- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Implementierung einer Public Key Infrastructure


IoT verändert Sicherheitsdenken: Warum PKI immer wichtiger wird
In den letzten Jahren haben Unternehmen bereits begonnen die Sicherheitskontrollen zu verstärken, die sie für ihre PKI verwenden

- Anzeigen -





Von John Grimm, Senior Director of IoT Security Strategy, Thales eSecurity

Die digitale Transformation hat inzwischen eine Vielzahl von Branchen erreicht. Nicht zuletzt angetrieben durch die rasante Weiterentwicklung des Internet of Things (IoT) und die darin liegenden unternehmerischen Möglichkeiten. Wie etwa den, sich Wettbewerbsvorteile gegenüber der Konkurrenz zu verschaffen. Richtig aufgesetzt haben IoT-Projekte das Potenzial, betriebliche Abläufe zu rationalisieren, neue Umsatzquellen zu erschließen und Dienstleistungen besser auf die Bedürfnisse der Kunden zuzuschneiden. So erheben und sammeln IoT-Geräte Unmengen von Daten, die Firmen analysieren und für sich nutzbar machen können.

Dazu muss allerdings eines gewährleistet sein: Sowohl die Geräte als auch die Daten müssen vertrauenswürdig sein. Sonst hätte es wenig Sinn, sie aufwendig zu analysieren und zueinander in Beziehung zu setzen. Will man die ambitionierten Ziele der digitalen Transformation erreichen, braucht es zwingend eine Vertrauensbasis für IoT-Anwendungen. Eine Technologie, die sich in dieser Hinsicht bereits bewährt hat, wird hier zu einem der zentralen Bausteine: eine auf Best Practices basierende Public Key Infrastructure (PKI).

Thales eSecurity arbeitet bereits seit vier Jahren mit dem Ponemon Institute zusammen um die Trends zu untersuchen, die sich bei der Weiterentwicklung von PKI weltweit beobachten lassen. In diesem Jahr belegt die Studie eindeutig, dass sich das IoT zur maßgeblichen Triebfeder für die PKI entwickelt hat. Für die diesjährige Studie wurden mehr als 1.600 IT- und IT-Sicherheitsfachkräfte weltweit befragt. Die Ergebnisse unterstreichen zweierlei. PKI ist eine der Kerntechnologien, wenn es um Authentifizierung geht und das für eine Vielzahl unterschiedlicher Anwendungsfelder. Und: das Internet of Things ist unzweifelhaft der nächste große Anwendungsbereich. Seit 2015 hat sich der Einfluss des IoT als treibende Kraft für eine Public Key Infrastructure inzwischen mehr als verdoppelt, von 21 Prozent auf aktuell 44 Prozent. Weiterhin hat die Studie ergeben, dass innerhalb der nächsten beiden Jahre annähernd die Hälfte aller IoT-Geräte (42 Prozent) digitale Zertifikate zur Authentifizierung nutzen werden. Angeführt wird der Trend übrigens von Deutschland, gefolgt von den USA und UK.

In den letzten Jahren haben Unternehmen bereits begonnen die Sicherheitskontrollen zu verstärken, die sie für ihre PKI verwenden. Das sind gute Nachrichten für all diejenigen, die bereits getätigte Investitionen auch für anstehende IoT-Implementierungen nutzen wollen. Um die Anzahl von IoT-Geräten zuverlässig zu authentifizieren muss ein Unternehmen dann nicht bei Null anfangen. Vielmehr haben Firmen mit der PKI eine grundlegende und bewährte Technologie an der Hand, die sie aktuell bereits für zentrale Anwendungen verwenden.

Was die Implementierung einer Public Key Infrastructure anbelangt, bleiben allerdings viele der traditionellen Herausforderungen bestehen. Etwa der Mangel an klar zugeordneten Verantwortlichkeiten, den 70 Prozent der Befragten beklagen. Für 73 Prozent der befragten Deutschen sind unklare Verantwortlichkeiten auch die größte Herausforderung beim Ausbringen und Verwalten einer PKI. Dazu kommt der Mangel an Ressourcen und Fachkräften. Interessanterweise kämpfen etliche IoT-Pilotprojekte und Proof-of-Concept-Anwendungen mit ähnlichen Problemen.

