Die größten Zertifikatsausfälle des Jahres 2023 und was wir daraus lernen können

Unternehmen verlassen sich auf PKI, kryptografische Schlüssel und digitale Zertifikate, um mehr Benutzer, Rechner und Anwendungen als je zuvor sicher mit ihrer IT-Umgebung zu verbinden. Unternehmen haben jedoch zunehmend Schwierigkeiten, ihre wachsende PKI- und Rechneridentitätslandschaft zu verwalten. 

Awareness of certificate-related challenges does not always translate into solving them, as Keyfactor’s 2023 State of Machine Identity Management Report reveals:

• Die Unterstützung auf Führungsebene für das maschinelle Identitätsmanagement nimmt zu... doch immer mehr Unternehmen geben an, dass die Verwaltung von Schlüsseln und Zertifikaten die operative Belastung für ihre Teams erhöht hat. 
• Immer mehr Unternehmen geben an, dass sie über eine ausgereifte, unternehmensweite Identitätsmanagement-Strategie verfügen... doch immer mehr Unternehmen geben auch an, dass sie nicht genau wissen, wie viele Schlüssel und Zertifikate sie besitzen.
• Die Reduzierung der PKI-Komplexität und die Verhinderung von zertifikatsbezogenen Ausfällen sind die obersten Prioritäten für das Identitätsmanagement von Maschinen... dennoch verwendet das durchschnittliche Unternehmen neun verschiedene PKI- und Zertifizierungsstellenlösungen.

These complications increase the likelihood of certificate-related outages and downtime. Such disruptions compromise the brand in the minds of customers and result in significant remediation costs. 

Angesichts der explosionsartigen Zunahme von digitalen Identitäten und Zertifikaten in einem durchschnittlichen Unternehmen ist die Verwaltung von Hunderttausenden von Zertifikaten keine leichte Aufgabe. 

Im Jahr 2023 haben wir gesehen, dass die Verwaltung von Zertifikaten selbst für die anspruchsvollsten Unternehmen eine Herausforderung darstellt. Aus diesen Fehlern können Unternehmen lernen, wie sie zertifikatsbezogene Ausfälle verstehen und verhindern und ihre PKI besser verwalten können.

Microsoft Sharepoint

In July, a certificate outage disabled Microsoft Teams, Outlook, and other services. Though Microsoft found and fixed the issue within a few minutes, users still experienced interruption for a few hours. 

Bei weiteren Untersuchungen wurde festgestellt, dass das deutsche Zertifikat sharepoint.de TLS fälschlicherweise der primären Domäne sharepoint.com hinzugefügt worden war. 

Der Mitnahmeeffekt

Though this incident is by no means a disaster, it shows how easy it is to make a certificate mistake. Removing certificate management from human hands as much as possible reduces the chance of human error. As organizations seek to streamline certificate management, they should seek to automate as much as possible.

SpaceX Starlink

In April, SpaceX’s Starlink satellites went down for several hours, affecting users across the globe. SpaceX’s CEO, Elon Musk, took to Twitter/X to cite an “expired ground station certificate” as the cause. 

Experten vermuten, dass es sich bei dem abgelaufenen Zertifikat um ein TLS -Zertifikat handelte, das dazu geführt hätte, dass eine Website oder webbasierte Anwendung offline gegangen wäre. Musk beklagte weiter, dass diese "einzelne Sicherheitslücke" "unentschuldbar" sei.

Der Mitnahmeeffekt

He’s right. For one thing, the average organization maintains over a quarter million certificates at any given time. It only takes one un-tracked certificate expiring to bring operations to a halt.  

Zum anderen positionieren sich die Unternehmen von Musk alle als Disruptoren. Starlink wird 2022 eine Million Nutzer haben. Im Kampf um das Vertrauen der Menschen in eine neue Art, Dinge zu tun, können Unterbrechungen wie diese die Akzeptanz verlangsamen, der Marke schaden und in der Zwischenzeit erhebliche Störungen verursachen. 

Die Spotify-Funktion von Microsoft

Im Jahr 2021 überarbeitete Microsoft seine Uhr-App für Windows 11 und fügte eine Spotify-Integration hinzu, die Songs abspielt, die sich perfekt für konzentriertes Arbeiten eignen. Spotify hat sogar einige auf Produktivität ausgerichtete Wiedergabelisten zusammengestellt, um die Integration zu bereichern.

