- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Beschaffung von X.509-Zertifikaten


Sichere beschleunigte IT durch Automatisierung von Schlüsseln und Zertifikaten
Schlüssel und Zertifikate sind die Grundlage der Sicherung moderner SSL/TLS-basierter Datenkommunikationen

- Anzeigen -





Von Carl Bourne, Global Solutions Architect bei Venafi

In diesem Beitrag wird untersucht, wie der Lebenszyklus verschlüsselter, kritischer Assets in den dynamischen und schnellen IT-Umgebungen reibungslos und zentral per Richtlinie geregelt werden kann. Anhand eines sogenannten "Cookbooks" wird über die Beschaffung von X.509-Zertifikaten ein anspruchsvoller Anwendungsfall besprochen, bei dem es um die Frage geht, wie sich Plattformen für Automatisierungsprozesse im Management von digitalen Zertifikaten und kryptographischen Schlüsseln mit dem Chef-DevOps-Framework integrieren lassen. Die in diesem Anwendungsfall behandelten Grundsätze lassen sich einfach in fast alle anderen DvOps-Frameworks implementieren.

Die Kontrolle der Nutzung von Schlüsseln und X.509-Zertifikaten in der dynamischen Welt der Rechner, Container und Micro Services von heute führt zu neuen Herausforderungen, die wiederum ein neues Konzept erfordern. In dieser neuen Welt, die Wert auf schnelle Lieferung von Daten legt, kann Sicherheit nicht einfach mithilfe traditioneller, langsamer IT-Richtlinien und -Prozesse durchgesetzt werden.

Die Bereitstellungsgeschwindigkeit von IT-Services hat sich dramatisch beschleunigt
Geschäftskunden und IT-Experten verlangen neue IT-Services und -Umgebungen, die bedarfs- und zeitgerecht erstellt werden. Sie fordern für "interne" IT-Dienste ähnliche Fähigkeiten und Geschwindigkeiten, wie Amazon AWS und ähnliche Dienste sie bieten. Das Analystenhaus Gartner prognostiziert, dass bis zum Jahr 2017 drei von vier Unternehmen zu einer bi-modalen IT-Struktur übergehen werden, das heißt zu einer IT mit zwei Geschwindigkeiten und unterschiedlichen qualitativen Anforderungen: eine, die vorhandene Apps unterstützt, bei denen Stabilität und Zuverlässigkeit gefordert ist, und eine andere, die schnelle IT für Innovationen und geschäftskritische Projekte liefert. Um diese Forderung zu ermöglichen, führen viele Unternehmen Prozesse und Instrumente ein, die kurzlebige virtuelle Maschinen, Container und Mikro-Services den traditionelleren, langlebigen Computer-Plattformen vorziehen.

Diese neuen Tools und Frameworks ermöglichen zwar mehr Geschwindigkeit und Skalierbarkeit, bieten aber keine zentralisierten Sicherheitsmechanismen. Daher wird bei der Sicherheit oft auf die herkömmliche langsame, manuelle und fehleranfällige Arbeitsweise zurückgegriffen. Schlimmer noch, Sicherheitsrichtlinien und -verfahren werden oft ignoriert, anstatt die Aufgabe einfach nur schnell zu erledigen.

Schlüssel und Zertifikate sind die Grundlage der Sicherung moderner SSL/TLS-basierter Datenkommunikationen
Dieses grundlegende System des Vertrauens, auf dem das Internet basiert, ist durch nichts zu ersetzen und wird es in nächster Zeit auch nicht sein - was bedeutet, dass viele Schlüssel und Zertifikate langfristig eingesetzt werden und ihre Zahl beständig steigen wird.