Was heißt das alles nun für Unternehmen, die sich vielleicht immer noch schwer tun, ein höheres Sicherheitslevel rund um ihre PKI einzuziehen? Firmen sollten die Ergebnisse ganz klar als Aufruf betrachten jetzt zu handeln. Die Studie zeigt, dass Unternehmen durchschnittlich acht verschiedene Anwendungen PKI-basiert betreiben. Innerhalb der letzten Jahre sind es vor allem Cloud-Anwendungen gewesen und jetzt das IoT, die für neue Herausforderungen bei der PKI-Planung sorgen. Wir können vermutlich davon ausgehen, dass die Entwicklung hinsichtlich von IoT und PKI nach einem ganz ähnlichen Muster abläuft wie die von Cloud Computing und PKI.

Firmen müssen den aktuellen Erfordernissen beim Einsatz von digitalen Zertifikaten Rechnung tragen und sich gleichzeitig für die Zukunft wappnen. Eine Zukunft, die durch Diversifizierung und Größenordnungen bisher unbekannten Ausmaßes gekennzeichnet ist.

Aus welcher Perspektive auch immer man es betrachtet, die IoT-Sicherheit muss dort ansetzen, wo man Geräten und den von ihnen erzeugten Daten vertrauen muss.

Unternehmen setzen digitale Technologien ein um ihre betrieblichen Abläufe zu verbessern, um ihren Kunden einen Mehrwert zu bieten und um Wettbewerbsvorteile für sich zu verbuchen. IoT-Initiativen bilden also das Rückgrat dieser Bestrebungen. Aber es macht keinerlei Sinn die erhobenen Daten zusammenzuführen, zu analysieren oder auf ihrer Basis unternehmerische Entscheidungen zu treffen, wenn nicht sichergestellt ist, dass Gerät und Daten vertrauenswürdig sind. Will man IoT-Anwendungen unternehmensweit sicher und in einem geschützten Umfeld betreiben, braucht man Sicherheitstechniken, die ihre Funktionstüchtigkeit schon seit langem unter Beweis gestellt haben. Wie PKI.
(Thales eSecurity: ra)

eingetragen: 28.10.18
Newsletterlauf: 22.11.18

Thales: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Sieben Punkte zur IoT-Security

    Das Internet der Dinge steckt immer noch in den Kinderschuhen, aber hat sich bereits einen Ruf als ausgewachsenes Sicherheitsrisiko gemacht. Ob Router, Drucker, Smart-TV, Spielzeug oder Waschmaschinen - vernetzte Geräte werden für Cyberkriminelle zum Werkzeug für illegales Krypto-Mining, DDoS-Angriffe bis hin zur Lösegelderpressung durch angedrohte Datenlöschung, wie im Fall des Spielzeugherstellers Spiral Toys. Dessen Datenleck machte 2017 Schlagzeilen, bei dem mehr als 800.000 Nutzer betroffen waren. Die IoT-Malware-Landschaft entwickelt sich stetig weiter, während die Sicherheitsvorkehrungen meist noch rudimentär sind. Das Anfang des Jahres entdeckte Botnet "Hide and Seek" bettet, im Gegensatz zur berüchtigten DDoS-Mirai-Malware, eine Vielzahl von Befehlen wie Datenexfiltration, Code-Ausführung und Interferenz mit dem Betrieb des Geräts ein. Die Sicherheitsrisiken im IoT-Bereich sind Großteils auf das rasante Tempo zurückzuführen, mit dem IoT-Devices weltweit implementiert werden - 20 Milliarden installierte Geräte sind nach Schätzungen von Gartner bis Ende 2020 zu erwarten. Im hart umkämpften Technologiesektor hat der Eifer, als erster mit erschwinglichen IoT-Geräten auf den Markt zu kommen, dazu geführt, dass viele Hersteller selbst einige der grundlegendsten Sicherheitsprinzipien zugunsten schneller Entwicklungszyklen außer Acht gelassen haben.

