Warum 2023 das Jahr der verlorenen Schlüssel war (und wie man es 2024 besser macht)

Da die Vorhersagen für das Jahr 2024 in dieser Zeit des Jahres schnell und heftig eintreffen, dachte ich, es wäre interessant, auf das Jahr 2023 zurückzublicken, da es einige wichtige Lektionen zu lernen gibt und einige Fehler zu vermeiden sind.

Objektiv betrachtet war 2023 kein gutes Jahr für die Sicherheit. Es gab mehr Angriffe und Sicherheitsverletzungen als je zuvor, was dazu führte, dass eine noch nie dagewesene Menge an Daten und Aufzeichnungen offengelegt wurde. Das Vertrauen in Organisationen ging verloren und der Ruf wurde beschädigt. Darüber hinaus gab es in den letzten zwölf Monaten auch einen deutlichen Anstieg der Malware-Angriffe. 

Why 2023 was “the year of the lost keys“

If I focus more closely on the areas around certificates and PKI, I might call 2023 “the year of the lost keys.” 

One of the primary reasons malware is still installed is because it generally depends on legitimately created code signing keys that are stolen and used to sign the malware. We saw this in cases where Github, Microsoft, and Intel were the targets of abuse to sign either fake drivers or malware. 

But, that is not the worst of it. In my opinion, the most serious case of a “lost key” was the compromise of a so-called “MSA Key” from Microsoft, which resulted in foreign actors gaining access to 25 organizations’ email accounts, including the US Department of State and Commerce. It’s remarkable that these keys were not stored on an HSM! 

While the CA/Browser Forum introduced new measures this year to protect code signing keys by requiring them to be created and stored in hardware, there are still a number of keys that are lying around on servers and desktops that could but used to propagate malware in the next few years.   

Neues Jahr, neues Engagement für die Sicherheit

Machen wir das Jahr 2024 nicht zur Fortsetzung von "Das Jahr der verlorenen Schlüssel". Wie das Sprichwort sagt, ist Vorbeugung oft die beste Medizin. Das bedeutet, dass Unternehmen einen genauen Blick darauf werfen sollten, welche Schlüssel sie haben, wo sie aufbewahrt werden und wie sie gesichert sind. 

Common sense tells us that keeping your house keys under the front doormat (or one of those fake rocks) is not a good approach to securing your home and personal property. Similarly, if your enterprise keys are lying around, you’re just leaving the door open to trouble.

If you’d like to learn how Keyfactor can help you start the new year on securing footing, let’s connect. In the meantime, I hope you have a happy, healthy, (and secure) holiday season.