3 Häufige Risiken bei Wildcard-Zertifikaten, die Sie kennen sollten

SSL/TLS Zertifikate, die von vertrauenswürdigen öffentlichen oder privaten Zertifizierungsstellen (CAs) ausgestellt wurden, werden zur Authentifizierung einer einzelnen Domäne in öffentlich zugänglichen Websites verwendet. Organisationen mit einer Handvoll öffentlicher Domains und Subdomains müssten die gleiche Anzahl von digitalen Zertifikaten ausstellen und verwalten, was die Komplexität des Zertifikatslebenszyklusmanagements erhöht. Die gute Nachricht ist, dass es eine Lösung gibt, um diese Belastung zu umgehen.

Wildcard-Zertifikate versprechen Einfachheit, aber sind sie die Lösung für all unsere Gebete?

Lassen Sie uns mit einer Definition beginnen. Einfach ausgedrückt ist ein Wildcard-Zertifikat ein öffentliches Schlüsselzertifikat, das für mehrere Subdomains verwendet werden kann. Ein Wildcard-Zertifikat, das für https://*.examplecompany.com ausgestellt wurde, kann beispielsweise zur Absicherung aller Subdomains verwendet werden, wie z. B:

• blog.beispielfirma.de
• mobile.beispielfirma.de

Hier kommt der offensichtliche Vorteil der Verwendung von Wildcard-Zertifikaten zum Tragen: Mit einem einzigen digitalen Zertifikat kann ich alle meine öffentlich zugänglichen Subdomains sichern und authentifizieren, ohne dass ich mehrere Zertifikate verwalten muss. Anstatt separate Zertifikate für meine Subdomains zu erwerben, kann ich ein einziges Wildcard-Zertifikat für alle Domains und Subdomains auf mehreren Servern verwenden.

Wildcard-Zertifikate decken jedoch nur eine Ebene von Subdomains ab, da das Sternchen nicht mit Punkten übereinstimmt. In diesem Fall wäre die Domäne resources.blog.keyfactor.com nicht für das Zertifikat gültig. Ebenso wenig ist die nackte Domain keyfactor.com abgedeckt, die als separater Subject Alternate Name aufgenommen werden muss.

SSL Wildcard-Zertifikate können sehr hilfreich für Organisationen sein, die eine Reihe von Subdomains sichern wollen und gleichzeitig Flexibilität suchen. Die wichtigsten Stärken von Wildcard-Zertifikaten sind:

• Sichern Sie unbegrenzte Subdomains: Ein einziges Wildcard-Zertifikat SSL kann beliebig viele Subdomains abdecken, ohne dass Sie für jede Subdomain ein eigenes Zertifikat installieren müssen.
• Einfaches Zertifikatsmanagement: Die effektive Bereitstellung und Verwaltung einzelner SSL Zertifikate zur Sicherung einer wachsenden Anzahl von öffentlich zugänglichen Domänen, Cloud-Workloads und Geräten ist eine gewaltige Aufgabe. Wildcard-Zertifikate machen die Verwaltung von Zertifikaten zu einem Kinderspiel.
• Kosteneinsparungen: Obwohl die Kosten für die Ausstellung eines Wildcard-Zertifikats höher sind als die eines regulären SSL -Zertifikats, ist es eine kostengünstige Option, insbesondere wenn Sie die Gesamtkosten berücksichtigen, die für die Absicherung aller Ihrer Subdomains durch ein eigenes Zertifikat erforderlich sind.
• Flexible und schnelle Implementierungen: Wildcard-Zertifikate sind die perfekte Option, um neue Websites auf neuen Subdomains zu starten, die von Ihrem bestehenden Zertifikat abgedeckt werden können. Sie müssen nicht darauf warten, dass ein neues SSL Zertifikat ausgestellt wird, was Ihnen Zeit spart und die Markteinführung beschleunigt.

Wildcard-Zertifikate werden verwendet, um alle aufgelisteten Domänen mit demselben privaten Schlüssel abzudecken, was die Verwaltung erleichtert. Trotz der Vorteile birgt die Verwendung von Wildcard-Zertifikaten erhebliche Sicherheitsrisiken , da derselbe private Schlüssel in verteilten Systemen verwendet wird, was das Risiko einer unternehmensweiten Kompromittierung erhöht.

Wenn der private Schlüssel eines gewöhnlichen SSL -Zertifikats kompromittiert wird, sind nur die Verbindungen zu den einzelnen im Zertifikat aufgeführten Servern betroffen, und der Schaden lässt sich leicht abmildern. Der private Schlüssel eines Wildcard-Zertifikats hingegen ist ein einziger Punkt für eine vollständige Kompromittierung. Wenn dieser Schlüssel kompromittiert wird, sind alle sicheren Verbindungen zu allen im Zertifikat aufgeführten Servern und Subdomänen gefährdet.

