- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Beschaffung von X.509-Zertifikaten


Sichere beschleunigte IT durch Automatisierung von Schlüsseln und Zertifikaten
Schlüssel und Zertifikate sind die Grundlage der Sicherung moderner SSL/TLS-basierter Datenkommunikationen

- Anzeigen -





Von Carl Bourne, Global Solutions Architect bei Venafi

In diesem Beitrag wird untersucht, wie der Lebenszyklus verschlüsselter, kritischer Assets in den dynamischen und schnellen IT-Umgebungen reibungslos und zentral per Richtlinie geregelt werden kann. Anhand eines sogenannten "Cookbooks" wird über die Beschaffung von X.509-Zertifikaten ein anspruchsvoller Anwendungsfall besprochen, bei dem es um die Frage geht, wie sich Plattformen für Automatisierungsprozesse im Management von digitalen Zertifikaten und kryptographischen Schlüsseln mit dem Chef-DevOps-Framework integrieren lassen. Die in diesem Anwendungsfall behandelten Grundsätze lassen sich einfach in fast alle anderen DvOps-Frameworks implementieren.

Die Kontrolle der Nutzung von Schlüsseln und X.509-Zertifikaten in der dynamischen Welt der Rechner, Container und Micro Services von heute führt zu neuen Herausforderungen, die wiederum ein neues Konzept erfordern. In dieser neuen Welt, die Wert auf schnelle Lieferung von Daten legt, kann Sicherheit nicht einfach mithilfe traditioneller, langsamer IT-Richtlinien und -Prozesse durchgesetzt werden.

Die Bereitstellungsgeschwindigkeit von IT-Services hat sich dramatisch beschleunigt
Geschäftskunden und IT-Experten verlangen neue IT-Services und -Umgebungen, die bedarfs- und zeitgerecht erstellt werden. Sie fordern für "interne" IT-Dienste ähnliche Fähigkeiten und Geschwindigkeiten, wie Amazon AWS und ähnliche Dienste sie bieten. Das Analystenhaus Gartner prognostiziert, dass bis zum Jahr 2017 drei von vier Unternehmen zu einer bi-modalen IT-Struktur übergehen werden, das heißt zu einer IT mit zwei Geschwindigkeiten und unterschiedlichen qualitativen Anforderungen: eine, die vorhandene Apps unterstützt, bei denen Stabilität und Zuverlässigkeit gefordert ist, und eine andere, die schnelle IT für Innovationen und geschäftskritische Projekte liefert. Um diese Forderung zu ermöglichen, führen viele Unternehmen Prozesse und Instrumente ein, die kurzlebige virtuelle Maschinen, Container und Mikro-Services den traditionelleren, langlebigen Computer-Plattformen vorziehen.

Diese neuen Tools und Frameworks ermöglichen zwar mehr Geschwindigkeit und Skalierbarkeit, bieten aber keine zentralisierten Sicherheitsmechanismen. Daher wird bei der Sicherheit oft auf die herkömmliche langsame, manuelle und fehleranfällige Arbeitsweise zurückgegriffen. Schlimmer noch, Sicherheitsrichtlinien und -verfahren werden oft ignoriert, anstatt die Aufgabe einfach nur schnell zu erledigen.

Schlüssel und Zertifikate sind die Grundlage der Sicherung moderner SSL/TLS-basierter Datenkommunikationen
Dieses grundlegende System des Vertrauens, auf dem das Internet basiert, ist durch nichts zu ersetzen und wird es in nächster Zeit auch nicht sein - was bedeutet, dass viele Schlüssel und Zertifikate langfristig eingesetzt werden und ihre Zahl beständig steigen wird.

Schnellunterwegs mit Schlüsseln und Zertifikaten
Der Beschaffungsprozess korrekt ausgestellter Zertifikate fällt für DevOps oftmals in die Kategorie der "SlowOps” veralteter IT und verringert die Geschwindigkeit ganz erheblich. DevOps-Teams arbeiten oft außerhalb der Sicherheitsgrenzen, Richtlinien und Grundsätze der Unternehmen. Diese Abschottung trägt dazu bei, dass die Teams Entwicklungen und neue Innovationen schneller fertig bekommen - und zwar in einer Geschwindigkeit, die mit dem Geschäftstempo Schritt hält. Dies bringt aber potentielle Sicherheitsrisiken und schlechte Praktiken in genau den Umgebungen mit sich, die von ihnen erstellt werden - alles zugunsten der Schnelligkeit.

