- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Beschaffung von X.509-Zertifikaten


Sichere beschleunigte IT durch Automatisierung von Schlüsseln und Zertifikaten
Schlüssel und Zertifikate sind die Grundlage der Sicherung moderner SSL/TLS-basierter Datenkommunikationen

- Anzeigen -





Von Carl Bourne, Global Solutions Architect bei Venafi

In diesem Beitrag wird untersucht, wie der Lebenszyklus verschlüsselter, kritischer Assets in den dynamischen und schnellen IT-Umgebungen reibungslos und zentral per Richtlinie geregelt werden kann. Anhand eines sogenannten "Cookbooks" wird über die Beschaffung von X.509-Zertifikaten ein anspruchsvoller Anwendungsfall besprochen, bei dem es um die Frage geht, wie sich Plattformen für Automatisierungsprozesse im Management von digitalen Zertifikaten und kryptographischen Schlüsseln mit dem Chef-DevOps-Framework integrieren lassen. Die in diesem Anwendungsfall behandelten Grundsätze lassen sich einfach in fast alle anderen DvOps-Frameworks implementieren.

Die Kontrolle der Nutzung von Schlüsseln und X.509-Zertifikaten in der dynamischen Welt der Rechner, Container und Micro Services von heute führt zu neuen Herausforderungen, die wiederum ein neues Konzept erfordern. In dieser neuen Welt, die Wert auf schnelle Lieferung von Daten legt, kann Sicherheit nicht einfach mithilfe traditioneller, langsamer IT-Richtlinien und -Prozesse durchgesetzt werden.

Die Bereitstellungsgeschwindigkeit von IT-Services hat sich dramatisch beschleunigt
Geschäftskunden und IT-Experten verlangen neue IT-Services und -Umgebungen, die bedarfs- und zeitgerecht erstellt werden. Sie fordern für "interne" IT-Dienste ähnliche Fähigkeiten und Geschwindigkeiten, wie Amazon AWS und ähnliche Dienste sie bieten. Das Analystenhaus Gartner prognostiziert, dass bis zum Jahr 2017 drei von vier Unternehmen zu einer bi-modalen IT-Struktur übergehen werden, das heißt zu einer IT mit zwei Geschwindigkeiten und unterschiedlichen qualitativen Anforderungen: eine, die vorhandene Apps unterstützt, bei denen Stabilität und Zuverlässigkeit gefordert ist, und eine andere, die schnelle IT für Innovationen und geschäftskritische Projekte liefert. Um diese Forderung zu ermöglichen, führen viele Unternehmen Prozesse und Instrumente ein, die kurzlebige virtuelle Maschinen, Container und Mikro-Services den traditionelleren, langlebigen Computer-Plattformen vorziehen.

Diese neuen Tools und Frameworks ermöglichen zwar mehr Geschwindigkeit und Skalierbarkeit, bieten aber keine zentralisierten Sicherheitsmechanismen. Daher wird bei der Sicherheit oft auf die herkömmliche langsame, manuelle und fehleranfällige Arbeitsweise zurückgegriffen. Schlimmer noch, Sicherheitsrichtlinien und -verfahren werden oft ignoriert, anstatt die Aufgabe einfach nur schnell zu erledigen.

Schlüssel und Zertifikate sind die Grundlage der Sicherung moderner SSL/TLS-basierter Datenkommunikationen
Dieses grundlegende System des Vertrauens, auf dem das Internet basiert, ist durch nichts zu ersetzen und wird es in nächster Zeit auch nicht sein - was bedeutet, dass viele Schlüssel und Zertifikate langfristig eingesetzt werden und ihre Zahl beständig steigen wird.

Schnellunterwegs mit Schlüsseln und Zertifikaten
Der Beschaffungsprozess korrekt ausgestellter Zertifikate fällt für DevOps oftmals in die Kategorie der "SlowOps” veralteter IT und verringert die Geschwindigkeit ganz erheblich. DevOps-Teams arbeiten oft außerhalb der Sicherheitsgrenzen, Richtlinien und Grundsätze der Unternehmen. Diese Abschottung trägt dazu bei, dass die Teams Entwicklungen und neue Innovationen schneller fertig bekommen - und zwar in einer Geschwindigkeit, die mit dem Geschäftstempo Schritt hält. Dies bringt aber potentielle Sicherheitsrisiken und schlechte Praktiken in genau den Umgebungen mit sich, die von ihnen erstellt werden - alles zugunsten der Schnelligkeit.

