Die helle Seite der PKI kennenlernen

This age of remote work and the Internet of Things (IoT) has seen security companies tirelessly preach about digital trust – because it’s a never-ending battle! To win the battle, you must become one with your PKI and bring balance to your organization.

Leider kann die dunkle Seite von PKI Ihr Sicherheitsprogramm korrumpieren und die Rebellion - äh, Ihr Unternehmen - anfällig für Angriffe machen.

Zum Glück haben wir einen neuen Leitfaden entwickelt (mehr über das eBook erfahren Sie weiter unten!), der die dunkle Seite von PKI aufdeckt und Sie auf Ihrem Weg zum PKI-Jedi begleitet. 

PKI-Sichtbarkeit und -Kontrolle

TLS sind für die Datenverschlüsselung und sichere Verbindungen unerlässlich, aber schon ein einziges abgelaufenes oder falsch konfiguriertes Zertifikat kann zu Systemausfällen führen und wichtige Dienste unterbrechen.

Like when the Bank of England’s CHAPS system went offline for 91 minutes due to an expired certificate. Or when SpaceX’s Starlink—a constellation of satellites orbiting the globe – went down when a single ground station certificate expired, leaving millions around the world without connectivity.

Keep in mind that those outages happened in top organizations with skilled tech teams, so smaller organizations are likely to have downtimes that last for more than one hour. In fact, Keyfactor’s 2024 PKI & Digital Trust report reveals that certificate outages cause an average of 5 hours of downtime – even when the cause is detected fast.

Beyond downtime, certificate outages caused by compromised certificates can lead to far worse outcomes. To curb these risks, Google and Apple have suggested shortening certificate validity to 90 and 45 days, respectively. While these suggestions are promising, they won’t be up for a vote until 2025 and 2027. Even then, the outcome remains uncertain, so it’s unwise to depend solely on their timelines for your security.

Wenn Sie die Sicherheit Ihrer Zertifikate kontrollieren möchten, lautet die erste Regel: Lassen Sie manuelle Prozesse wie Tabellenkalkulationen und benutzerdefinierte Skripte weg. Sie lassen sich nicht skalieren, wenn sich Ihre Zertifikate vermehren, sodass Ausfälle unvermeidlich sind.

Stattdessen:

• Zentralisieren Sie Ihren Zertifikatsbestand über Server, Clients, Code-Signierung und Vertrauenswurzeln hinweg.
• Verfolgen Sie Ablaufdaten, Standorte und Besitzverhältnisse für alle CAs, Netzwerkendpunkte, Cloud-Dienste, CT-Protokolle und Zertifikatspeicher.
• Use tools like Keyfactor Command to automate certificate discovery and lifecycle management.

Optimierte Sicherheit für alle Teams

Abtrünnige Zertifikate sind eine ernsthafte Sicherheitsbedrohung - wie ein verkleideter Sith-Lord, der eines Tages die Kontrolle über die Republik übernehmen will. 

Auch gefälschte Zertifikate sind eine stille Bedrohung, die zu kostspieligen Ausfällen führen kann. Tatsächlich haben 42 % der Unternehmen die Beseitigung gefälschter Zertifikate zur obersten Priorität erklärt.

Diese gefälschten Zertifikate entstehen in der Regel, wenn:

• Die Mitarbeiter eilen durch den Prozess der Zertifikatserstellung, ohne die richtigen Verfahren zu befolgen.
• Anwendungseigentümer umgehen Sicherheitsprotokolle, um sich selbst Zertifikate zu beschaffen (selbstsignierte Zertifikate)
• Sicherheitsteams haben keinen Einblick oder Kontrolle darüber, wie Zertifikate von Servern und Anwendungen verwendet werden.
• Ein kompromittiertes Zertifikat wird verwendet, um mehrere Unterdomänen zu sichern (Wildcard-Zertifikate)

Um Ihr Unternehmen vor gefälschten Zertifikaten zu schützen, sollten Sie Folgendes tun:

• Arbeiten Sie mit Anwendungs- und Betriebsteams zusammen, um deren Bedürfnisse zu verstehen und ihnen richtlinienkonforme Zertifikate zur Verfügung zu stellen.
• Schränken Sie die Verwendung von selbstsignierten Zertifikaten und Wildcard-Zertifikaten in Ihrem Unternehmen ein.
• Konsolidieren Sie PKI- und CA-Tools, um Kosten und Komplexität zu reduzieren.
• Erleichtern Sie den Teams den Erwerb richtlinienkonformer Zertifikate
• Implementieren Sie eine PKI-Lösung wie Keyfactor Command , um Cloud- und Container-basierte Bereitstellungen zu unterstützen.

Sicherstellung der Code-Signierung

The software supply chain is one of the biggest threats to digital trust, with code-signing abuse as the most common attack vector. Over the past few years, we’ve seen high-profile attacks where attackers breach signing environments and infect code directly, slipping malware past defenses. This is partly because IT teams store code-signing keys on workstations (53%) and build servers (52%) instead of using secure HSMs. 

An example of code-signing attack vectors in action is CVE-2023-51634, where improper HTTPS certificate validation on NETGEAR RAX30 routers allowed attackers to compromise downloaded data. 