Hier einige Beispiele dafür, was DevOps-Teams tun könnten, um die Zeit, die sie normalerweise für die Beschaffung von Zertifikaten für ihre Umgebungen benötigen, zu verkürzen.

Ein paar Beispiele für abgekürzte Verfahren sind:
• >> Kein TLS/SSL nutzen
• >> Eigene Zertifizierungsstellen errichten
• >> Selbst-unterzeichnende Zertifikate erstellen
• >> Nicht anerkannte Aussteller von Zertifikaten nutzen
• >> Zertifikate mit schwachen Signatur-Algorithmen erstellen
• >> Zertifikate mit langen Ablauffristen erstellen
• >> Sicherheitsrichtlinien falsch interpretieren oder völlig ignorieren

Solche Plattformenkönnen dagegen so konfiguriert werden, dass sie ihre Workflows und Prozesse gezielt ganz oder teilweise über leicht anzuwendende REST APIs exponiert. Diese APIs können dann von fast allen DevOps direkt genutzt werden, mitsamt kontinuierlicher Integration/Lieferung, automatisiertem Aufbau/Bereitstellung und Container-Lösungen, wie "Chef", "Ansible", "Puppet", "SaltStack", "Hashicorp", "Docker", "Kubernetes" oder"UrbanCode", um nur einige zu nennen.

Fazit: Schnelle Sicherheit mit schneller IT
Solche Plattformen ermöglichen es Unternehmen, die Vorteile einer schnellen IT ohne Beeinträchtigung der Sicherheit zu nutzen. Mit der API können Security-Teams Richtlinien jetzt zentral definieren, und so dafür sorgen, dass DevOps den Sicherheitsrichtlinien und Best Practices ordnungsgemäß entsprechen. Sie machen esDevOps-Teams leicht, Sicherheit von Anfang an korrekt anzuwenden und zu integrieren.

Plattformen wie diese bietenDevOp-Teams folgende Vorteile:
• >> Eindeutige Schlüssel und Zertifikate werden auf Verlangen innerhalb von Sekunden erzeugt
• >> Für DevOps wird die gleiche Plattformverwendet wie für bereits vorhandene Sicherheitsteams und Systemadministratoren
• >> Einheitliche Sicht auf die Sicherheitslage und Compliance bei Integration in Help Desk-Systeme und SIM/SIEM-Umgebungen
• >> Automatisierte Problembehebung und Neuanmeldung bei geänderten Standards und Richtlinien
• >> Automatische Warnmeldungen nach erkannten Anomalien innerhalb wie außerhalb einer Organisation
• >> Praktisch grenzenlose Skalierbarkeit ohne zusätzlichen Verwaltungsaufwand
(Venafi: ra)

eingetragen: 29.04.16
Home & Newsletterlauf: 31.05.16


Venafi: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Sieben Punkte zur IoT-Security

    Das Internet der Dinge steckt immer noch in den Kinderschuhen, aber hat sich bereits einen Ruf als ausgewachsenes Sicherheitsrisiko gemacht. Ob Router, Drucker, Smart-TV, Spielzeug oder Waschmaschinen - vernetzte Geräte werden für Cyberkriminelle zum Werkzeug für illegales Krypto-Mining, DDoS-Angriffe bis hin zur Lösegelderpressung durch angedrohte Datenlöschung, wie im Fall des Spielzeugherstellers Spiral Toys. Dessen Datenleck machte 2017 Schlagzeilen, bei dem mehr als 800.000 Nutzer betroffen waren. Die IoT-Malware-Landschaft entwickelt sich stetig weiter, während die Sicherheitsvorkehrungen meist noch rudimentär sind. Das Anfang des Jahres entdeckte Botnet "Hide and Seek" bettet, im Gegensatz zur berüchtigten DDoS-Mirai-Malware, eine Vielzahl von Befehlen wie Datenexfiltration, Code-Ausführung und Interferenz mit dem Betrieb des Geräts ein. Die Sicherheitsrisiken im IoT-Bereich sind Großteils auf das rasante Tempo zurückzuführen, mit dem IoT-Devices weltweit implementiert werden - 20 Milliarden installierte Geräte sind nach Schätzungen von Gartner bis Ende 2020 zu erwarten. Im hart umkämpften Technologiesektor hat der Eifer, als erster mit erschwinglichen IoT-Geräten auf den Markt zu kommen, dazu geführt, dass viele Hersteller selbst einige der grundlegendsten Sicherheitsprinzipien zugunsten schneller Entwicklungszyklen außer Acht gelassen haben.

