Warum SSH-Schlüsselverwaltung für die moderne Sicherheit wichtig ist

Das Secure-Shell-Protokoll (SSH) ist eine sichere Methode für den Zugriff auf entfernte Systeme und Geräte, Authentifizierung und Verschlüsselung.

SSH verwendet zwar Kryptographie mit öffentlichen Schlüsseln, arbeitet aber traditionell unabhängig von der Public Key Infrastructure (PKI), es sei denn, sie wird um zertifikatsbasierte Authentifizierungsmechanismen erweitert. PKI kann Unternehmen bei der Verwaltung digitaler und maschineller Identitäten durch SSH-Zertifikate helfen, die Benutzer und Geräte für wichtige Aufgaben wie automatisierte Backups, Dateiübertragungen, Remote-Serververwaltung und DevOps-Workflows authentifizieren.

Mit der zunehmenden Anzahl von Remote- und Cloud-basierten Technologien und Architekturen, SSH-Schlüssel für den sicheren Zugang in automatisierten Umgebungen unerlässlich.

SSH-Schlüssel gelten im Allgemeinen als sicherer als Passwörter für diese administrativen und automatisierten Aufgaben. Sie verfügen über eine Public-Private-Key-Kryptografie und sind oft deutlich länger als Passwörter, was es sehr viel schwieriger macht, sie zu erzwingen. 

Cyber-Bedrohungen werden jedoch immer raffinierter und zeigen häufige Schwachstellen von SSH-Schlüsseln auf, wie z. B. unerlaubte Duplizierung und mangelhafte Verwaltung des Lebenszyklus. Um Maschinen und digitale Identitäten wirklich zu schützen, müssen Unternehmen über die manuelle SSH-Schlüsselverwaltung hinausgehen.

Das Problem mit SSH-Schlüsseln

SSH-Schlüssel sind wichtige digitale Identitäten, die für den sicheren Fernzugriff, die Dateiübertragung und automatisierte Arbeitsabläufe verwendet werden. Sie stellen jedoch erhebliche Herausforderungen in Bezug auf Sicherheit und Verwaltung dar. Zu den wichtigsten Herausforderungen bei Schlüsseln gehören:

• Kein definierter Lebenszyklus: Im Gegensatz zu Zertifikaten laufen Schlüssel nicht standardmäßig ab und verfügen über keine eingebauten Mechanismen für den Widerruf oder die Erneuerung, was sie anfällig für langfristige Ausbreitung und Missbrauch macht. Wenn ein Angreifer die Kontrolle über einen Schlüssel erlangt, der vor Jahrzehnten verwendet und nie außer Betrieb genommen wurde, könnte er immer noch denselben Grad an Systemzugang erhalten.
• Dezentrale Verwaltung: Private SSH-Schlüssel werden lokal auf den Geräten gespeichert. Wenn private Schlüssel nicht gesichert sindsind sie anfällig für das Kopieren, Replizieren und die unbefugte Nutzung, insbesondere für den privilegierten Zugriff.
• Eingeschränkte Sichtbarkeit: Die meisten Unternehmen haben keinen umfassenden Überblick darüber, wo ihre Schlüssel gespeichert sind und wie sie verwendet werden. Diese Lücke ermöglicht die Ausbreitung von Schlüsseln und bietet böswilligen Insidern oder schlecht verwalteten Installationen die Möglichkeit, nicht verwaltete Schlüssel auszunutzen.
• Belastung durch manuelle Überwachung: Viele Teams verlassen sich immer noch auf manuelle Ad-hoc-Verfahren, um Schlüssel zu entdecken, zu rotieren und zu widerrufen. Dieser Ansatz ist in modernen Umgebungen nicht skalierbar und führt häufig zu blinden Flecken im Betrieb.

Wenn diese Herausforderungen nicht angegangen werden, stellen nicht verwaltete SSH-Identitäten ein erhebliches Risiko für Ihre digitale Vertrauensumgebung dar und untergraben die Integrität der Authentifizierungsprozesse von Maschinen und Benutzern.

Bei SSH-Schlüsseln mit Root- oder Administrator-Zugriff ist das Risiko sogar noch höher, da sie als Hintertür fungieren können, durch die sich Angreifer neue, vertrauenswürdige Schlüssel ausstellen können, von denen Ihr Unternehmen nichts weiß.

Wie Keyfactor die SSH-Schlüsselverwaltung automatisiert

SSH-Zertifikate (SSH certs) adressieren die inhärenten Risiken von SSH-Schlüsseln durch die Einführung Automatisierung des Lebenszyklus und eingebaute Verfallsdaten, die den langfristigen Schlüsselwildwuchs minimieren und eine regelmäßige Rotation erzwingen.

