Cybersecurity Awareness Month: Neun Dinge, die Sicherheitsteams über PKI wissen müssen

As part of Cybersecurity Awareness Month, Keyfactor is highlighting ways teams can adapt to the escalating challenge of managing certificates and machine identities in their organizations. 

Bis vor kurzem war die Kryptographie mit öffentlichen Schlüsseln eine Nischenpraxis. Mit dem Aufkommen von Telearbeit, Cloud Computing und IoT sind Umfang und Verbreitung von Zertifikaten jedoch explodiert. 

Diese wachsende Schwachstelle wird zu einem beliebten Angriffsvektor für böswillige Akteure. In der Zwischenzeit sind die Unternehmen in die Enge getrieben worden und müssen den Zustand der Zertifikate in ihren Unternehmen bewerten und langfristige Richtlinien für die Sicherung und Verwaltung der Zertifikate einführen.  

Keyfactor’s 2022 State of Machine Identity Report revealed that enterprises have an average of 269,562 public and private certificates.

Die Verwaltung der Public-Key-Infrastruktur (PKI) ist eine große Aufgabe, wenn sie zu den Hauptaufgaben Ihres Teams hinzukommt. Um die PKI effizient zu verwalten und zu skalieren, müssen Sicherheitsteams eine Menge Dinge wissen - deshalb haben wir neun Punkte zusammengestellt, die Sie berücksichtigen sollten.

1. Sichtbarkeit ist der Schlüssel, und Ihr Team hat vielleicht nicht den Einblick, den es zu haben glaubt.

A 2021 report by Keyfactor and Ponemon revealed that 50% of companies don’t know exactly how many keys and certificates they have. And in Keyfactor’s 2022 State of Machine Identity Report, gaining complete visibility of all certificates was the top priority for PKI and certificate management.

This is symptomatic of PKI sprawl — various teams using different certificate authorities (21 on average) with no centralized hub for tracking and managing certificates. To compound the complexity, many organizations don’t establish clear ownership of PKI across the enterprise. 

Implementing a certificate lifecycle management solution is the answer. Keyfactor Command is a certificate lifecycle management and automation solution that can be deployed on-prem, as a service, or combined with cloud-hosted private PKI (known as PKI-as-a-Service). However you choose to deploy, you’ll be able to quickly discover and manage existing certificates in your environment, then scale up PKI operations as business needs grow.

2. Die Verwaltung der PKI ist ein Vollzeitjob.

Many IT and security teams simply have too many other priorities to incorporate PKI management into their everyday responsibilities. At the end of the day, other duties are more central to the nature of their roles. PKI will take a back seat to maintaining systems, responding to incidents, and investigating alerts. According to Keyfactor’s 2022 State of Machine Identity Report:

• 65 % der Unternehmen sind besorgt über den erhöhten Arbeitsaufwand und das Risiko von Ausfällen, die durch die kürzere Lebensdauer der TLS Zertifikate verursacht werden. 
• 50 % gaben an, dass sie nicht genügend IT-Personal für ihre PKI haben. 
• 33 % der Unternehmen nannten Zeit- und Budgetmangel als größte Herausforderung bei der Einführung einer unternehmensweiten PKI-Managementstrategie.

Meanwhile, certificate lifespans are decreasing to insulate enterprises from the threats of compromised or stolen certificates. Since 2020, 398 days has been the widely-accepted lifespan for certificates. However, many certificate authorities are adopting 90-day lifespans. 

Diese Lebensdauer wird weiter abnehmen, was bedeutet, dass Zertifikate immer häufiger ablaufen, was das Risiko für Unternehmen ohne ein zuverlässiges System zur Verwaltung der PKI erhöht. Ohne adäquate PKI-Ressourcen wird das "Whack-a-mole"-Spiel mit ablaufenden Zertifikaten immer teurer.

3. Die Verwaltung einer PKI erfordert PKI-spezifisches Fachwissen.

“Ok,” you think, “we’ll just create an internal PKI team composed of IT and security analysts we already have on staff.” 

Viel zu oft schieben Unternehmen PKI auf die Schultern von Mitarbeitern, die nur wenig (oder manchmal gar keine) Erfahrung im Umgang mit PKI haben. Obwohl Ihre IT- und Sicherheitstechniker wahrscheinlich sehr kompetent sind, fangen sie in einer sich ständig verändernden PKI-Landschaft bei Null an. 

