Aufrüstung Ihrer PKI: Wie Sie grenzenloses Vertrauen aufbauen können

Die Public Key Infrastructure (PKI) ist eine seit langem etablierte Lösung für den Aufbau von Vertrauen in der digitalen Welt. Aber die Anwendungsfälle für PKI haben sich in den Jahrzehnten, in denen es sie gibt, erheblich verändert - und sie entwickeln sich weiterhin in rasantem Tempo weiter.

So hat beispielsweise die Zunahme von Multi-Cloud- und Remote-Arbeitsrichtlinien dazu geführt, dass sich der Sicherheitsschwerpunkt vom Schutz des Perimeters auf die Absicherung aller Bereiche durch vertrauenswürdige Identitäten verlagert hat. Leider können ältere PKI-Implementierungen mit dieser Verlagerung nicht mithalten.

Against this backdrop, what do enterprises need to know about upgrading their PKI to meet more modern use cases? To learn more, we recently sat down with Harry Haramis, SVP of Cloud & SaaS Marketplaces at Keyfactor, and Steven Duckworth, Chief Microcomputer Tech Support Specialist at Erie 1 BOCES.

Click here to watch the full conversation, or read on for highlights.

Die sich verändernde Rolle der PKI im Unternehmen

PKI ist eine wichtige Infrastruktur in modernen Unternehmen, die Vertrauen in eine Vielzahl von digitalen Anwendungsfällen schafft, die nicht nur Menschen, sondern auch Maschinen umfassen. Einige der häufigsten Anwendungsfälle in modernen Unternehmen sind:

• SSL/TLS Zertifikate für Webserver
• Gegenseitige Authentifizierung und Verschlüsselung für Geräte im Internet der Dinge (IoT)
• Authentifizierung bei Wifi-Netzwerken
• Kurzlebige Zertifikate für Multi-Cloud-Dienste wie Container und Workloads
• Digitale Signaturen und Verschlüsselung für sichere E-Mails auf allen Geräten
• Vertrauenswürdiger Zugang für mobile Anwendungen und mobile Geräte
• Authentifizierung zwischen Routern und Firewalls für Netzwerkgeräte
• Signaturen auf Containern und software Builds für DevOps-Teams

Zwei Bereiche, in denen die PKI-Aktivitäten am stärksten zunehmen, sind DevOps und mobile Geräte, da Unternehmen ihre Cloud-Infrastruktur modernisieren und immer mehr Mitarbeiter von unterwegs aus mit einer Vielzahl von Geräten arbeiten.

Leider sind die alten PKI-Implementierungen, die die meisten Unternehmen immer noch verwenden, übermäßig komplex und kostspielig und können nicht skaliert werden, um diese neuen Anwendungsfälle zu erfüllen. Sie stützen sich auf eine veraltete Infrastruktur, die langsam ist und die Anforderungen neuer Anwendungsfälle wie Cloud-Migrationen, hybrides Arbeiten und IoT Geräte nicht erfüllen kann. Außerdem stützen sie sich in der Regel auf unterschiedliche Tools, die den Einblick der Sicherheitsteams in Zertifikate und Richtlinien im gesamten Unternehmen einschränken, was die Verwaltung von Zertifikaten und die Vermeidung von Problemen wie Ausfällen erschwert.

Zusätzlich zu den infrastrukturellen Herausforderungen fehlt es vielen Teams an den notwendigen Ressourcen, um diese PKI-Programme aufrechtzuerhalten, da Mitarbeiter mit den richtigen PKI-Fachkenntnissen schwer zu finden und noch schwerer zu halten sind.

Das häufigste PKI-Hindernis: Altlasten Microsoft CA

Eine der häufigsten Herausforderungen, mit denen sich Unternehmen bei der Modernisierung ihrer PKI konfrontiert sehen, ist die fortgesetzte Abhängigkeit von der veralteten Microsoft-Zertifizierungsstelle (CA), auch bekannt als Active Directory Certificate Services (ADCS).

Microsoft CA gibt es seit dem Jahr 2000, und obwohl es im Laufe der Jahre mehrere Versionen davon gab, hat sich seit der ersten Veröffentlichung nicht viel geändert. Wenn Unternehmen versuchen, die mehr als 20 Jahre alte Lösung für moderne PKI-Anforderungen zu nutzen, stoßen sie auf ernsthafte Hindernisse, darunter:

• • Operational challenges: Microsoft CA only allows one CA per server. At a time when organizations need to issue new certificates from a variety of CAs on a daily basis, this creates an overly complex footprint at scale.
  • Limited integrations: While Microsoft CA integrates well with on-premise Microsoft infrastructure, that’s where it ends. This lack of integration support doesn’t work well as organizations move to a multi-cloud environment.
  • Lack of support: Microsoft is well aware of these limitations and is no longer actively supporting or developing Microsoft CA, meaning that the gap between the limitations of the solution and modern use cases will only continue to widen.

