Absicherung von PKI und maschinellen Identitäten im modernen Unternehmen

Bei der Verwaltung und Sicherung von Unternehmensidentitäten und Anmeldedaten denken Sie vielleicht in erster Linie an Menschen und ihre Rollen innerhalb eines Unternehmens. Wie stellen wir sicher, dass Janet aus der Qualitätssicherung die Berechtigungsnachweise hat, um auf die benötigten Ressourcen zuzugreifen, und wie stellen wir sicher, dass niemand sonst auf diese Berechtigungsnachweise zugreifen kann?

Aber menschliche Identitäten sind nur ein Teil des Sicherheitspuzzles. Während Mitarbeiter, Partner, Lieferanten, Kunden und Berater zu den wichtigsten Quellen für Sicherheitsschwachstellen in Ihrem Unternehmen gehören, nimmt die Zahl der Maschinenidentitäten zu und schafft zusätzliche Angriffspunkte für Hacker und Malware.

The 2022 State of Machine Identity Report from the Ponemon Institute (from which we get the statistics below unless otherwise noted) reveals the latest data on just how complex machine identity management can be.

Was sind Maschinenidentitäten?

Machine identities are the digital keys, secrets, and certificates that establish the validity of digital transactions. They include X.509 certificates, SSH and encryption keys, and code signing certificates for secure communication between servers and VMS, workstations, scripts and bots, applications, services, etc.

Die Infrastruktur für öffentliche Schlüssel explodiert

With the adoption of remote work, cloud-based services, IoT, and Zero Trust initiatives, the number and importance of public keys and certificates being used by organizations is increasing rapidly. The days of one or two CAs behind the four walls of the data center are behind us, and managing machine identities should be at the forefront of your security posture. In the Gartner Hype Cycle for IAM report in 2021, Gartner Managing VP Tricia Phillips said:

"Die digitale Transformation hat zu einer explosionsartigen Zunahme von Maschinen - wie Workloads, Code, Anwendungen und Container - geführt, die sich identifizieren und kommunizieren müssen."

Einige der gängigsten Elemente der PKI sind:

• Interne private PKI software (AD CS, EJBCA, etc.)
• Verwaltete oder als SaaS bereitgestellte PKI (EJBCA SaaS, PKIaaS usw.)
• Selbstsignierte Zertifikate (OpenSSL)
• Eingebaute Zertifikatsaussteller (Kubernetes, HashiCorp Vault, etc.)
• Privater CA-Dienst, der von einem Cloud-Service-Anbieter bereitgestellt wird
• Öffentlicher CA-Dienst (DigiCert, Entrust, Let's Encrypt, usw.)

Die Sicherstellung des Schutzes von Rechneridentitäten wird zu einer kostspieligen und zeitaufwändigen Aufgabe. Die Mehrheit der Unternehmen gibt an, dass die zunehmende Verwendung von Schlüsseln und Zertifikaten die operative Belastung ihrer IT-Teams deutlich erhöht hat und dass sie sich Sorgen über die erhöhte Arbeitsbelastung und das Risiko von Ausfällen aufgrund der kürzeren Lebensdauer von TLS Zertifikaten machen. 

Darüber hinaus gibt über die Hälfte der befragten Unternehmen an, dass sie nicht einmal genau wissen, wie viele Schlüssel und Zertifikate sie besitzen.

Die Risiken von Maschinen-ID und PKI-Wildwuchs

Wenn sie vernachlässigt werden, können Maschinenidentitäten große Lücken in Ihrer Sicherheit schaffen, da Schwachstellen es einem Bedrohungsakteur ermöglichen können, von einem System auf andere im Netzwerk überzugehen.

In the last two years, over 95 percent of organizations have experienced all three of the following PKI-related issues:*

• Audit Failures: Unexpected audit findings due to gaps in PKI, key and certificate management
• Machine ID Compromise: Theft or misuse of keys by mistake, malicious insider, or external threat actor
• Certificate Outages: Application or service failure due to an expired or untracked certificate.

Die Schmerzen von Zertifikatsausfällen

Because they can bring operations to a halt, certificate outages tend to receive the most focus. Nearly 40 percent of outages take over four hours to identify and remediate, which can be costly and damaging to a company’s reputation. The Let’s Encrypt outage in September 2021, for instance, affected operations at major corporations like Cisco, Palo Alto, Bluecoat, AWS, Auth0, Fortinet, Heroku, and others.

But outages are just the tip of the iceberg, indicating bigger risks below the surface that need to be addressed, including manual processes, wildcard certificates, weak cryptography, and misconfigured or exposed CAs.

