Warum Maschinenidentitäten wichtig sind (und was man dagegen tun kann)

Das Thema der 4. Woche des Cybersecurity Awareness Month, "Cybersecurity-First", bietet IT- und Sicherheitsfachleuten die Gelegenheit, ihre Teams über die Bedeutung der Cybersicherheit aufzuklären. Dieser Blog soll Ihr Unternehmen darüber aufklären, warum Public Key Infrastructure (PKI) und Maschinenidentitäten wichtig sind und welche Rolle sie dabei spielen, ein Unternehmen zu werden, das auf Cybersicherheit setzt.

Wenn Sie im Bereich der Cybersicherheit gearbeitet haben, würden Sie es wahrscheinlich weder als Kunst noch als Wissenschaft bezeichnen. Es ist auch nicht gerade eine Netflix-Dramaserie (denken Sie an Mr. Robot). In Wirklichkeit ist es eine Schinderei. 

Der Schutz von Netzwerken, Geräten und Daten vor Angriffen ist keine leichte Aufgabe, und der Druck, Cyberkriminellen einen Schritt voraus zu sein, wiegt schwer. Manchmal ist es ein Adrenalinstoß, ein anderes Mal kann es banal und repetitiv sein. 

It can involve responding to tickets, searching for anomalies, reviewing logs, working on long-term strategies, evaluating technologies, and most importantly, educating end-users on the importance of cybersecurity (even when it means answering “stupid” questions).

Der Aufbau einer auf Cybersicherheit ausgerichteten Kultur geht weit über Ihren IT-Stack und die Teams, die ihn implementieren, hinaus. Leider konzentrieren sich viele Artikel auf die neueste Technologie (die "Wissenschaft") oder den Mangel an qualifiziertem Personal (die "Kunst") im Bereich der Cybersicherheit, vernachlässigen aber die Bedeutung der Ausbildung, insbesondere für nichttechnische Benutzer und Führungskräfte.

In this blog, we aim to educate teams about an essential but often misunderstood and overlooked component of cybersecurity – machine identities.

The identities you know vs the identities you don’t

Beginnen wir mit etwas Vertrautem - der Identität. Unsere Identität ist alles. Sie erstreckt sich darauf, wer wir sind und worauf wir Zugriff haben. Menschen verlassen sich täglich auf Identitäten, um Auto zu fahren, international zu reisen, Waren und Dienstleistungen zu kaufen und auf alles zuzugreifen, von ihrem Instagram-Konto bis zu ihrem Laptop am Arbeitsplatz oder zu Hause.

Our familiarity with identity means that most IT leaders and practitioners recognize and understand the importance of identity and access management (IAM). It’s why organizations spent nearly 14 billion dollars on IAM in 2021, making it one of the top budget items for information security spending amongst cloud and application security.

Bislang lag der Schwerpunkt des IAM auf dem Schutz von Benutzeridentitäten (oder menschlichen Identitäten). Um die Anforderungen von IAM zu erfüllen, nutzen sie Tools wie Single Sign-On (SSO), Multi-Faktor-Authentifizierung (MFA) und Privileged Access Management (PAM). 

Das Problem ist, dass der Mensch nur ein Teil der Arbeitskräfte ist.

Mehr Maschinen, mehr Identitäten

Maschinen sind heute weitaus zahlreicher als Menschen. Aber weit entfernt von jeder Science-Fiction-Vorstellung einer dystopischen, von Robotern beherrschten Zukunft helfen Maschinen uns Menschen, uns von gefährlichen, zeitraubenden oder einfach nur langweiligen Aufgaben zu befreien, die wir lieber vermeiden würden. 

Diese Maschinen bestehen aus hardware Geräten, wie z. B. mobilen Geräten, IoT/OT-Geräten, Servern und Desktops sowie software-definierten Arbeitslasten, einschließlich Containern, virtuellen Maschinen (VMs), Diensten und Anwendungen.

Just like humans, each machine needs one or more unique identities to authenticate and securely communicate with one another. Unlike their human counterparts, though, machine identities receive far less attention.

According to Gartner, “Commonly deployed IAM tools such as access management (AM), identity governance and administration (IGA), and PAM tools have historically been geared toward the more imminent need for managing human identities. Equal focus must now be paid to the management and governance of machines.”

Handelsware oder kritische Infrastruktur?

Wenn wir anfangen, über die Verwaltung von Maschinenidentitäten wie X.509-Zertifikaten nachzudenken, wird es für die meisten Menschen unübersichtlich. Trotz der weit verbreiteten Verwendung von Schlüsseln und Zertifikaten durch Entwickler, IT-Administratoren, Infrastrukturingenieure usw. ist nur sehr wenig über sie bekannt. 

