Der Feind der Betriebszeit: Ein abgelaufenes SSL Zertifikat

Jeden Tag laufen Tausende von SSL Zertifikaten ab. In den meisten Fällen bleiben diese scheinbar unbedeutenden Momente unbemerkt. Unsere Websites bleiben sicher, unsere Server arbeiten weiter, und der Betrieb läuft wie gewohnt.

Dann passiert es. Ein weiteres SSL Zertifikat läuft ab. Nur dieses Mal hat jemand vergessen, es zu erneuern. Was passiert nun? In diesem Blog erfahren Sie, warum Zertifikate ablaufen, was passiert, wenn sie ablaufen, und wie Sie effektiv reagieren können.

SSL Zertifikate sind ein wichtiger Faktor bei der Sicherung von Websites, Anwendungen und Maschine-zu-Maschine-Verbindungen, aber aufgrund ihrer weiten Verbreitung sind sie auch unglaublich schwer zu verfolgen.

Warum sollte man die Zertifikate verfolgen? Es gibt nur ein Ereignis - den Ablauf von Zertifikaten.

Jedes Zertifikat von SSL hat eine bestimmte Gültigkeitsdauer. Früher waren sie bis zu fünf Jahre gültig, dann zwei. Jetzt sind öffentlich ausgestellte Zertifikate nur noch 398 Tage lang gültig. Im Gegensatz zu Ihrem Netflix-Abonnement, das sich automatisch verlängert, wenn Sie Ihren Stream abrufen, erneuern sich die Zertifikate von SSL nicht selbst. Dafür ist normalerweise das PKI- oder Sicherheitsteam zuständig.

Wenn ein Unternehmen nur eine Handvoll Zertifikate verwendet, kann es diese manuell verfolgen und erneuern. Die Realität sieht jedoch so aus, dass die meisten Unternehmen Tausende und Abertausende von SSL Zertifikaten besitzen. Den Überblick darüber zu behalten, wo sich diese Zertifikate befinden, wem sie gehören und wann sie ablaufen, ist in großem Umfang manuell nur schwer zu bewerkstelligen.

Warum also der ganze Ärger? Warum müssen Zertifikate ablaufen? Und was passiert, wenn sie ablaufen?

Das Ablaufen von Zertifikaten ist eine gute Sache. Aus demselben Grund, aus dem wir unseren Reisepass, unseren Personalausweis und unsere Passwörter erneuern, haben auch Zertifikate ein Ablaufdatum und müssen nach einer bestimmten Gültigkeitsdauer erneuert werden, um sicherzustellen, dass sie korrekt, aktuell und vertrauenswürdig sind.

Zertifikate mit kürzerer Lebensdauer (90 Tage oder weniger) sind sicherer und günstiger in den sich schnell verändernden Umgebungen von heute. Allerdings erhöhen diese kurzlebigen Zertifikate auch den Aufwand für die Teams, die für die Ausstellung und Erneuerung der Zertifikate zuständig sind.

Zu Ausfällen kommt es, wenn das Ablaufen eines Zertifikats unbemerkt bleibt und Website-Besitzer vergessen, das Zertifikat rechtzeitig zu erneuern - trotz mehrerer E-Mails und Warnmeldungen. Der Schweregrad und die Auswirkungen dieser Zertifikatsausfälle können von einem einzelnen Nutzer, der keinen WLAN-Zugang hat, bis hin zu einer globalen Netzwerk- oder Serviceunterbrechung reichen, die Millionen von Kunden betrifft.

Um die Dinge ins rechte Licht zu rücken, hat Keyfactor kürzlich einen Bericht über den Stand des Maschinenidentitätsmanagements veröffentlicht. In dem Bericht fragten wir die Befragten, wie oft sie zertifikatsbezogene Ausfälle erleben und welche Auswirkungen diese auf ihr Unternehmen haben. Dies ist unser Ergebnis:

• 88 % der Unternehmen erleben weiterhin ungeplante Ausfälle aufgrund von abgelaufenen Zertifikaten
• Im Durchschnitt hatten sie in den letzten zwei Jahren mehr als 3 Zertifikatsausfälle
• 40 % der Befragten gaben an, dass ihr Unternehmen mit hoher Wahrscheinlichkeit weitere Ausfälle zu erwarten hat.
• 59 % der Befragten geben an, dass sie über das erhöhte Risiko von Stromausfällen aufgrund der kürzeren Lebensdauer besorgt sind SSL/TLS

Nahezu jedes Unternehmen hat mit Zertifikatsausfällen zu kämpfen, aber nur wenige von ihnen geben bekannt, wann sie auftreten oder warum. Das heißt, bis Epic Games - Hersteller von Fan-Favoriten wie Fortnite, Rocket League und Houseparty - einen massiven Ausfall aufgrund eines (Sie haben es erraten) abgelaufenen SSL Zertifikats erlebte.

Am 6. April 2021 lief ein Wildcard-Zertifikat TLS unerwartet ab. Es ist peinlich, wenn ein Zertifikat abläuftaber wir hielten es für wichtig, unsere Geschichte hier zu erzählen, in der Hoffnung, dass auch andere aus unseren Erfahrungen lernen und ihre Systeme verbessern können. Wenn Sie oder Ihre Organisation eine Zertifikatsüberwachung einsetzen, ist dies eine gute Erinnerung, diese Systeme auf Lücken zu überprüfen.

Was passiert, wenn ein SSL Zertifikat abläuft?

Anstatt den Vorfall herunterzuspielen, machte Epic Games aus einer schlimmen Situation eine Lektion, indem es einen Bericht über die Geschehnisse veröffentlichte und erklärte, wie diese hätten verhindert werden können.