Zum Glück gibt es mehrere Wege zu einer modernen PKI-Infrastruktur in der Cloud:

• Managed PKI: The PKI infrastructure is deployed, hosted, and managed by an experienced third party in the cloud. Handing infrastructure and management over to a third party means companies don’t need to worry about having any PKI expertise in-house and can simply consume the certificates that come from the program.
• SaaS/Cloud PKI: The PKI infrastructure is deployed, hosted, and managed by the organization in the cloud. In this case, the backend infrastructure is hosted and maintained by a third party, but the company manages their own program as far as issuing certificates, developing policies, and leading ongoing lifecycle management.
• Hybrid PKI: The PKI infrastructure is deployed, hosted, and managed on-premise and integrated with cloud services. This approach requires internal expertise in PKI configuration as well as ownership over servers and other infrastructure pieces. Hybrid PKI is best suited for situations like manufacturing, where companies don’t want to depend on internet connectivity in a remote factory, but then need access to those devices (via the internet) to renew certificates and provide ongoing firmware updates once they’re in the field.

Selbst für Unternehmen, die mit Microsoft Azure in die Cloud wechseln, stellen diese Herausforderungen eine große Hürde dar, da Microsoft keine eigene PKI-Lösung in der Cloud anbietet.

Auf dem Weg zu einer modernen PKI in der Cloud

Als Teil des Evaluierungsprozesses ist es für Unternehmen wichtig, Anforderungen wie Vertrauensanforderungen für öffentliche und private Zertifizierungsstellen, Sicherheits- und Zuverlässigkeitsniveaus, zu unterstützende Anwendungsfälle, Skalierbarkeit und Verfügbarkeit von PKI-Lösungen sowie das erforderliche Fachwissen für die Implementierung und Wartung des PKI-Programms zu berücksichtigen. Ebenso wichtig ist es, den aktuellen Reifegrad des Unternehmens in Bezug auf die Cloud (sowie zukünftige Pläne) zu berücksichtigen, um zu verstehen, was hinter einer Firewall bleiben sollte und was in die Cloud verlagert werden kann.

Absicherung von Mitarbeitern an entfernten Standorten mit moderner PKI: Wie Erie 1 BOCES das geschafft hat

Erie 1 BOCES ist ein öffentlicher Schulverbund in New York. Als COVID aufkam, entstand durch die Nachfrage nach einer Fernverwaltung für Laptops von Schülern und Mitarbeitern ein völlig neuer Bedarf. Erie 1 BOCES nutzte bereits Azure Active Directory und Office 365, so dass der nächste logische Schritt die Einführung von Microsoft Intune für die Geräteverwaltung im Unternehmen war.

However, the team quickly realized they would still need a third-party solution to issue and manage certificates to authenticate the remote devices, for example on Wifi networks. This need led the Erie 1 BOCES team to PrimeKey EJBCA Enterprise, a comprehensive PKI solution available in the Azure Marketplace.

Wie Steven Duckworth, Chief Microcomputer Tech Support Specialist bei Erie 1 BOCES, mitteilt, war EJBCA die richtige Lösung für die Bedürfnisse des Teams, da es die folgenden Funktionen bietet:

• Ermöglichung eines gemeinsamen Dienstes für Endnutzer, einschließlich Erie 1 BOCES und anderer Schulbezirke
• Reduzierung der PKI-Komplexität mit Unterstützung für mehrere Domänen
• Bieten Sie ein hohes Maß an Skalierbarkeit für die Ausstellung von Zertifikaten für Tausende von Geräten (ohne Gebühren pro Zertifikat)
• Gewährleistung der Kontinuität in virtualisierten und Cloud-Umgebungen
• Aktive Unterstützung von Anbietern, um mit der sich verändernden Cloud-Infrastruktur Schritt zu halten

Das Team fand auch die Tatsache sehr wertvoll, dass EJBCA es ihnen ermöglichte, ihr PKI-Programm intern zu implementieren und zu pflegen, während sie gleichzeitig auf das Fachwissen eines Partners zurückgreifen konnten.

Jetzt bietet Erie 1 BOCES PKI als gemeinsam genutzten Service an, indem es EJBCA in seinem Rechenzentrum nutzt. Das Team hat auch einen großen Nutzen in der direkten Integration mit Intune gefunden, die es ermöglicht, Zertifikate für Endbenutzer-Workstations auszustellen, so dass sie sich einfach in den internen drahtlosen Netzwerken von Erie 1 BOCES validieren können. Am Backend verwalten dedizierte EJBCA -Knoten außerdem die Dienste der Validierungsstelle und den Widerruf von Zertifikaten, um den gesamten Lebenszyklus der Zertifikate abzudecken.

Möchten Sie mehr erfahren?

If you’re interested in learning more about how a modern PKI program can help you build trust without boundaries, and how organizations like Erie 1 BOCES have made that vision a reality, click here to watch the full webinar on upgrading your PKI featuring Keyfactor and Erie 1 BOCES.