Klopf-Zugang und Freigabe nach Anmeldung: Eine Website kann verlangen, dass die Quelle eine gültige Freigabe einer Port-Knocking-Regel besitzt, bevor sie erreichbar ist. Eine Website kann auch als Freigabe-Einstieg dienen: Nachdem ein Besucher die Authentifizierung der Website bestanden hat, wird für seine Quell-IP (IPv6 standardmäßig nach /64) eine Freigabe eingetragen, und Websites, Portweiterleitungen und die Systemfirewall, die die Regel referenzieren, lassen ihn sofort durch. Die Einstiegsseite /__gately_knock zeigt Freigaben an, widerruft sie und gibt per Dual-Stack-Erkennung IPv4 und IPv6 frei. Abmelden, Löschen des Benutzers oder eine Passwortänderung widerruft die Freigabe automatisch. Schaltet eine Klopfregel die Firewall-Sperre nicht ein, können die Ports leer bleiben; die Regel dient dann nur der Freigabe per Web-Anmeldung.
• Anmeldung an der Verwaltung überspringt Authentifizierung: An der Gately-Verwaltung angemeldete Administratoren brauchen auf Websites mit dieser Option keine Basis- oder Web-Authentifizierung der Website mehr. Unter derselben übergeordneten Domain wirkt das über die SSO-Domain; liegen Website und Verwaltung unter verschiedenen übergeordneten Domains, wird nach Eintragen der „Einstiegs-URL der Verwaltung“ per einmaligem Ticket-Redirect abgeglichen. Das Credential ist an die Verwaltungssitzung gebunden, verliert bei Abmeldung, Abmelden von allen Geräten oder Passwortänderung sofort seine Gültigkeit und wird nie an das Backend weitergegeben.
• Passkey-Anmeldung für gemeinsame Benutzer: Ist sie eingeschaltet, können gemeinsame Benutzer auf der Seite /__gately_auth/passkey der Website einen Passkey registrieren und sich danach auf der Anmeldeseite mit einem Klick anmelden, ohne Passwort oder Einmalcode einzugeben. Angeboten wird sie nur auf der exakten Domain der Website und auf der Domain des OIDC-Ausstellers. Ändert ein Administrator das Passwort oder das TOTP-Geheimnis eines Benutzers, werden auch dessen Passkeys gelöscht.
• Unverschlüsselte HTTP/2-Backends: Die Website-Option „Unverschlüsseltes HTTP/2 (h2c) für http://-Backends“ ist für gRPC-Dienste gedacht, die nur auf einem unverschlüsselten Port lauschen (etwa NetBird Management/Signal). gRPC-Streaming und Trailer werden unverändert durchgereicht; WebSocket-Anfragen auf demselben Port wechseln automatisch auf HTTP/1.1.

Einbruchschutz

Sperren die Köderports und die Portscan-Erkennung auf Kernel-Ebene eine Quelle, nennen Sperrgrund, Protokolle und Benachrichtigungen den getroffenen Port. Kann der Kernel oder nftables den Port nicht erfassen, wird dies automatisch übersprungen und die übrigen Regeln arbeiten normal weiter. Siehe Einbruchschutz.

Weitere Verbesserungen

• Scrollen in einem geöffneten Dialog, Bestätigungsfenster oder Drawer bewegt die Seite darunter nicht mehr; Terminals und Editoren in Überlagerungen scrollen weiterhin normal.
• Die Abstände zwischen Karten und gruppierten Listen, Sortierleisten und Tabs sind jetzt einheitlich.

Hinweise zum Upgrade

• Docker: neues Image ziehen und den Container neu erstellen; OpenWrt: neues .apk / .ipk über die alte Installation legen; fnOS: neues .fpk im App Center installieren; andere Installationen können unter Systemeinstellungen online aktualisiert werden.
• Ist das Administratorpasswort zu schwach, verlangt die nächste Passwortanmeldung nach dem Upgrade ein neues Passwort; danach ist die Sicherheitsbewertung unter „Systemeinstellungen → Konto & Sicherheit“ zu sehen.
• Das Fehlerbudget für unbekannte Adressen ist standardmäßig aktiv (20 Fehlversuche / 10 Minuten) und betrifft nur Adressen, die sich noch nie erfolgreich angemeldet haben.