Technisches Gespräch: Ersetzen der alten Microsoft CAs durch eine moderne PKI

Die PKI gilt heute als kritische Infrastruktur für Unternehmen. 

Weltweit stufen Unternehmen ihre PKI-Plattform als einen der grundlegendsten und wichtigsten Bestandteile ihrer Cybersicherheitsstruktur ein. Diese Anerkennung der Wichtigkeit ist für Sicherheitsteams ein großer Schritt in die richtige Richtung, stellt sie aber auch vor gewisse Herausforderungen, da sich die Sicherheitslandschaft in Unternehmen weiterentwickelt.

As a result, organizations must take a serious look at modernizing their PKI infrastructure. This was the focus behind a recent Tech Talk featuring Eric Clauss, Area Vice President at Keyfactor, and Alex Gregory, VP of Marketplace Products at Keyfactor. You can watch the full session here, or read on for highlights.

Die Herausforderung: Traditionelle PKI kann mit den modernen Anforderungen nicht mithalten

Herkömmliche PKI-Prozesse sind übermäßig komplex und kostspielig und lassen sich einfach nicht auf alle neuen Anwendungsfälle skalieren. Dies sind ernsthafte Herausforderungen angesichts der kritischen Natur der PKI in den heutigen Unternehmen.

Zu den größten Herausforderungen der traditionellen PKI gehören:

• Keeping up with new use cases: Not too long ago, PKI centered around issuing digital certificates to corporate-owned devices. Today, that’s only a small piece of what PKI needs to cover. New use cases are evolving quickly, creating demand for PKI programs to issue certificates for everything from cloud migrations, DevOps processes, and IoT devices.
• CA sprawl: As more use cases pop up, organizations now consume certificates at an incredibly massive rate. In turn, this situation has created CA sprawl as teams spin up new CAs without any standardized policy or visibility so they can deploy new certificates at their convenience. This sprawl happens frequently in DevOps environments, but it’s not limited to just those teams.
• Slow, manual processes: CA sprawl remains so difficult for security teams to get under control because traditional PKI and certificate processes are slow and complex. At a time when teams need a high volume of certificates at a rapid-fire pace, these slow, manual processes simply won’t cut it – all but forcing teams to find workarounds.
• Limited expertise: Finally, PKI is a very specialized industry, and finding team members with the right skills to manage these programs proves difficult. Retaining them is even harder.

Die Herausforderung wird größer: Der am häufigsten verwendete Ansatz - Microsoft CA - ist für eine Welt gebaut, die es nicht mehr gibt

Diese Herausforderungen werden durch die weit verbreitete Einführung von Microsoft CA noch vergrößert. Leider ist es so, dass diese Lösung für eine Welt entwickelt wurde, die nicht mehr existiert.

So hat beispielsweise Microsoft CA betriebliche Nachteile, da es nur eine Zertifizierungsstelle pro Server zulässt. Dies funktionierte gut, als die Anwendungsfälle für PKI noch begrenzt waren, aber in der heutigen Welt, in der Tausende von Zertifikaten bereitgestellt werden müssen, führt dies zu einem übermäßig komplexen Fußabdruck, wenn PKI-Programme erweitert werden. Viele Unternehmen haben jetzt Hunderte von Servern nur für die Bereitstellung von Zertifikaten, was in keiner Weise effizient ist.

Darüber hinaus verfügt Microsoft CA nur über begrenzte Integrationsmöglichkeiten über die Microsoft-Infrastruktur hinaus, was sich als ziemlich einschränkend erweist, da immer mehr Unternehmen zu einer Multi-Cloud-Strategie übergehen.

Nicht zuletzt wird Microsoft CA von Microsoft nicht mehr aktiv unterstützt oder weiterentwickelt, was bedeutet, dass es sich nie an die sich ändernden Anforderungen anpassen wird. Und da sich die PKI-Landschaft weiter verändert, wird die Diskrepanz zwischen dem, was Unternehmen brauchen, und dem, was Microsoft CA bieten kann, nur noch größer.