Hier einige Beispiele dafür, was DevOps-Teams tun könnten, um die Zeit, die sie normalerweise für die Beschaffung von Zertifikaten für ihre Umgebungen benötigen, zu verkürzen.

Ein paar Beispiele für abgekürzte Verfahren sind:
• >> Kein TLS/SSL nutzen
• >> Eigene Zertifizierungsstellen errichten
• >> Selbst-unterzeichnende Zertifikate erstellen
• >> Nicht anerkannte Aussteller von Zertifikaten nutzen
• >> Zertifikate mit schwachen Signatur-Algorithmen erstellen
• >> Zertifikate mit langen Ablauffristen erstellen
• >> Sicherheitsrichtlinien falsch interpretieren oder völlig ignorieren

Solche Plattformenkönnen dagegen so konfiguriert werden, dass sie ihre Workflows und Prozesse gezielt ganz oder teilweise über leicht anzuwendende REST APIs exponiert. Diese APIs können dann von fast allen DevOps direkt genutzt werden, mitsamt kontinuierlicher Integration/Lieferung, automatisiertem Aufbau/Bereitstellung und Container-Lösungen, wie "Chef", "Ansible", "Puppet", "SaltStack", "Hashicorp", "Docker", "Kubernetes" oder"UrbanCode", um nur einige zu nennen.

Fazit: Schnelle Sicherheit mit schneller IT
Solche Plattformen ermöglichen es Unternehmen, die Vorteile einer schnellen IT ohne Beeinträchtigung der Sicherheit zu nutzen. Mit der API können Security-Teams Richtlinien jetzt zentral definieren, und so dafür sorgen, dass DevOps den Sicherheitsrichtlinien und Best Practices ordnungsgemäß entsprechen. Sie machen esDevOps-Teams leicht, Sicherheit von Anfang an korrekt anzuwenden und zu integrieren.

Plattformen wie diese bietenDevOp-Teams folgende Vorteile:
• >> Eindeutige Schlüssel und Zertifikate werden auf Verlangen innerhalb von Sekunden erzeugt
• >> Für DevOps wird die gleiche Plattformverwendet wie für bereits vorhandene Sicherheitsteams und Systemadministratoren
• >> Einheitliche Sicht auf die Sicherheitslage und Compliance bei Integration in Help Desk-Systeme und SIM/SIEM-Umgebungen
• >> Automatisierte Problembehebung und Neuanmeldung bei geänderten Standards und Richtlinien
• >> Automatische Warnmeldungen nach erkannten Anomalien innerhalb wie außerhalb einer Organisation
• >> Praktisch grenzenlose Skalierbarkeit ohne zusätzlichen Verwaltungsaufwand
(Venafi: ra)

eingetragen: 29.04.16
Home & Newsletterlauf: 31.05.16


Venafi: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Internet-Ausfall: Stationärer Handel in der Klemme

    In nur wenigen Bereichen hat sich in den letzten 30 Jahren so viel verändert wie im stationären Handel. Während manche Einzelhändler das Internet immer noch als Bedrohung empfinden, profitiert das Gros von vielen Vorteilen, die das World Wide Web mit sich bringt. Beispiel Kartenzahlungen: Sie wären ohne Internetanbindung gar nicht möglich. Somit ist für Einzelhändler eine kontinuierliche Internetverbindung essenziell, ja gerade überlebenswichtig. Umso schlimmer, wenn das Netz ausfällt. Doch für den unangenehmen Fall der Fälle gibt es gute Lösungen. Ohne Internet sind moderne Verkaufserlebnisse undenkbar: Zu den neueren Entwicklungen im Einzelhandel zählt das so genannte Omni-Channel-Retailing. Dabei nutzen Shops oder Filialen mehrere, vor allem onlinebasierte Kanäle, um dem Kunden ein optimales Verkaufserlebnis zu bieten. So beispielsweise der Reifenwechsel am Auto: Bei größeren Werkstätten und Werkstattketten ist es heute State-of-the-Art, dass der Kunde seine Wunschreifen und Felgen online bestellt, eventuell unterstützt durch eine telefonische Beratung. Nach dem Kauf vereinbart er dann über eine Webseitenschnittstelle gleich den Montagetermin. Die Werkstatt erhält die Terminanfrage in ihrem CRM und bestätigt per E-Mail. Zum Termin liegen die bestellten Reifen in der Werkstatt bereit und werden montiert.