  • Implementierung einer Public Key Infrastructure

    Die digitale Transformation hat inzwischen eine Vielzahl von Branchen erreicht. Nicht zuletzt angetrieben durch die rasante Weiterentwicklung des Internet of Things (IoT) und die darin liegenden unternehmerischen Möglichkeiten. Wie etwa den, sich Wettbewerbsvorteile gegenüber der Konkurrenz zu verschaffen. Richtig aufgesetzt haben IoT-Projekte das Potenzial, betriebliche Abläufe zu rationalisieren, neue Umsatzquellen zu erschließen und Dienstleistungen besser auf die Bedürfnisse der Kunden zuzuschneiden. So erheben und sammeln IoT-Geräte Unmengen von Daten, die Firmen analysieren und für sich nutzbar machen können. Dazu muss allerdings eines gewährleistet sein: Sowohl die Geräte als auch die Daten müssen vertrauenswürdig sein. Sonst hätte es wenig Sinn, sie aufwendig zu analysieren und zueinander in Beziehung zu setzen. Will man die ambitionierten Ziele der digitalen Transformation erreichen, braucht es zwingend eine Vertrauensbasis für IoT-Anwendungen. Eine Technologie, die sich in dieser Hinsicht bereits bewährt hat, wird hier zu einem der zentralen Bausteine: eine auf Best Practices basierende Public Key Infrastructure (PKI).

  • KI: Kein Ersatz für IT-Sicherheitsteams

    Ob Spear-Phishing, Ransomware oder Zero-Day-Exploits, Netzwerke sind ständig in Gefahr gehackt zu werden. Die wachsende Bedrohung geht einher mit immer komplexeren IT-Landschaften, mehr Daten und weniger IT-Personal. Um ihre Netzwerke unter diesen schwierigen Umständen effektiver zu schützen, setzen viele Unternehmen inzwischen auf Technologien wie KI-basierte Verhaltensüberwachung. Sie nutzt die Möglichkeiten von Datenanalyse und maschinellem Lernen um einen der größten Risikofaktoren im Netzwerk zu minimieren: den Benutzer. Nutzer sind die Einfallstore, die sensible Unternehmensdaten gefährden, sei es ein kompromittiertes Nutzerkonto im Netzwerk, ein Insider-Angriff oder unbedachtes Verhalten eines Mitarbeiters.

  • Cyber-Erpressung auf Bestellung

    CryptoLocker, GoldenEye, Locky, WannaCry - Ransomware hat mit der Geiselnahme von Dateien durch Verschlüsselung in den letzten Jahren eine beachtliche und unrühmliche Karriere hingelegt. Und da sich Kriminelle auch bei Digitalisierungstrends wie as-a-Service-Angeboten nicht lumpen lassen, hat die Untergrundökonomie mit Ransomware-as-a-Service (RaaS) rasch ein lukratives Geschäftsmodell für sich entdeckt, das in kürzester Zeit enormes Wachstum erlebt hat. Das Prinzip ist denkbar einfach - wie in der legalen Wirtschaft sind die Dienstleistungen ganz auf die Bedürfnisse einer möglichst breiten Kundschaft zugeschnitten: Auf Ransomware-as-a-Service-Plattformen können nun auch technisch wenig versierte Kriminelle ins Cyber-Erpressergeschäft einsteigen und sich von Schadware-Entwicklern die entsprechende Service-Leistung gegen Abgabe einer festen Gebühr oder einer Provision basierend auf den Lösegeldeinnahmen besorgen.

  • Investitionen in IT-Sicherheit legitimieren

    Wenn man so oft direkt mit unterschiedlichen Unternehmen und Menschen zu tun hat wie der Vertrieb, erkennt man schnell bestimmte Reaktionsschemata. Ebenso wie zuverlässig wiederkehrende Schwierigkeiten beim Implementieren von IT-Sicherheitsmaßnahmen. Den größten Teil unserer Zeit verbringen wir damit zu erläutern warum Cybersicherheit derart wichtig ist und wie ein Unternehmen von bestimmten Maßnahmen am besten profitiert. Trotzdem erhält man regelmäßig dieselben Antworten: "Ich verstehe absolut wovon Sie sprechen, und ich gebe Ihnen sogar Recht. Nur, wie soll ich die zusätzlichen Ausgaben gegenüber der Geschäftsleitung rechtfertigen?" Es gibt allerdings einige grundlegende Argumente die Kunden helfen, Sicherheitsansätze und Lösungen gegenüber der Geschäftsführung oder anderen Zeichnungsbefugten plausibel zu machen.