Die Lösung: Eine leistungsfähige und flexible PKI-Plattform für jeden Anwendungsfall

Glücklicherweise gibt es einen Weg nach vorne. Die Zukunft erfordert eine leistungsstarke und flexible PKI-Plattform, und Keyfactor's EJBCA Enterprise bietet genau das.

Während Microsoft CA in der Vergangenheit verwurzelt ist - perfekt geeignet für lokale, statische Rechenzentren und Teams, die ein geringes Volumen an Zertifikaten mit langer Lebensdauer ausstellen müssen - ist EJBCA eine zukunftsorientierte, regelmäßig weiterentwickelte Lösung, die für Teams entwickelt wurde, die eine dynamische, cloudbasierte Umgebung haben und ein hohes Volumen an Zertifikaten mit kurzer Lebensdauer ausstellen müssen.

Eine moderne PKI-Lösung wie EJBCA hilft bei der Bewältigung der Herausforderungen, mit denen Unternehmen derzeit konfrontiert sind, indem sie diese bietet:

• CA, VA, and RA functionality for a complete PKI solution in a single platform, which allows for centralized management across all use cases
• Unbegrenzte Anzahl von Zertifizierungsstellen und Zertifikaten in einer einzigen Instanz, ohne zusätzliche Infrastruktur bereitstellen zu müssen, was die Skalierbarkeit für moderne PKI-Programme deutlich erhöht
• Flexible Unterstützung aller wichtigen Arten von Zertifikaten, Algorithmen und Protokollen sowie HSMs für ein Programm, das es Unternehmen ermöglicht, Zertifikate auf verschiedene Weise zu nutzen
• Größere Erweiterbarkeit mit einer robusten API und vorgefertigten Integrationen, die eine nahtlose Erweiterung des PKI-Programms über mehrere verschiedene Clouds hinweg ermöglichen
• Hohe Skalierbarkeit mit Unterstützung für Clustering und hohe Verfügbarkeit

Die Lösung im Detail: Wie EJBCA PKI-Implementierungen auf Ihre Weise unterstützt

Besonders hervorzuheben ist, dass EJBCA auch die Möglichkeit bietet, die Lösung auf verschiedene Weise einzusetzen. Dazu gehören eine vorgefertigte, vorkonfigurierte software appliance , die mit HSMs integriert werden kann, eine hardware appliance für schlüsselfertige Bereitstellungen, die alle für die Unterstützung einer PKI-Umgebung erforderlichen Dienste bietet, die Verfügbarkeit auf den Cloud-Marktplätzen Microsoft Azure und AWS für eine schnelle Bereitstellung sowie eine SaaS-Lösung für eine voll funktionsfähige PKI-Plattform, die von einem Cloud-HSM unterstützt wird und in wenigen Minuten bereitgestellt werden kann.

Keyfactor bietet auch eine PKIaaS-Bereitstellungsoption für EJBCA an, bei der der gesamte Betrieb und die Verwaltung an das Expertenteam Keyfactor übertragen werden, so dass Unternehmen Zertifikate nutzen können, ohne sich mit der Programmverwaltung beschäftigen zu müssen.

Das Ergebnis: Vereinfachte PKI-Architektur für das moderne Unternehmen

Die Nachrüstung von Microsoft CA - oder eines anderen älteren PKI-Programms - für ein modernes Unternehmen reicht einfach nicht mehr aus. Dadurch entstehen übermäßig komplexe PKI-Architekturen, die kostspielig und nicht annähernd so skalierbar sind, wie sie sein müssten, und die die kurze Lebensdauer der heutigen Zertifikate einfach nicht unterstützen können.

A modern solution like Keyfactor EJBCA solves these problems and more. For a deeper look at exactly how it does that, plus a live demo, click here to watch the full Tech Talk.