  • Cyber Intelligence - Mehr als ein Trend?

    Cyber Intelligence, auch Cyber Threat Intelligence oder nur Threat Intelligence, ist keine neue Disziplin innerhalb der Informationssicherheit. Die US-amerikanische National Security Alliance hat gemeinsam mit dem Beratungsunternehmen Deloitte bereits 2011 (!) verlautbaren lassen, dass Cyber Intelligence tatsächlich so etwas wie die intelligentere Art und Weise ist, mit Datenschutzverletzungen und Bedrohungsszenarien umzugehen. Zitat: "The consultancy Deloitte deems cyber intelligence as a vastly more sophisticated and full set of threat management tactics (than IT security itself), providing tools to move to a more proactive, over-the-horizon threat awareness posture."

  • Vorschriften im Gesundheitswesen

    Personenbezogene Daten geheim und sicher zu halten, ist im Gesundheitssektor immens wichtig. Mittlerweile ist es bereits 21 Jahre her seit Titel I des Health Insurance Portability and Accountability Act (HIPAA) in den Vereinigten Staaten verabschiedet wurde, um den Krankenversicherungsschutz für Arbeitnehmer und Familien zu gewährleisten. 2003 wurde Titel II als nationaler Standard für elektronische Transaktionen im Gesundheitswesen und nationale Kennzeichnungsvorschriften für Versorger, Krankenversicherungen und Mitarbeiter eingerichtet. Zu diesem Zeitpunkt wurden etliche Datenschutz- und Sicherheitsregeln zum Schutz elektronischer Gesundheitsdaten (e-PHI) definiert. Vor einigen Jahren haben der US-Kongress und das Department of Health and Human Services (Gesundheitsministerium HHS) im Cybersecurity Act von 2015 die Health Care Industry Cybersecurity (HCIC) Task Force eingerichtet. Grund war die wachsende Sorge um Risiken und Bedrohungen der Cybersicherheit für das Gesundheitswesen. Erst vor kurzem hat die Task Force ihre Ergebnisse in einem sehr detaillierten Report on Improving Cybersecurity in the Health Care Industry veröffentlicht. Der Report betont die Dringlichkeit der empfohlenen Maßnahmen angesichts der wachsenden Zahl komplexer Cyberbedrohungen. Das Gesundheitswesen müsse eben diese Maßnahmen zeitnah zum Schutz von Systeme und Patienten umsetzen.

  • Datensicherheit und Datenschutz

    Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät. Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind.

  • Googeln für Hacker

    Google ist die Suchmaschine schlechthin, auch wenn die Datensammelwut des Weltkonzerns aus Mountainview immer wieder kontrovers diskutiert wird. Fast 80 Prozent der Suchanfragen weltweit gehen an Google, während andere Suchmaschinen noch nicht einmal die 10-Prozent-Hürde schaffen. Bei Mobilgeräten liegt der Anteil von Google sogar bei mehr als 96 Prozent. Das ist selbst für Laien keine Überraschung. Weniger verbreitet ist das Wissen, dass Google sich auch bei Hackern großer Beliebtheit erfreut. Verschiedene versteckte Funktionen ermöglichen es Eingeweihten, sehr schnell an umfangreiche Listen potenzieller Opfer zu kommen. Versehentlich freigegebene Dokumente ausspähen, verwundbare Log-in-Seiten finden oder sich in schlecht geschützte Webcams einloggen - Google liefert bequem die einfachsten Ziele. Das ist nicht alles: durch verschiedene Tricks kann sich ein Angreifer quasi hinter der "harmlosen" Suchmaschine verstecken und so gezielt seine Spuren verwischen.