PKI-Prognosen für 2023: Ein Fokus auf Software Sicherheit der Lieferkette, IoT Gerätestandards und mehr

In 2023, PKI will continue to break into the mainstream enterprise discourse as a business-critical investment. Keyfactor’s State of Machine Identity Management 2022 report shows that organizations are struggling to modernize their PKI practice.

• 66 % setzen mehr Schlüssel und Zertifikate in ihrer IT-Landschaft ein, während 70 % sagen, dass die Zunahme von Schlüsseln und Zertifikaten den betrieblichen Aufwand erhöht hat. 
• 57 % stuften Krypto-Agilität als eine der wichtigsten strategischen Prioritäten für digitale Sicherheit ein, und 55 % gaben an, dass Zero-Trust-Initiativen ein Hauptantrieb für PKI, Schlüssel und Zertifikate sind. 
• 81 % der Unternehmen erlebten in den Jahren 2021 und 2022 mehrere störende Ausfälle aufgrund von abgelaufenen Zertifikaten mit einer durchschnittlichen Behebungszeit von 3,3 Stunden.

In dem Maße, in dem Ausfälle an Brisanz gewinnen, neue Compliance-Standards Gestalt annehmen und Zero-Trust als praktischer Rahmen an Bedeutung gewinnt, können wir davon ausgehen, dass sich PKI und ihre Verwendung in diesem Jahr weiterentwickeln werden. 

To understand how the shifting regulatory environment, threat landscape, and emerging business strategies will impact — and be impacted by — PKI, we turned to Tomas Gustavsson, Keyfactor’s Chief PKI Officer. He gave us the inside scoop.

Keyfactor: Sagen Sie voraus, dass PKI in der Entwicklung und im Geräteprozess von IoT stärker zum Tragen kommen wird?

Tomas Gustavsson: With the introduction of new legislation from the EU and the U.S. government, particular types of IoT devices will fall under scrutiny. These regulations will address traditional software vulnerabilities and the potential for cryptographically secure updates and data encryption. 

I predict this discussion will continue and heighten in 2023, not least in the E.U. with the introduction of the EU Cyber Resilience Act. We can expect best practices recommended by NIST and ENISA to become mandatory, though this will happen slowly.

Keyfactor: Warum ist die Sicherheit der Lieferkette ein Schwachpunkt? Ignorieren Unternehmen die Sicherheit der Lieferkette? Was muss Ihrer Meinung nach geschehen, damit Unternehmen die Sicherheit der Lieferkette nicht länger ignorieren?

Tomas: Some industries like telecom and critical infrastructure have long prioritized supply chain security. The software supply chain has lagged because it isn’t as obvious, and research hasn’t yet been well established. The software world has prioritized innovation over security, even in consumer software that handles essential, sensitive data. 

Aber das ändert sich aus mehreren Gründen:

• Wir haben gesehen, wie größere software Verbraucher Opfer von Angriffen auf die Lieferkette wurden, und wir haben beobachtet, wie sie darauf reagierten, indem sie die Sicherheitsstandards für ihre Lieferanten erhöhten. Dies wird sich auch auf kleinere Organisationen auswirken und von staatlichen und privaten Beschaffungsstellen vorangetrieben werden. 
• In den letzten Jahren hat die akademische Forschung rund um die Lieferkette software erheblich an Fahrt aufgenommen, so dass zu erwarten ist, dass die beliebten software Pakete eingehender analysiert und damit verbessert werden.

Gegenwärtig erfordert die Implementierung optimierter Sicherheitskontrollen in der Entwicklungs- und software Lieferkette noch einiges an Fachwissen, aber in den kommenden Jahren ist zu erwarten, dass diese Sicherheitskontrollen zunehmend in die Tools integriert werden und leichter zu optimieren sind.

Es ist praktisch unmöglich, software Lieferketten ohne den Einsatz von PKI abzusichern, so dass zu erwarten ist, dass PKI immer leichter in Entwicklungswerkzeuge integriert werden kann.

Keyfactor: In welchen Bereichen wird PKI in den kommenden Jahren Priorität haben?

Tomas: All sectors! PKI is the most mature and standardized approach to solving the security demands most industries face. 

Some industries, like telecom, have used PKI for decades, so we may not see as much growth in those industries compared to sectors like automotive and manufacturing. These settings are transitioning to an everything-connected model, which requires them to escalate their PKI usage compared to what they’ve traditionally needed. 

Even enterprise organizations, which have used PKI solidly for many years, are seeing massive growth in PKI usage due to initiatives like zero trust. 

Keyfactor: Wie kann das PKI-Management der Fertigungsindustrie helfen, Ransomware-Angriffe zu bekämpfen?

Tomas: PKI can’t solve everything. Organizations need multi-stage protections to guard against ransomware and other attacks. For instance, code signing is a critical component in preventing malware from being installed in your systems. If you can guard against unauthorized software, you can stay protected against many types of attacks. 

Gestohlene Codesignatur-Schlüssel können es jedoch ermöglichen, dass Ransomware signiert werden kann. Für ein Unternehmen mit einem privaten Ökosystem von Geräten ist es besser, privat vertrauenswürdige Code-Signatur-Zertifikate zu verwenden als öffentlich vertrauenswürdige. Dadurch sind die Geräte des Herstellers gegen gestohlene öffentlich vertrauenswürdige Schlüssel und Zertifikate geschützt. 

Im Jahr 2023 ist zu erwarten, dass die Sicherheit rund um öffentlich vertrauenswürdige Code-Signatur-Schlüssel zunimmt, da Microsoft die Verwendung von hardware Sicherheitsmodulen für Abonnenten von Code-Signatur-Zertifikaten erzwingt, die zum Signieren von Windows-Code verwendet werden.

Keyfactor: Glauben Sie, dass die Fernarbeit bleiben wird? Wenn ja, wie sollten Unternehmen PKI einsetzen, um den Fernzugriff auf das Netz zu sichern?

Tomas: Remote work is here to stay; the hybrid workplace is the new normal. PKI is the backbone for secure communication, and most products that secure remote work use PKI in one way or another. Regardless of whether it’s a VPN solution, video conferencing, or office collaboration tools, companies need to adopt a zero-trust strategy.

Zero-Trust-Strategien werden die PKI-Nutzung auf Teile des Netzwerks ausdehnen, die bisher ausschließlich auf Netzwerksegmentierung beruhten, um einen einfachen und sicheren Zugang zu allen Ressourcen zu ermöglichen, die Remote-Mitarbeiter benötigen. 

Es gibt keinen Grund, warum es nicht genauso einfach sein sollte, von jedem Ort der Welt aus zu arbeiten - und das auf sichere Weise.

Sind Sie bereit, PKI für die Sicherheit Ihres Unternehmens einzusetzen?

Big changes are in store for 2023, and maintaining a well-run PKI will be vital for enterprise success. To hit the ground running with your zero-trust initiative or to start planning to modernize your PKI, Keyfactor can help you scale PKI to meet your goals without sacrificing speed, efficiency, or security.