• Das Ausmaß an Veränderungen und Unsicherheiten im Zusammenhang mit PKI wurde als größte Herausforderung bei der Einführung einer unternehmensweiten PKI-Managementstrategie genannt. 
• A lack of skilled personnel ranked as the second-highest challenge to adopting an enterprise-wide strategy. [Keyfactor’s 2022 State of Machine Identity Report]

Die Lernkurve ist zu steil, und es steht zu viel auf dem Spiel, um Ihre PKI in die Hände von Personen zu legen, die keine Erfahrung und Kenntnisse im PKI-Bereich haben. 

Die richtige PKI beginnt mit dem Design. Es gibt jedoch eine große Anzahl von PKI-Designaspekten, die, wenn sie einmal konfiguriert sind, nicht mehr geändert werden können, ohne dass eine vollständige Neuimplementierung erforderlich ist. Diese starren Aspekte haben erhebliche Auswirkungen auf die langfristige Nutzung Ihrer PKI.

4. Manuelle Prozesse machen es unmöglich, die PKI effizient zu skalieren.

Dedicated PKI staff and resources are becoming mission-critical. If PKI must fall into the hands of IT and security professionals with other significant responsibilities, organizations must endeavor to minimize the complexity of PKI management as much as possible. 

In jedem Kontext sind manuelle Prozesse der Feind von Modernisierung, Skalierung und Transformation. In einem PKI-Kontext sind manuelle Prozesse in Verbindung mit mangelndem PKI-Fachwissen ein Rezept für ein Desaster.

• Das manuelle Beantragen, Erstellen und Bereitstellen eines neuen Zertifikats ist mühsam, vor allem, wenn die Mitarbeiter mit PKI nicht vertraut sind. 
• 42% of organizations still use spreadsheets to track and manage certificates. Yet spreadsheets can’t notify you when a certificate expires or nears expiration, nor can they flag the errors that come with manual data entry. 
• Manuelle Prozesse führen dazu, dass sie von den Teams ad hoc und uneinheitlich genutzt werden. Dieser Mangel an Standardisierung erschwert die Einführung und Skalierung von Best Practices.
• Wenn Schwachstellen aufgedeckt werden, ist ein schneller Austausch von Zertifikaten unerlässlich, doch manuelle Prozesse machen es unmöglich, mit der erforderlichen Geschwindigkeit zu reagieren. Dies gilt insbesondere im Falle einer Kompromittierung einer Zertifizierungsstelle, die eine Massenausstellung neuer Zertifikate erfordert.

Automation is the answer. With a centralized PKI management platform, you don’t have to babysit your certificates. From continuous monitoring and automated alerts to API integrations to enabling end users to carry out their own certificate processes, automating PKI processes are key to enabling scale.

5. Eine ordnungsgemäße PKI-Verwaltung ist für moderne betriebliche Anforderungen von entscheidender Bedeutung.

Fernarbeit, IoT, DevOps - die traditionelle Netzwerkgrenze ist nicht mehr das, was sie einmal war. Teammitglieder benötigen einen sicheren Zugang zu den Systemen und Anwendungen, die ihre Arbeitsabläufe ermöglichen. In Bezug auf Remote-Arbeit und IoT liegt die Herausforderung bei der Sicherung von Geräten in einer ganzen Reihe neuer Bedingungen und Faktoren, die außerhalb Ihrer Kontrolle liegen. Wenn jemand aus der Ferne arbeitet, kann es sein, dass die Geräte und Netzwerke, über die er auf Ihre Server zugreift, in puncto Sicherheit nicht auf dem neuesten Stand sind. Bei IoT muss das Gerät eine Verbindung zu einem Server herstellen, um den Besitz zu bestätigen, unabhängig davon, wo es aktiviert wird.

For DevOps, it’s all about scale and speed. The manual PKI processes described above present a significant challenge to DevOps momentum and achieving CI/CD. A streamlined, efficient PKI can speed up development cycles while improving quality—all without sacrificing security.

6. Krypto-Agilität ist mehr als ein Nice-to-have.

Ganz gleich, wie gut Ihre Sicherheitsvorkehrungen heute sind, sie werden sich mit der Zeit verschlechtern. Es tauchen immer wieder neue Technologien und Bedrohungen auf. Mit der Zeit wird jede Sicherheitsimplementierung fallen, und keine einzelne Verschlüsselungsmethode ist unbesiegbar. 

Geschäftsagilität bedeutet die Fähigkeit, sich schnell und mit minimalen Unterbrechungen anzupassen. Im Zusammenhang mit PKI bedeutet Krypto-Agilität, dass Ihr Unternehmen seine PKI-Prozesse weiterentwickeln kann, ohne die gesamte IT- oder Sicherheitsinfrastruktur zu unterbrechen. Krypto-Agilität ermöglicht es Unternehmen, Schwachstellen zu erkennen, bevor sie durch einen Bruch, einen Verstoß oder eine Konformitätsstrafe aufgedeckt werden. 