Dennoch ist es für Unternehmen unerlässlich, eine umfassende Zertifikatsermittlung durchzuführen, um ein vollständiges Inventar aller Zertifikate zu erstellen. Genau wie bei Schlüsseln gehen Unternehmen, die keinen vollständigen Überblick über ihren Zertifikatsbestand haben (in der Regel aufgrund einer manuellen Zertifikatsverwaltung), ein großes Risiko ein, wenn diese unbekannten Zertifikate missbraucht werden.

Zu den Vorteilen von SSH-Zertifikaten und der Automatisierung des Lebenszyklus gehören:

• A zentralisiertes Vertrauensmodell bei dem sich SSH-Zertifikate auf eine Zertifizierungsstelle (CA) angewiesen sind, um Identitäten zu signieren und zu validieren. Dies ersetzt die dezentralisierte Natur der Schlüssel und vereinheitlicht Vertrauensentscheidungen unter einer Autorität.
• Verbesserte Prüfung und Berichterstattung durch standardisierte Metadaten, die mit jeder Identität verknüpft sind und die Transparenz, Compliance und Governance in Ihrer gesamten Infrastruktur unterstützen. Die erweiterten Metadaten-Funktionen der Zertifikate ermöglichen auch granularere, bedingte Zugriffsrichtlinien.
• Skalierbarkeit und Automatisierung, denn SSH-Zertifikate lassen sich problemlos in Automatisierungs- und zentralisierte Sicherheitslösungen integrieren, wodurch manuelle Fehler reduziert und moderne DevOps-Workflows unterstützt werden. Angesichts der zunehmenden Abhängigkeit von der Cloud und der vernetzten Architektur verhindert die Fähigkeit zur Skalierung und Automatisierung der Zertifikatsverwaltung, dass Zertifikate ablaufen oder unberechtigten Zugriff ermöglichen.
• Geringeres Diebstahlsrisiko Das standardisierte Rotationsfenster von SSH-Zertifikaten hält die Zertifikate frisch und hilft Ihrem Unternehmen, die Governance zu gewährleisten und das Risiko der Kompromittierung privater Schlüssel zu verringern.

Keyfactorhat es sich zur Aufgabe gemacht, alle Maschinen und digitalen Identitäten zu sichern und positioniert das SSH-Identitätsmanagement, ob durch Schlüssel oder Zertifikate, als eine wichtige Komponente Ihrer breiteren digitalen Vertrauensstrategie.

Keyfactor Command's SSH-Schlüsselverwaltung Modul hilft Unternehmen, die noch Schlüssel verwenden, indem es die Erkennung, Überwachung und Rotation zentralisiert. Dies hilft dabei, potenzielle Sicherheitslücken in Ihren Schlüsseln zu identifizieren und zu schließen. Inzwischen unterstützt die EJBCA von Keyfactorauch die Automatisierung von SSH-Zertifikaten.

Bewährte Praktiken für SSH-Schlüssel-Sicherheit und Zugriffskontrolle

Zugangskontrollen und -richtlinien erhöhen die allgemeine Sicherheit Ihrer PKI und damit Ihres Unternehmens. Zusätzlich zur Verwendung von Tools wie Command oder EJBCA zur SSH-Schlüssel zu sichern oder sie durch SSH-Zertifikate zu ersetzen, empfehlen wir Ihnen:

• Erzwingen Sie den Zugriff mit den geringsten Rechten, indem Sie jedem Benutzer oder Gerät nur die minimal erforderliche SSH-Zugriffsstufe zuweisen. Dadurch wird sichergestellt, dass nur die Administratoren, die direkt für die Konfiguration und Änderungen verantwortlich sind, die sich auf Ihre Architektur auswirken, den entsprechenden Zugriff erhalten.
• Implementieren Sie eine rollenbasierte Zugriffskontrolle (RBAC) und beschränken Sie den SSH-Zugriff nach IP-Adresse oder Benutzergruppe.
• Deaktivieren Sie die direkte Root-Anmeldung über SSH. Nutzen Sie stattdessen sudo-Privilegien für Verwaltungsaufgaben.
• Dokumentieren Sie die Richtlinien für das SSH-Identitätsmanagement, einschließlich der Lebenszyklusrichtlinien für die Erstellung, die Genehmigung, den Ablauf und den Widerruf von Schlüsseln und Zertifikaten. Enthalten Sie Richtlinien für die Reaktion auf potenzielle unbefugte Zugriffe und andere Cyber-Bedrohungen.
• Sicherstellen, dass die Zugriffsrichtlinien mit folgenden Normen übereinstimmen ISO 27001 und anderen Regelwerken zum Schutz sensibler Daten und digitaler Identitäten entsprechen.

Überwachung und Prüfung

Sie können nur durch die Überwachung und Prüfung von SSH-Aktivitäten sicherstellen, dass Ihre Richtlinien und Kontrollen Ihr Unternehmen schützen.