Hier ein kurzer Überblick über den zeitlichen Ablauf des Vorfalls:

• Abgelaufen: Um 12:00 Uhr UTC ist ein internes Zertifikat abgelaufen. Das abgelaufene Wildcard-Zertifikat wurde in Hunderten von Backend-Diensten installiert, was zu weitreichenden Ausfällen in Fortnite, Rocket League, Houseparty, Epic Online Services und Epic Games Store führte.
• Reaktion: Nach dem Start des Incident-Management-Prozesses benötigten die Teams nur 12 Minuten, um das abgelaufene Zertifikat als Ursache des Problems zu entdecken und den Erneuerungsprozess einzuleiten.
• Abhilfe: Um 12:37 Uhr UTC wurde das aktualisierte Zertifikat neu ausgestellt und innerhalb der nächsten 15 Minuten auf die Backend-Dienste übertragen. Zu diesem Zeitpunkt waren 25 Personen direkt an der Behebung des Problems beteiligt und viele weitere waren im Spieler-Support, in der Community, in der Technik und in der Produktion im Einsatz.
• Fallout: Ihre Teams konnten das Zertifikat erneuern und die meisten Dienste innerhalb einer Stunde wiederherstellen. Der anfängliche Ausfall deckte jedoch eine Reihe weiterer Probleme in der IT-Infrastruktur auf, die zu weiteren Unterbrechungen des Epic Games Launcher und des Epic Games Store führten.

Alles in allem brauchte Epic Games fast fünfeinhalb Stunden, um das Problem vollständig zu beheben. Leider ist dies kein Einzelfall. Abgelaufene Zertifikate waren die Ursache für zahlreiche hochkarätige und langwierige Ausfälle der letzten Zeit, z. B. bei Microsoft Teams, Azure AD oder Google Voice.

Jeder Ausfall ist anders, aber die zugrundeliegenden Probleme, die zu ihnen führen, sind immer dieselben: begrenzte Sichtbarkeit und fehlende Automatisierung. Dieser Vorfall ist nicht anders...

Begrenzte Sichtbarkeit

Die DNS Zonen für diese interne Service-to-Service-Kommunikation wurden von unseren Zertifikatsüberwachungsdiensten nicht aktiv überwacht, was wir versäumt haben.

Die Zertifikatsermittlung ist einer der, wenn nicht sogar der wichtigste Teil der Zertifikatsverwaltung. Schließlich kann man ein Zertifikat, von dem man nichts weiß, nicht erneuern. Dennoch wissen 53 % der Unternehmen immer noch nicht genau, wie viele Schlüssel und Zertifikate (einschließlich selbstsignierter) sie besitzen.

Fehlende Prozesse und Automatisierung

Die automatische Erneuerung dieses internen Zertifikats war nicht aktiviert, und die dafür erforderlichen Arbeiten hatten keine Priorität, als sie Anfang des Jahres festgestellt wurden.

Um ein Zertifikat zu erneuern, müssen Zertifikatsinhaber in der Regel einen neuen CSR generieren, ihn bei einer Zertifizierungsstelle zertifizieren lassen, ihn installieren, überprüfen, ob er aktiv ist, und dann zum Echtbetrieb zurückkehren. Wenn Sie diese Prozesse manuell durchführen, ist es fast unmöglich, effektiv zu reagieren, wenn ein Zertifikat unerwartet abläuft.

Wildcard-Zertifikate

Das verwendete Dienst-zu-Dienst-Wildcard-Zertifikat wurde in Hunderten von verschiedenen Produktionsdiensten installiert und hatte daher sehr weitreichende Auswirkungen.

Wildcard-Zertifikate SSL sind praktisch, aber aus der Sicht der Sicherheit stellen sie ein ernsthaftes Sicherheitsproblem dar. Wenn der private Schlüssel kompromittiert wird oder das Zertifikat abläuft, multipliziert sich der Sprengstoffradius mit der Anzahl der Server, auf denen es installiert ist.

Leider ist es für IT- und Sicherheitsverantwortliche nur allzu leicht, den Ausfall von Zertifikaten als unerwartetes Ereignis zu betrachten und nicht als Symptom für ein viel größeres Problem - Ad-hoc- und manuelle Zertifikatsverwaltungsprozesse.

Es ist nicht ungewöhnlich, dass sich Unternehmen bei der Verfolgung und Verwaltung ihrer Zertifikate auf eine Mischung aus Tabellenkalkulationen, CA-Schnittstellen und selbst entwickelten Tools verlassen. Tatsächlich nutzt nur etwa ein Drittel (36 %) der Unternehmen eine spezielle Lösung für das Management des Lebenszyklus von Zertifikaten (CLM). Das bedeutet, dass die meisten Unternehmen immer noch in manuellen und isolierten Prozessen feststecken, die ihnen nicht den nötigen Überblick über ihre IT-Umgebung verschaffen.

Eine effektive Zertifikatsverwaltungsstrategie sollte jedes Zertifikat aktiv überwachen, die automatische Erneuerung und Bereitstellung für Workloads und Endpunkte ermöglichen und die Verwendung von unbekannten, selbstsignierten und Wildcard-Zertifikaten einschränken, die das Risiko und die Auswirkungen eines Ausfalls erhöhen.

Finden Sie heraus, warum die Automatisierung des Lebenszyklus von Zertifikaten heute ein Muss für digitale Unternehmen ist. Holen Sie sich die Erkenntnisse von mehr als 1100 IT- und Sicherheitsexperten im ersten State of Machine Identity Management und teilen Sie sie mit Ihrem Team.