Agility and adaptability create sustainability—a long-lasting PKI architecture that can grow along with your enterprise, keep pace with heightening compliance regulations, and even contribute to innovation initiatives.

7. Eine gute PKI beginnt mit dem Entwurf.

The explosion in use cases and volume around PKI necessitates a new set of best practices. When implemented from the start, these practices can preserve the integrity of your PKI and save you from a disruptive redeployment later down the line. 

Bei PKI kann man sich nicht alles selbst ausdenken. Sie brauchen einen detaillierten Fahrplan, bevor Sie den ersten Schritt tun.

• Wie wird PKI in Ihrer Organisation eingesetzt, und wie wird sie in Zukunft eingesetzt werden müssen?
• Was sind die besten Richtlinien und Verfahren für die Verwaltung von Zertifikaten über ihren gesamten Lebenszyklus in Ihrem Unternehmen? 
• Welche Kontrollen werden Sie einführen, um diese Strategien und Verfahren zu unterstützen? 
• Wie werden Sie Änderungen an Ihrem Plan und Ihrer PKI erfassen, erklären und dokumentieren?

Die Einrichtung Ihrer PKI mit einem guten Design ist nur der Anfang. Eine PKI erfordert ein hohes Maß an Pflege und Wartung, um funktionsfähig zu bleiben. Dies ist ein Risiko für Sicherheitsteams, die sich auf die Implementierung einer PKI konzentrieren, aber nicht auf deren dauerhaften Betrieb.

8. Prüfung, Prüfung, Prüfung.

Wenn Sie Ihre PKI intern verwalten, müssen Sie regelmäßige Audits in Ihre PKI-Praxis einbauen. Ein Audit sollte die Überprüfung und das Testen aller in Ihren Zertifikatsrichtlinien und Erklärungen zur Zertifikatspraxis (CP/CPS), der Geschäftskontinuität und den Notfallwiederherstellungsplänen für alle PKI-Komponenten aufgeführten Punkte umfassen. Wenn ein legitimer Änderungsbedarf besteht, sollten Sie eine Änderungskontrolle einleiten, um alle Dokumente zu aktualisieren. Betrachten Sie diese Dokumente als lebendige, atmende Dokumente, die sich weiterentwickeln, um das beabsichtigte Sicherheitsniveau der PKI aufrechtzuerhalten.

Unternehmen, die ihre eigenen internen Audits planen und durchführen, können regelmäßig und einfach Probleme erkennen, Fragen externer Prüfer beantworten und den Nachweis für das erforderliche Maß an Sicherheit erbringen. PKI-Eigentümer sollten auch ihre unternehmenseigenen PKI-Kontrollen überwachen und mit aktuellen und neuen Standards vergleichen, z. B. mit dem CA/Browser Forum, WebTrust und den Aufsichtsbehörden der Branche. Dies hilft der Organisation, Trends voraus zu sein, die sonst zu PKI-Mängeln führen könnten. Eine weitere bewährte Praxis ist die Durchführung eines jährlichen PKI-Gesundheitschecks, um alles aufzudecken, was die Organisation möglicherweise nicht bedacht hat.

9. Sie können die PKI lösen und Ihrem Sicherheitsteam die Arbeit abnehmen.

The resources required to design, implement, maintain, and evolve PKI internally come at a steep cost and a high technical barrier, especially amid the current cybersecurity labor shortage. 

​​So how do you properly tackle PKI implementation, manage the widespread surge of certificates coursing through your enterprise, and scale PKI through visibility, traceability, and automation in the face of a rapidly changing landscape?

Ein Partner mit umfassender PKI-Expertise kann Ihnen eine schlüsselfertige Lösung für die Implementierung und den Betrieb Ihrer eigenen internen PKI anbieten - oder er kann das gesamte PKI-Management als Rundum-Service anbieten.

Benötigen Sie Hilfe bei der Verbesserung Ihrer Cybersicherheitsmaßnahmen?

The risks of inadequate PKI management will only increase, but the complexity doesn’t have to. Keyfactor helps companies (including those with under-resourced teams) secure every digital key and certificate for multi-cloud enterprises, DevOps, and embedded IoT security. Click here to learn more about what we offer, including how our Cloud PKI-as-a-Service offers every organization access to an elite team of cybersecurity experts.