Kürzere Lebenserwartung, größere Risikolücken: Vorbereitung auf die Umstellung auf 90-Tage-Zertifikate TLS

Es geht wieder los. Am 3. März kündigte Google einen Vorschlag an, die Lebensdauer von öffentlichen TLS Zertifikaten von derzeit 398 Tagen auf nur 90 Tage zu verkürzen. Das ist wie ein Déjà-vu für IT- und Sicherheitsteams, die in den letzten Jahren eine immer kürzer werdende Lebensdauer erlebt haben.

Cutting back the lifespan of digital certificates means that enterprises really need to level up their certificate management game. That means ensuring optimal visibility to quickly catch expiring certificates before they become problematic and cause costly outages and downtime.  

Here we share the implications of Google’s “Moving Forward, Together” project and how you can best prepare for the changes ahead.

Kürzere Lebenszyklen erfordern häufigeres Zertifikatsmanagement

Enterprises are issuing certificates at a large scale, and according to Keyfactor’s annual State of Machine Identity report, the average volume of certificates issued within an organization is 256,000. But more certificates can lead to more problems if a company can’t manage them. 

Almost two-thirds (62%) of respondents said they don’t actually know how many certificates they have. Without visibility, they can’t easily determine who owns these certificates, who issued them, or what applications or servers they are installed on. The problem will only be compounded with shorter certificate lifespans because 72% say the growing use of keys and certificates is putting increased pressure on their teams.

Nicht die Zertifikate sind das Problem. Es ist einfach die menschliche Natur. Die Menschen sind vergesslich und können ihre Aufmerksamkeit nur auf eine bestimmte Anzahl von Dingen richten. Das ist wichtig, wenn man bedenkt, dass die Lebensdauer von Zertifikaten abnimmt und der Arbeitsaufwand für die Erneuerung von Zertifikaten um das 4-5fache steigt.

Sicherheitsgewinn versus operativer Schmerz

Das Projekt "Moving Forward, Together" von Google umfasst mehrere Änderungsvorschläge, von denen die maximale Gültigkeitsdauer von Zertifikaten von 90 Tagen die größte Auswirkung haben dürfte. Mit dieser Änderung soll die Sicherheit verbessert werden, indem das Zertifikat für einen kürzeren Zeitraum zur Verfügung gestellt wird. Das ist ein ähnliches Konzept wie das häufige Ändern eines Passworts. 

Es wurde jedoch darüber diskutiert, ob der Sicherheitsgewinn den operativen Aufwand wert ist. Aus diesem Grund gibt es Bestrebungen, die betriebliche Belastung durch die Automatisierung von zertifikatsbezogenen Aufgaben wie Registrierung, Erneuerung und Bereitstellung zu verringern. 

ACME kann Unternehmen zwar bei der Automatisierung helfen, ist aber keine Allzwecklösung. IT- und Sicherheitsteams benötigen einen vielschichtigen Ansatz für die Automatisierung, einschließlich der Verwendung von branchenüblichen Registrierungsprotokollen wie ACME, SCEP und EST sowie von Tools zur Automatisierung des Lebenszyklus von Zertifikaten, um sicherzustellen, dass sie für die vielfältigen Anwendungsfälle in ihrem Unternehmen gut gerüstet sind. 

Sie müssen auch sicherstellen, dass nicht nur die Erneuerung, sondern auch die Bereitstellung und Installation von Zertifikaten automatisiert wird. Hier treten häufig Probleme auf. Ein Anwendungseigentümer erneuert ein Zertifikat, vergisst aber, es zu installieren, installiert es falsch oder verschwendet einfach Stunden seiner Zeit, die er sonst für seine Prioritäten verwenden könnte. Die Automatisierung des gesamten Lebenszyklus eines Zertifikats trägt dazu bei, diese menschlichen Fehler zu reduzieren und den Zeitaufwand für sich wiederholende, lästige Aufgaben wie diese zu verringern oder sogar ganz zu vermeiden.

Keine Panik, sondern Vorbereitung

Es besteht Ungewissheit darüber, wann - und ob - die Umstellung auf 90-Tage-Bescheinigungen erfolgen wird. Die Änderung erfordert eine Abstimmung, die sechs bis 12 Monate dauern könnte, gefolgt von einer Übergangsfrist. Außerdem wird die Umstellung bereits durch die EU-Kartellvorschriften behindert.

The only constant is change when it comes to security, and it’s just a matter of how and when that change will play out. Preparing for a change like this doesn’t happen overnight, and it takes time and careful planning. 

Welche Maßnahmen können Unternehmen also ergreifen, um vorbereitet zu sein? Es sind genau die gleichen Maßnahmen, die Sie bereits für Ihre 398-Tage-Zertifikate ergreifen sollten:

• Visibility: Develop an understanding of where all the certificates live across your network.
• Accountability: Define certificate ownership and delegate responsibility for the lifecycle of the certificate. 
• Policy and process: Simplify certificate requests and approvals with self-service enrollment.
• Automation: Automate the entire lifecycle with alerts, renewals, and provisioning. 

Remember, automation is more than just getting the certificate to the asset. It’s configuring the asset to use the certificate and then reporting back that the certificate has been updated and is now being used by the device. Then, if something has not gone according to plan, you’ll have time to be able to react and take remediation actions.

To learn more about the impact of Google’s “Moving Forward, Together” project and how Keyfactor can help you prepare for shortened certificate lifespans, watch the on-demand webinar The Shift to 90-Day TLS Certificates: How to Prepare.