• Aktivieren Sie die umfassende Protokollierung von SSH-Zugriffsversuchen und erfassen Sie, welche Identitäten (Schlüssel oder Zertifikate) wann und von wo aus verwendet werden. Wenn ein Zugriffsversuch außerhalb der normalen Nutzung erfolgt, markieren Sie den Zugriff zur sofortigen Überprüfung und zum möglichen Entzug des Schlüssels.
• Zentralisieren Sie die Protokollerfassung mit Tools wie Syslog, Splunk oder ELK Stack, um verdächtige SSH-Aktivitäten zu erkennen und darauf zu reagieren.
• Richten Sie Alarme für ungewöhnliche SSH-Aktivitäten ein, z. B. Anmeldungen außerhalb der Geschäftszeiten, von neuen IPs oder mit neu eingerichteten Identitäten.
• Überprüfen Sie regelmäßig die Dateien mit autorisierten Schlüsseln und Zertifikaten, um sicherzustellen, dass nur genehmigte Identitäten verwendet werden, und um ungenutzte oder nicht autorisierte Identitäten zu löschen.
• Nutzen Sie die automatische Identitätsverfolgung, um veraltete, inaktive oder verwaiste SSH-Identitäten aufzuspüren und eine konsistente Rotation und Stilllegung zu gewährleisten.

Erweiterte SSH-Identitätssicherheit

Da sich die Bedrohungen weiterentwickeln, ändern sich auch die Methoden, die Sie zum Schutz Ihrer SSH-Identitäten verwenden sollten. Wir empfehlen Ihnen: 

• Verschlüsseln Sie private SSH-Schlüssel mit starken Passphrasen, um sie vor Brute-Force-Angriffen zu schützen. Passphrasen mit mehr als 14 Zeichen gelten im Allgemeinen als sicher.
• Sichere Zwischenspeicherung entschlüsselter Schlüssel während einer Sitzung, um ein Gleichgewicht zwischen Benutzerfreundlichkeit und Sicherheit herzustellen. Die Schlüssel sollten während der Entschlüsselung nie "offen" liegen gelassen werden.
• Verwenden Sie hardware Identitätsspeicher (wie YubiKeys, TPMs oder Smartcards), um private SSH-Schlüssel in einer nicht exportierbaren Form zu erzeugen und zu schützen. Diese Schlüssel können dann zur Anforderung und Authentifizierung mit SSH-Zertifikaten verwendet werden. Zusammen mit der Biometrie erschweren hardware Identitätsspeicher-Tools Angreifern das Ausnutzen von Schlüsseln oder Zertifikaten erheblich.
• Setzen Sie Richtlinien durch, die die SSH-Authentifizierung auf hardware oder ephemere SSH-Identitäten beschränken, insbesondere für privilegierte Konten und sensible Umgebungen.

Moderne SSH-Identitätssicherheit beginnt mit Automatisierung

Für große Unternehmen, die Tausende oder Zehntausende von Identitäten und damit verbundene SSH-Schlüssel und -Zertifikate verwalten, ist die manuelle SSH-Schlüsselverwaltung einfach nicht skalierbar. Man verliert leicht den Überblick über die Schlüssel oder versäumt es, sie zu widerrufen. Das gefährdet Ihr Unternehmen und sorgt dafür, dass Ihre Sicherheitsteams eher auf abtrünnige Schlüssel reagieren als auf proaktive Sicherheitsmaßnahmen.

Unternehmen sollten vorrangig von SSH-Schlüsseln auf SSH-Zertifikate umsteigen, um einen sicheren, lebenszyklusgesteuerten SSH-Zugang zu gewährleisten. Automatisierung und zentralisierte Vertrauensmodelle, wie sie von Keyfactor Command und EJBCA ermöglicht werden, sind entscheidend für die Sicherung digitaler Identitäten und die Einhaltung von Vorschriften in einer modernen IT-Landschaft.

Behandeln Sie das SSH-Identitätsmanagement als ein Kernelement Ihrer Strategie für digitales Vertrauen und die Sicherheit von Maschinenidentitäten. Implementieren Sie fortschrittliche SSH-Schlüssel- und Identitätssicherheitsrichtlinien und automatisieren Sie diese nach Möglichkeit mit vertrauenswürdigen Tools.

Möchten Sie die Kontrolle über die Sicherheit Ihrer SSH-Schlüssel übernehmen? Verwenden Sie Keyfactor Command können Sie die Schlüsselrotation, die Durchsetzung und die Verwaltung des Lebenszyklus automatisieren, ohne sich um die manuelle Arbeit kümmern zu müssen. Hier erhalten Sie Antworten auf alle Ihre Fragen.