Die Maschinen übernehmen die Macht

"Die Zahl der Maschinen (Workloads und Geräte) übersteigt die Zahl der Menschen um ein Vielfaches, und Unternehmen müssen Tools und Prozesse einrichten, um diese Identitäten zu kontrollieren." - Gartner: Verwaltung von Maschinenidentitäten, Geheimnissen, Schlüsseln und Zertifikaten, Erik Wahlstrom, 16. März 2022

Wenn Sie das Gefühl haben, dass Sie nicht genau wissen, wie Sie Ihre Public-Key-Infrastruktur sichern können, sind Sie nicht allein:

• 50 % der Unternehmen haben nicht genügend Personal für ihre PKI
• 42 % der Unternehmen verwenden immer noch Tabellenkalkulationen, um digitale Zertifikate manuell zu verfolgen
• 59 % der Unternehmen verfügen nicht über eine zentrale Verwaltung von SSH-Anmeldedaten
• 50 % der Unternehmen haben keine formellen Richtlinien oder Zugangskontrollen für Code-Signatur-Schlüssel

Darüber hinaus haben etwa 40 Prozent der Unternehmen nur eine begrenzte PKI-Strategie für bestimmte Anwendungen oder Anwendungsfälle, und 16 Prozent haben überhaupt keine Strategie.

Wie man das Problem in Angriff nimmt

1. Mit Sichtbarkeit beginnen

Sie müssen wissen, welche Zertifikate Sie verwenden, um sie effektiv zu sichern. Die Ermittlung und Erstellung eines Inventars Ihrer Zertifikate und Zertifizierungsstellen gibt Ihnen einen Überblick darüber, welche Zertifikate höchste Priorität haben.

• Mehrere Datenquellen nutzen
• Triangulieren Sie die Datenpunkte 
• Verstehen der Schlüsselinformationen, einschließlich Aussteller, Eigentümer, Verwendung/Anwendung, Genehmigender usw.

2. Eigentumsverhältnisse festlegen

Richten Sie eine funktionsübergreifende Arbeitsgruppe ein, die die Verantwortung für Tools, Prozesse und Strategien übernimmt, die Aufsicht führt und Lücken zwischen den Geschäftsbereichen schließt. Definieren Sie dann Maschinenidentitäten für Ihr Unternehmen, ermitteln Sie Anwendungsfälle für Ihre PKI und Maschinen-IDs, und analysieren Sie Ihre bestehende "Identitätsstruktur" oder Ihr Toolset.

3. Vereinfachen und konsolidieren

Je mehr Identitäten und Informationsquellen Sie haben, desto mehr Möglichkeiten für Fehler und/oder Schwachstellen gibt es. Sobald Sie wissen, welche PKI-Verwaltungstools Ihnen zur Verfügung stehen, sollten Sie diese einschränken. Stellen Sie sich Fragen wie:

• "Brauche ich 5 verschiedene PKI- und CA-Implementierungen?"
• "Sollte ich 3 verschiedene Quellen zur Verfolgung von Zertifikaten nutzen?"
• "Benötige ich separate Tools für die Verwaltung von X.509- und SSH-Identitäten?"
• "Braucht jeder Entwickler einen Code Signing Key?"

4. Die Grundlagen schaffen

Sie müssen Richtlinien und bewährte Verfahren für Ihre Public-Key-Infrastruktur festlegen.

• Aufklärung der Teams über die Bedeutung von PKI und digitalen Zertifikaten
• Definition und Verbreitung von Leitlinien für bewährte Verfahren
• Verstärkung guter Gewohnheiten und Abkehr von selbstsignierten und Wildcard-Zertifikaten
• Ausarbeitung von Strategien, um die richtigen Entscheidungen für den Werkzeugbau zu treffen

5. Verschieben Sie Ihre Strategie von Ops zu SecOps

Most security teams spend at least 50% of their time on maintenance and operational tasks. The key is to automate, automate, automate. Automation decreases risks related to human error and misconfiguration and ensures that you can scale with new demands. Additionally, automation enables integration with existing DevOps and cloud workflows.

6. Vorbereitung auf Krypto-Agilität

Security threats adapt quickly to security controls, so you have to be ready to adapt just as fast. To maintain operations and prevent incidents related to PKI, you need to constantly educate yourself and maintain a crypto-agile security posture:

• Bewertung bestehender Krypto-Schlüssel, Algorithmen und Krypto-Bibliotheken
• Planung einer unternehmensweiten Umstellung auf neue Schlüssel und Algorithmen
• Automatisieren und Testen von Prozessen zur Vorbereitung der Reaktion auf Vorfälle
• Verfolgen Sie die Fortschritte bei den PQC-Algorithmen

Holen Sie sich den vollständigen Bericht von Ponemon

Check out the Ponemon Institute’s 2022 State Machine Identity Management report to stay informed with the latest cybersecurity data and analysis. With an in-depth analysis of the threat landscape for PKI and machine IDs at your disposal, you can make informed decisions about what security measures to put in place to keep your organization safe and operating at full capacity.