Schnellunterwegs mit Schlüsseln und Zertifikaten
Der Beschaffungsprozess korrekt ausgestellter Zertifikate fällt für DevOps oftmals in die Kategorie der "SlowOps” veralteter IT und verringert die Geschwindigkeit ganz erheblich. DevOps-Teams arbeiten oft außerhalb der Sicherheitsgrenzen, Richtlinien und Grundsätze der Unternehmen. Diese Abschottung trägt dazu bei, dass die Teams Entwicklungen und neue Innovationen schneller fertig bekommen - und zwar in einer Geschwindigkeit, die mit dem Geschäftstempo Schritt hält. Dies bringt aber potentielle Sicherheitsrisiken und schlechte Praktiken in genau den Umgebungen mit sich, die von ihnen erstellt werden - alles zugunsten der Schnelligkeit.

Hier einige Beispiele dafür, was DevOps-Teams tun könnten, um die Zeit, die sie normalerweise für die Beschaffung von Zertifikaten für ihre Umgebungen benötigen, zu verkürzen.

Ein paar Beispiele für abgekürzte Verfahren sind:
• >> Kein TLS/SSL nutzen
• >> Eigene Zertifizierungsstellen errichten
• >> Selbst-unterzeichnende Zertifikate erstellen
• >> Nicht anerkannte Aussteller von Zertifikaten nutzen
• >> Zertifikate mit schwachen Signatur-Algorithmen erstellen
• >> Zertifikate mit langen Ablauffristen erstellen
• >> Sicherheitsrichtlinien falsch interpretieren oder völlig ignorieren

Solche Plattformenkönnen dagegen so konfiguriert werden, dass sie ihre Workflows und Prozesse gezielt ganz oder teilweise über leicht anzuwendende REST APIs exponiert. Diese APIs können dann von fast allen DevOps direkt genutzt werden, mitsamt kontinuierlicher Integration/Lieferung, automatisiertem Aufbau/Bereitstellung und Container-Lösungen, wie "Chef", "Ansible", "Puppet", "SaltStack", "Hashicorp", "Docker", "Kubernetes" oder"UrbanCode", um nur einige zu nennen.

Fazit: Schnelle Sicherheit mit schneller IT
Solche Plattformen ermöglichen es Unternehmen, die Vorteile einer schnellen IT ohne Beeinträchtigung der Sicherheit zu nutzen. Mit der API können Security-Teams Richtlinien jetzt zentral definieren, und so dafür sorgen, dass DevOps den Sicherheitsrichtlinien und Best Practices ordnungsgemäß entsprechen. Sie machen esDevOps-Teams leicht, Sicherheit von Anfang an korrekt anzuwenden und zu integrieren.

Plattformen wie diese bietenDevOp-Teams folgende Vorteile:
• >> Eindeutige Schlüssel und Zertifikate werden auf Verlangen innerhalb von Sekunden erzeugt
• >> Für DevOps wird die gleiche Plattformverwendet wie für bereits vorhandene Sicherheitsteams und Systemadministratoren
• >> Einheitliche Sicht auf die Sicherheitslage und Compliance bei Integration in Help Desk-Systeme und SIM/SIEM-Umgebungen
• >> Automatisierte Problembehebung und Neuanmeldung bei geänderten Standards und Richtlinien
• >> Automatische Warnmeldungen nach erkannten Anomalien innerhalb wie außerhalb einer Organisation
• >> Praktisch grenzenlose Skalierbarkeit ohne zusätzlichen Verwaltungsaufwand
(Venafi: ra)

eingetragen: 29.04.16
Home & Newsletterlauf: 31.05.16


Venafi: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert.