But in February of 2023, the feature went down and stayed down for months. Users could no longer link their Spotify accounts to the Clock app. After users complained in both Spotify and Microsoft support forums, Spotify identified an issue. 

Aufgrund eines abgelaufenen Zertifikats war der oATH-Header, der an die API von Spotify gesendet wurde, nicht mehr gültig. Mit anderen Worten: Der Fehler lag auf der Seite von Microsoft.

Dies hätte schnell behoben werden sollen, und die Benutzer waren frustriert, weil das Problem so lange anhielt.

Der Mitnahmeeffekt

Dieser Vorfall zeigt, wie ein Ausfall eines Zertifikats den Erfolg einer neuen Funktion oder Integration gefährden kann.

In unserer Welt der digitalen Dienste vergisst man leicht, dass die Entwicklung eines neuen Dienstes mit einem gewissen Maß an Wartung verbunden ist - in diesem Fall mit Zertifikaten. Bei der Freigabe neuer Angebote müssen Unternehmen über die Markteinführung hinaus denken und die erforderlichen Ressourcen bereitstellen, damit die Funktionen langfristig funktionieren.

Danach ist es an der Zeit, sich mit der eigentlichen Sicherheitseinrichtung zu befassen. Dazu müssen Sie Folgendes tun:

GitHub-Repository

In January 2023, intruders gained unauthorized access to some of GitHub’s code repositories and stole code signing certificates for GitHub’s Desktop and Atom applications. If the stolen certificates were decrypted, attackers could create maliciously altered versions of the app and pass them off as official updates from GitHub. 

Glücklicherweise waren die Code Signing-Zertifikate von GitHub passwortgeschützt, so dass kein Schaden entstand. GitHub widerrief einfach die gestohlenen Zertifikate und veröffentlichte neue Versionen der Anwendungen mit neuen Zertifikaten. 

Der Mitnahmeeffekt

Nvidia suffered a similar attack in 2022, in which the hacker group Lapsus$ leaked Nvidia’s code signing certificates so that other malicious actors could use them to sign malware. 

GitHub’s crypto agility proved pivotal in avoiding such a disaster. These days, cyberattacks aren’t a matter of “if” but “when.” Organizations must make plans to contain threats as much as prevent them so that when an attack happens, they can detect and remediate the issue without affecting users.

Cisco SD-WAN

In May, certificates on Cisco’s Viptela and Meraki SD-WAN hardware expired, affecting over 20,000 customers. The expired certificates disrupted cloud, data storage, e-commerce tools, and other services. 

Die Zertifikate und hardware wurden von Cisco geerbt, als das Unternehmen 2017 Viptela kaufte. Die Zertifikate hatten eine Lebensdauer von 10 Jahren, aber es scheint, dass Cisco ihr Auslaufen nicht vorhergesehen hat. 

Es scheint, dass Cisco das Problem nur langsam behoben hat, was ein Redditor als "das größte Cisco-Ding aller Zeiten" bezeichnete.

Der Mitnahmeeffekt

Selbst im Jahr 2024 gibt es keine Möglichkeit, ein System nach einer Fusion nahtlos mit einem übernommenen System zu integrieren. Es gibt so viele Variablen, Konfigurationen und Berechtigungen, die berücksichtigt werden müssen - der Status der Zertifikatslebenszyklen ist eine davon.

Finding an unaccounted-for certificate in your own environment is hard enough. Finding it in an unfamiliar, acquired environment is even more difficult. This incident shows the risks of M&A activity, as well as the benefit of an automated, centralized certificate management solution.

Neues Jahr, neue Ausfälle

Vielleicht ist es sowohl ein Trost als auch eine Warnung, dass Ausfälle von Zertifikaten einige der innovativsten Unternehmen der Welt treffen. Mit ziemlicher Sicherheit können wir im Jahr 2024 mit weiteren Ausfällen rechnen.

Zertifikatsbedingte Ausfälle sind ein Nebenprodukt mangelnder Transparenz und Kontrolle über die Zertifikatslandschaft eines Unternehmens. Wenn Unternehmen die Erkennung von Zertifikaten automatisieren und sie über einen einheitlichen Hub verfolgen, stellen Zertifikatsausfälle keine Bedrohung mehr dar. 

Ready to learn how your organization can put a stop to disruptive outages this year? Get in touch — our team is ready to help.