Der obige Punkt wirft ein weiteres Problem auf: Wie können Sie diesen privaten Schlüssel über so viele verteilte Server und Teams hinweg effektiv und sicher verwalten? In der Praxis hat sich gezeigt, dass gestohlene oder anderweitig falsch verwaltete private Schlüssel die Hauptursache dafür sind, dass die Fußspuren von Angreifern maskiert werden und wie legitim aussehen. Der Zugriff auf den privaten Schlüssel eines Wildcard-Zertifikats gibt Angreifern die Möglichkeit, sich als eine beliebige Domain auszugeben, die von dem Wildcard-Zertifikat abgedeckt wird. Darüber hinaus können Cyberkriminelle einen kompromittierten Server nutzen, um bösartige Websites für Phishing-Kampagnen zu hosten. Es braucht nur einen Server, um kompromittiert zu werden, und schon sind alle anderen angreifbar.

Wenn das Wildcard-Zertifikat widerrufen wird, muss der private Schlüssel auf allen Servern, die dieses Zertifikat verwenden, aktualisiert werden. Und diese Aktualisierung muss auf einmal erfolgen, damit der reibungslose Datenfluss nicht unterbrochen wird. Das Gleiche gilt, wenn das Wildcard-Zertifikat abläuft. Die Aktualisierung von widerrufenen oder fast abgelaufenen Wildcard-Zertifikaten ist mit erheblichem Aufwand verbunden, der je nach geografischer Verteilung der betroffenen Server und dem Grad der Transparenz Ihrer Infrastruktur noch größer sein kann. Wenn das Wildcard-Zertifikat nicht rechtzeitig erneuert wird, kann es zu einem erheblichen Ausfall kommen, der die Geschäftskontinuität unterbricht.

Bevor Sie planen, ob Sie Wildcard-Zertifikate verwenden sollen oder nicht, sollten Sie die Ziele definieren, die durch den Einsatz dieser Zertifikate erreicht werden sollen. Wildcard-Zertifikate können in einigen wenigen Fällen sinnvoll eingesetzt werden.

Andererseits sollten Sie auf Produktionssystemen niemals Wildcard-Zertifikate verwenden. Stattdessen sollten Sie sich für domänenspezifische Zertifikate entscheiden, die häufig ausgetauscht werden. Ein kompromittiertes Wildcard-Zertifikat kann schwerwiegende Folgen haben, die durch die Verwendung von kurzlebigen SSL/TLS Zertifikaten abgemildert werden können.

Unabhängig davon, ob Sie Wildcard-Zertifikate verwenden oder nicht, müssen Sie sicherstellen, dass Sie einen Überblick über alle Zertifikate haben, die Ihr Unternehmen besitzt, und Prozesse zur Erneuerung oder zum Ersatz dieser Zertifikate einrichten. Abgesehen davon, dass Sie die Verwendung von Wildcard-Zertifikaten in Ihrem Unternehmen einschränken, müssen Sie Folgendes tun, um ein effektives Zertifikat-Lebenszyklus-Management zu gewährleisten:

• Führen Sie ein genaues und aktuelles Inventar der Zertifikate in Ihrer Umgebung und dokumentieren Sie Schlüssellänge, Hash-Algorithmus, Ablaufdatum, Speicherorte und den Zertifikatsinhaber.
• Stellen Sie sicher, dass die privaten Schlüssel gemäß den besten Praktiken der Branche gespeichert und geschützt werden (d. h. unter Verwendung eines zertifizierten HSM).
•  Automatisieren Sie Prozesse zur Erneuerung, zum Widerruf und zur Bereitstellung von Zertifikaten, um unerwartete Abläufe und Ausfälle zu vermeiden.

Tools zur Automatisierung des Lebenszyklus von Zertifikaten wie Keyfactor Command wurden entwickelt, um diese Herausforderungen zu bewältigen. Das schnelle Wachstum der Anzahl von Schlüsseln und Zertifikaten in Unternehmen hat manuelle und selbst entwickelte Methoden überflüssig gemacht. Bevor Sie sich jedoch nach einer Plattform für das Zertifikatsmanagement umsehen, sollten Sie sicherstellen, dass Sie Ihre Anforderungen dokumentiert haben und dass die in Frage kommende Plattform die richtige Lösung für Ihre Bedürfnisse ist.

Verschaffen Sie sich einen schnellen Überblick darüber, wie Keyfactor Transparenz, Flexibilität und Kontrolle über Ihre Schlüssel und Zertifikate ermöglicht.