  • Tor-Browser, um IP-Adressen zu verschleiern

    Trotz ausgereifter Sicherheitstechnologien bleiben Anwender für Unternehmen eine empfindliche Schwachstelle, insbesondere deshalb, weil Cyberkriminelle ihre Social Engineering-Angriffe immer weiter verfeinern. Vor allem Phishing zählt zu den Angriffsvektoren, die Unternehmen gegenwärtig Kopfschmerzen bereiten. So werden E-Mails im Namen von Payment-Services, Shopanbietern oder E-Mailservice-Hosts von den kriminellen Hintermännern täuschend echt nachgeahmt, mit dem Ziel, durch das Abfischen von Logindaten weitere sensible, persönliche Daten zu erbeuten. Doch wie sehen die Konsequenzen aus, wenn Nutzerdaten von Mitarbeitern in die falschen Hände geraten und welche Auswirkungen hätte dies auf das Unternehmen? Das Forschungsteam von Bitglass hat versucht, mithilfe eines Experiments unter dem Namen "Cumulus" den Verbreitungswegen illegal erbeuteter Daten auf die Spur zu kommen.

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert. Die IoT-Entwicklung durchdringt mittlerweile alle Facetten unseres Lebens. Entsprechend rasant ist das Innovationstempo in diesem Bereich. Es existieren viele Anwendungen, die klug und ausgereift sind, aber leider auch solche, die das genaue Gegenteil davon sind. Dessen ungeachtet sind die weitaus meisten Anwendungen sehr wirkungsvoll etwa in der Landwirtschaft oder im Gesundheitswesen. Das IoT ist also nicht mehr weg zu denken. Trotzdem mutet die Entwicklung bisweilen so an, als versuche jemand zu rennen bevor er noch überhaupt laufen gelernt hat. Übersetzt heißt das, IoT-Entwickler vernachlässigen eine Kernkomponente unserer vernetzten Welt, die Sicherheit.

  • Mustererkennung umgehen

    Ob Viren, Würmer, Bots, Trojaner oder Keylogger, viele der gängigen Malware-Formen bergen nicht nur ein hohes Schadenspotential, sondern sind auch überaus wandlungsfähig. Ein berüchtigtes Beispiel ist die CryptoWall-Ransomware, mit der Cyberkriminelle nach Schätzung des FBI mehr als 18 Millionen Dollar erbeutet haben. CryptoWall ist ein polymorpher Ransomware-Stamm, der in bekannter Manier Daten auf dem Computer des Opfers verschlüsselt und anschließend Lösegeld erpresst. Der in CryptoWall verwendete polymorphe Builder entwickelt dabei für jedes Angriffsziel eine im Wesentlichen neue Code-Variante, um der Entdeckung durch traditionelle Sicherheitslösungen zu entgehen. Polymorphe Malware ändert ständig ihre identifizierbaren Merkmale, beispielsweise durch Veränderung von Dateinamen und -typen, Verschlüsselung oder Komprimierung. Einige polymorphe Taktiken existieren bereits seit den 1990ern, doch in den letzten zehn Jahren hat sich eine neue Welle aggressiver polymorpher Malware entwickelt.

  • Unterschätztes Risiko Insider-Angriff

    Beim Stichwort Cyber-Bedrohung denkt man häufig an großangelegte Malware-Angriffe wie Ransomware, mit denen Kriminelle versuchen, das Firmennetzwerk zu kompromittieren. Unterschätzt wird jedoch oft eine Gefahr, die bereits im Firmengebäude sitzt: Die Insider-Bedrohung. Insider - seien es unachtsame Angestellte oder böswillige Mitarbeiter, die aus finanziellen oder persönlichen Motiven Daten stehlen oder gar löschen - sind ein enormes Risiko für die Datensicherheit in Unternehmen. Oft haben Angestellte, externe Auftragnehmer und andere Dritte legitimen Zugriff auf sensible Daten, um effektiv und flexibel arbeiten zu können. Dies stellt eine Herausforderung für Sicherheitsteams dar, denn es ist wesentlich schwieriger, Bedrohungen zu erkennen, wenn der betreffende Akteur gültigen Zugriff auf Unternehmensdaten hat. Mit entsprechenden Richtlinien und Technologien kann die Gefahr eines internen Datenverlustes oder -diebstahls jedoch erheblich reduziert werden.