Das zugrundeliegende Problem ist, dass Rechneridentitäten und die dahinter liegende Public-Key-Infrastruktur(PKI) als "Gebrauchsgegenstände" betrachtet werden. Mit anderen Worten: Jeder in der IT-Organisation braucht ein Zertifikat, aber die meisten wissen nicht, wo sie es beschaffen oder wie sie es richtig konfigurieren und installieren sollen. Verschiedene Teams und Endbenutzer suchen nach der einfachsten und billigsten Lösung, was zu einem unkontrollierten Wildwuchs an Ausstellern(CAs) und Zertifikaten führt.

Was kann passieren? Ob durch einen Gegner, einen Partner, einen Auftragnehmer oder einen internen Mitarbeiter - Zertifikate können leicht falsch konfiguriert und missbraucht werden. Im vergangenen Jahr haben wir mehrere Vorfälle beobachtet, die aus dieser unkontrollierten Ausstellung und Verwendung von Maschinenidentitäten resultierten:

• Fortinet, Palo Alto, Cloudflare, and dozens of leading tech companies experienced service issues when the IdenTrust DST Root CA X3 (used by Let’s Encrypt) expired. 
• NSA warned organizations to avoid using wildcard TLS certificates to minimize the risk from a new form of TLS decryption attack known as “ALPACA.” 
• Fortnite experienced a widespread hours-long outage that started with an expired wildcard TLS certificate installed across hundreds of different production services.
• Microsoft machte ein Problem mit der Schlüsselrotation für einen großflächigen Ausfall verantwortlich, der viele seiner Microsoft 365-Dienste mehr als 14 Stunden lang beeinträchtigte.

Taking control of the situation requires a fundamental shift in mentality. PKI and machine identities are not a “commodity,” they are critical infrastructure that underpins the security and availability of virtually every device and workload in the enterprise.

Tipps und Strategien für den Einstieg

Wie können Sie die Situation in den Griff bekommen? Es beginnt mit Aufklärung und Bewusstseinsbildung, dann mit der Überprüfung Ihrer Technologie und Prozesse. Jeder, von den Endnutzern bis zu den IT-Leitern, muss die Bedeutung und die Rolle von Maschinenidentitäten bei den von ihnen durchgeführten Initiativen besser verstehen. Hier haben wir einige Tipps und Strategien zusammengestellt, die Ihnen den Einstieg erleichtern:

Für PKI- und Sicherheitsteams:

• Teach employees within the IT organization about the importance of certificates and how they should be handled. Create cheat sheets and guides for how to obtain certificates, how to ensure they align with policy, and if automation is not in place, how to properly install and renew their certificates.
• Make sure end-users and application teams have a quick and simple way to obtain certificates. If you cannot fulfill certificate requests efficiently for your users, you can bet they will look elsewhere. Self-signed certificates and insufficient built-in CAs (e.g. Kubernetes Secrets, HashiCorp Vault) should not be used blindly.
• Develop your toolset for visibility and automation. Education is where it starts, but it’s the technology that will drive best practices. Evaluate certificate management solutions that provide discovery and lifecycle automation capabilities.

Für Endnutzer:

• Avoid using wildcard certificates. Sure, wildcard certificates are a short-term solution, but the risk far outweighs the reward. Look no further than the recent NSA warning or the 5+ hour Fortnite outage to see why they should be avoided. Instead, consult your PKI or security team on how to obtain trusted certificates.
• Do not use self-signed certificates on production systems. Self-signed certificates have their place, but not in production or public-facing domains. Improperly handled self-signed certificates can be leveraged by cybercriminals for man-in-the-middle (MitM) attacks to impersonate trust.
• If certificates are a pain, help drive the business case. If you’re frustrated with having to request, install, and renew certificates manually, chances are your PKI/security team is tired of it too. Rather than point fingers, help drive the business case for more automation that can make things easier on everyone.

Für IT-Führungskräfte:

• Make machine identities a priority in your IAM strategy. Shifting the perception of cryptography as a highly technical concept to an already well-understood concept of “identity” will help drive better understanding and standardization across the business.
• Define machine identities and develop a clear plan Help define a clear picture of machine identities in your environment and develop an enterprise-wide policy framework for how they should be used and managed. 
• Help form a crypto center of excellence (CCOE). Once you’ve established a baseline strategy and policy, you’ll need to ensure that your teams develop clear guidance for certificate users. That includes assigning ownership of tools and processes to be used for different types of machine identities.

Zusätzliche Ressourcen

• Read the 2021 State of Machine Identity Management Report and share it with your teams to drive awareness within the business.
• Visit the product website to learn how the Keyfactor Crypto-Agility Platform produces comprehensive visibility, control, and automation for every machine identity.