  • Implementierung einer Public Key Infrastructure

    Die digitale Transformation hat inzwischen eine Vielzahl von Branchen erreicht. Nicht zuletzt angetrieben durch die rasante Weiterentwicklung des Internet of Things (IoT) und die darin liegenden unternehmerischen Möglichkeiten. Wie etwa den, sich Wettbewerbsvorteile gegenüber der Konkurrenz zu verschaffen. Richtig aufgesetzt haben IoT-Projekte das Potenzial, betriebliche Abläufe zu rationalisieren, neue Umsatzquellen zu erschließen und Dienstleistungen besser auf die Bedürfnisse der Kunden zuzuschneiden. So erheben und sammeln IoT-Geräte Unmengen von Daten, die Firmen analysieren und für sich nutzbar machen können. Dazu muss allerdings eines gewährleistet sein: Sowohl die Geräte als auch die Daten müssen vertrauenswürdig sein. Sonst hätte es wenig Sinn, sie aufwendig zu analysieren und zueinander in Beziehung zu setzen. Will man die ambitionierten Ziele der digitalen Transformation erreichen, braucht es zwingend eine Vertrauensbasis für IoT-Anwendungen. Eine Technologie, die sich in dieser Hinsicht bereits bewährt hat, wird hier zu einem der zentralen Bausteine: eine auf Best Practices basierende Public Key Infrastructure (PKI).

  • KI: Kein Ersatz für IT-Sicherheitsteams

    Ob Spear-Phishing, Ransomware oder Zero-Day-Exploits, Netzwerke sind ständig in Gefahr gehackt zu werden. Die wachsende Bedrohung geht einher mit immer komplexeren IT-Landschaften, mehr Daten und weniger IT-Personal. Um ihre Netzwerke unter diesen schwierigen Umständen effektiver zu schützen, setzen viele Unternehmen inzwischen auf Technologien wie KI-basierte Verhaltensüberwachung. Sie nutzt die Möglichkeiten von Datenanalyse und maschinellem Lernen um einen der größten Risikofaktoren im Netzwerk zu minimieren: den Benutzer. Nutzer sind die Einfallstore, die sensible Unternehmensdaten gefährden, sei es ein kompromittiertes Nutzerkonto im Netzwerk, ein Insider-Angriff oder unbedachtes Verhalten eines Mitarbeiters.

  • Cyber-Erpressung auf Bestellung

    CryptoLocker, GoldenEye, Locky, WannaCry - Ransomware hat mit der Geiselnahme von Dateien durch Verschlüsselung in den letzten Jahren eine beachtliche und unrühmliche Karriere hingelegt. Und da sich Kriminelle auch bei Digitalisierungstrends wie as-a-Service-Angeboten nicht lumpen lassen, hat die Untergrundökonomie mit Ransomware-as-a-Service (RaaS) rasch ein lukratives Geschäftsmodell für sich entdeckt, das in kürzester Zeit enormes Wachstum erlebt hat. Das Prinzip ist denkbar einfach - wie in der legalen Wirtschaft sind die Dienstleistungen ganz auf die Bedürfnisse einer möglichst breiten Kundschaft zugeschnitten: Auf Ransomware-as-a-Service-Plattformen können nun auch technisch wenig versierte Kriminelle ins Cyber-Erpressergeschäft einsteigen und sich von Schadware-Entwicklern die entsprechende Service-Leistung gegen Abgabe einer festen Gebühr oder einer Provision basierend auf den Lösegeldeinnahmen besorgen.

  • Investitionen in IT-Sicherheit legitimieren

    Wenn man so oft direkt mit unterschiedlichen Unternehmen und Menschen zu tun hat wie der Vertrieb, erkennt man schnell bestimmte Reaktionsschemata. Ebenso wie zuverlässig wiederkehrende Schwierigkeiten beim Implementieren von IT-Sicherheitsmaßnahmen. Den größten Teil unserer Zeit verbringen wir damit zu erläutern warum Cybersicherheit derart wichtig ist und wie ein Unternehmen von bestimmten Maßnahmen am besten profitiert. Trotzdem erhält man regelmäßig dieselben Antworten: "Ich verstehe absolut wovon Sie sprechen, und ich gebe Ihnen sogar Recht. Nur, wie soll ich die zusätzlichen Ausgaben gegenüber der Geschäftsleitung rechtfertigen?" Es gibt allerdings einige grundlegende Argumente die Kunden helfen, Sicherheitsansätze und Lösungen gegenüber der Geschäftsführung oder anderen Zeichnungsbefugten plausibel zu machen.