Nach mehr als 20 Jahren praktischer Arbeit mit der Public Key Infrastructure (PKI) gibt es nur wenige Dinge, die so wahr sind wie diese: PKI mag zu Beginn komplex sein, aber die eigentliche Herausforderung besteht darin, die richtigen Ressourcen und das richtige Fachwissen zu finden, um sie nach der Einführung am Laufen zu halten. Wenn das nicht so wäre, würde ich nicht jeden Tag Unternehmen bei der Bewältigung dieser Herausforderung unterstützen.
In neun von zehn Fällen haben die Unternehmen, mit denen ich spreche, ihre PKI entweder nicht von Anfang an richtig konzipiert und aufgebaut, sondern sich dafür entschieden, an allen Ecken und Enden zu sparen, um Komplexität und Kosten zu reduzieren. Oder die PKI, die sie vor Jahren aufgebaut haben, ist im Laufe der Zeit immer schwieriger zu verwalten geworden. Allzu oft werden bei der Verwaltung der PKI Entscheidungen getroffen, die unerwartet oder unwissentlich zu einer Verschlechterung der Sicherheit der gesamten Infrastruktur führen. Was einst ein grundlegendes Sicherheitsinstrument war, ist nun zu einer Risikobelastung geworden.
Auf dem aufbauen, was bereits kaputt ist
Viele der vor Jahren aufgebauten PKIs wurden von einem Expertenteam betreut, aber inzwischen haben die meisten Unternehmen diese Verantwortung an das Sicherheits-, IT- oder Identitätsteam abgegeben. Leider ist es nicht ungewöhnlich, dass die von Anfang an festgelegten Richtlinien und Praktiken in der Übersetzung verloren gehen, entweder beim Übergang vom Projektteam auf das Team, das für den Betrieb der PKI in der Produktion verantwortlich ist, oder wenn die Verantwortung für die PKI im Laufe der Zeit zwischen verschiedenen Personen wechselt. Einfache Fehlkonfigurationen, Sicherheitsschwachstellen und Lücken in der Durchsetzung von Richtlinien finden ihren Weg in Ihre PKI, die allzu oft unentdeckt und undokumentiert bleibt und praktisch nicht mehr vom Original zu unterscheiden ist.
IT- und Sicherheitsteams sehen sich heute mit der Herausforderung konfrontiert, ihre bestehende PKI sicher nachzurüsten und umzugestalten, um neue Anwendungen wie IoT, DevOps und Cloud zu unterstützen. Doch so sehr sie sich auch bemühen, diese Herausforderung zu meistern, die Realität ist, dass man nur eine Chance hat, die PKI richtig zu machen: bei der Installation. Danach besteht die einzige Möglichkeit, einen Fehler zu beheben, darin, die PKI von Grund auf neu zu erstellen.
Die PKI-Implementierungen der Vergangenheit waren nicht für die Anforderungen, die Skalierbarkeit und die Komplexität der heutigen, stark vernetzten IT-Umgebungen ausgelegt, und die meisten Unternehmen bauen auf dem auf, was bereits kaputt ist.
Das offensichtliche Beispiel - Equifax
Es ist allzu einfach, mit dem Finger auf Equifax zu zeigen, aber die Realität ist, dass die zugrunde liegenden Sicherheitslücken, die zu diesem Verstoß geführt haben, in vielen Unternehmen heutzutage gar nicht so ungewöhnlich sind, insbesondere wenn es um ihre PKI geht.
Während eine Reihe von Sicherheitsfehlern zu dem Sicherheitsverstoß führte - nämlich eine ungepatchte Apache-Struts-Schwachstelle - war es ein einziges abgelaufenes Zertifikat auf einem Gerät, das zur Überwachung des ACIS-Netzwerkverkehrs verwendet wurde, das Equifax die Exfiltration von Daten aus ihrer Umgebung entgehen ließ. Erst als das Zertifikat erneuert wurde (etwa 19 Monate nach dem Ablaufdatum), wurde der verdächtige Datenverkehr entdeckt.
Wie sich herausstellte, war es nicht nur ein einziges Zertifikat. Dem Kongressbericht zufolge "ließ Equifax mindestens 324 seiner SSL Zertifikate ablaufen. Neunundsiebzig der abgelaufenen Zertifikate waren für Geräte, die sehr geschäftskritische Bereiche überwachen.
Mit der zunehmenden Abhängigkeit der Unternehmen von ihrer PKI wächst auch das Risiko von Zertifikatsverletzungen, Ausfällen und fehlgeschlagenen Audits. Sicherheitsteams müssen nicht nur die Verwaltung von Schlüsseln und Zertifikaten automatisieren, sondern auch sicherstellen, dass die zugrundeliegenden Komponenten ihrer PKI (d. h. Zertifizierungsstellen, Sperrlisten, Backup, Disaster Recovery usw.) auf dem erwarteten Sicherheitsniveau des Unternehmens laufen.
PKI-Schwachstellen vorbeugen - nicht flicken
PKI kann einfach nicht gepatcht werden. Sobald eine Entscheidung getroffen wurde, die die Sicherheitslage der Infrastruktur verschlechtert, kann sie nie wieder verbessert werden. Stellen Sie sich das wie eine Einbahnstraße vor, deren Fahrtrichtung bei "sicher" beginnt und zu "unsicher" oder "riskant" führt. Allzu oft scheitern PKI-Audits an dem Versuch, einen Fehler, der auf dem Weg dorthin gemacht wurde, zu "beheben". Es gibt einfach Dinge, die nicht rückgängig gemacht werden können, wie z. B. eine Root-CA online zu stellen, die Verwendung sensibler Schlüssel in Zertifikaten zuzulassen, und vieles mehr.
Für viele Unternehmen besteht die einzige Möglichkeit, sicherzustellen, dass ihre PKI sicher ist und mit den Anforderungen neuer Anwendungsfälle, Technologien und des Unternehmenswachstums Schritt halten kann, darin, eine neue PKI von Grund auf aufzubauen und zu entwickeln. Verstehen Sie mich nicht falsch, es ist eine entmutigende Aufgabe - aber mit den richtigen Investitionen in Infrastruktur, Personal und Betrieb können die Betriebskosten, das Risiko und die Komplexität der PKI drastisch reduziert werden.
Wo soll man anfangen?
Wenn Sie sich nicht sicher sind, wo Sie anfangen sollen, erfahren Sie mehr über unsere PKI als Service, die Ihnen die schwere Arbeit abnimmt, oder sehen Sie sich die Tools an, die unser Team entwickelt hat, um Sie auf Ihrem Weg zum PKI-Erfolg zu unterstützen:
- Testen Sie unseren interaktiven Rechner zur PKI-Risikobewertung
- Laden Sie unser Whitepaper herunter: PKI Die neuen Best Practices
- Laden Sie unser Whitepaper herunter: 5 Gründe für die Verlagerung Ihrer PKI in die Cloud