Another example of a code-signing attack was when AnyDesk’s code-signing keys were stolen, causing a 48-hour maintenance window and forcing users to update their software in order to prevent unauthorized access.

 To help curb code-signing attacks, the CA/B forum now requires code-signing certificate private keys to be stored in HSMs.

 But that’s not enough. To further protect your organization from code-signing attacks:

• Durchsetzung des Prinzips der geringsten Privilegien durch Zugangskontrollen für Schlüssel und Signaturen.
• Automate and integrate secure signing into existing workflows using tools like SignServer.
• Erstellen Sie bei der Unterzeichnung eine Software Bill of Materials (SBOM), um Vertrauen und Transparenz zu gewährleisten.
• Stempeln Sie Ihren signierten Code mit einem zuverlässigen Zeitstempel (Time Stamp Authority, TSA).
• Verwenden Sie in der gesamten software eine mehrstufige Authentifizierung.

Sichern von SSH-Schlüsseln

SSH (Secure Shell) protocol is essential for secure administrative tasks like remote logins and file transfers. However, many IT teams mistakenly believe that using passwords or key pairs for SSH authentication is foolproof, thereby leaving organizations vulnerable to attack. 

SSH-Schlüssel sind zwar leistungsstarke Sicherheitswerkzeuge, aber wenn sie in die falschen Hände geraten, können sie dazu verwendet werden, sich unbemerkt zwischen Systemen zu bewegen. Im Gegensatz zu Zertifikaten laufen SSH-Schlüssel nicht ab, d. h. wenn sie einmal kompromittiert sind, können sie unbegrenzt verwendet werden. Da sie außerdem häufig weitergegeben oder kopiert werden, können sie Angreifern übermäßige Privilegien einräumen.

Häufige Angriffsvektoren sind in der Regel vergessene oder ruhende Schlüssel aus temporären Zugängen, gemeinsam genutzte Schlüssel innerhalb von IT-Teams, schwache Schlüssel, die in Quellcode oder öffentlichen Repositories gefunden wurden, usw. Ein Beispiel aus der Praxis ist die 2024 entdeckte SSH-Snake-Malware, die SSH-Anmeldeinformationen ausnutzte, um sich in Netzwerken zu verbreiten und 36 % der US-Unternehmen zu schädigen.

Um Ihre SSH-Schlüssel sicher zu halten:

• Deaktivieren Sie die kennwortbasierte Authentifizierung, die für Brute-Force-Angriffe anfällig ist.
• Erstellen Sie ein Inventar von Schlüsselpaaren und bilden Sie Vertrauensbeziehungen ab.
• Überwachen Sie Schlüsselnutzung, Alter, Stärke und zugehörige Konten.
• Umsetzung von Richtlinien zur Schlüsselrotation und Entfernung schwacher oder inaktiver Schlüssel.
• Verwenden Sie kurzlebige SSH-Zertifikate für eine sicherere Authentifizierung.

Hinweis: Führen Sie diese Tipps zur Problembehebung mit Vorsicht aus, da ein übereiltes Entfernen oder Wechseln von SSH-Schlüsseln zum Verlust des Zugangs und zu Serviceausfällen führen kann.

Das Quantum kommt

Quantencomputer sind vielversprechend für Bereiche wie Medizin und Klimawissenschaft, aber sie stellen auch eine Bedrohung für die Verschlüsselungsalgorithmen dar, die PKI-Zertifikate schützen. Quantencomputer könnten es Angreifern mit fortschrittlichen Ressourcen ermöglichen, selbst unsere sichersten kryptografischen Algorithmen zu knacken.

You might think, “Well, it’s not going to manifest anytime soon,” but government agencies warn that malicious actors could be harvesting your encryption data now, planning to decrypt it once quantum computers are fully developed. Plus, new technology has been known to advance slowly until it accelerates unexpectedly. In fact, Gartner predicts that by 2029, quantum computing will be fully developed. 

Wir dürfen nicht vergessen, dass der Übergang von der No-Quantum- zur Post-Quantum-Kryptografie komplex ist und viele Jahre dauern könnte. Darüber hinaus werden mit Sicherheit neue Mandate und Vorschriften kommen, da Regierungen und Normungsgremien die Einführung von Quantenkryptografie vorantreiben.

Vorbereitung auf das Quantenzeitalter:

• Erstellen Sie ein umfassendes kryptografisches Inventar, einschließlich Schlüssel und Zertifikate.
• Sprechen Sie mit Anbietern, einschließlich PKI- und HSM-Anbietern, um sicherzustellen, dass sie für quantensichere Sicherheit bereit sind.
• Investieren Sie in PKI-Tools wie EJBCA, die quantenfähig sind.
• Bereiten Sie Ihre Systeme vor, indem Sie automatisierte Prozesse für die Erneuerung und Bereitstellung von Zertifikaten einführen.

Blick in die Zukunft: Erkunden Sie das eBook 

Die Schattenseiten des digitalen Vertrauens gehen weit über das hinaus, was wir hier behandelt haben, und das gilt auch für die Lösungen. In unserem spannenden eBook finden Sie alle Informationen, die Sie benötigen, um Ihr digitales Vertrauen zu stärken und die Infrastruktur Ihres Unternehmens zu schützen.

Tauchen Sie ein und entdecken Sie - wir wünschen Ihnen viel Spaß mit diesem Leitfaden!