- Anzeigen -


Sie sind hier: Home » Markt » Interviews

Herausforderungen in der Verschlüsselung


"Die Wirtschaft kann wahrscheinlich gar nicht abschätzen, welcher Schaden durch unverschlüsselte Kommunikation entsteht"
Für den umfassenden Verschlüsselungsbereich des "Internet der Dinge, IoT" sind insbesondere die "Elliptischen Kurven" in den Krypto-Operationen wichtig

- Anzeigen -





SwissSign steht für Schweizer Qualität, für Sicherheit und für Vertrauen. Als Mitglied wichtiger Zusammenschlüsse beteiligt sich die Zertifizierungsstelle (CA – Certificate Authority) aus der Schweiz rege an der Weiterentwicklung der Sicherheit im Internet. Markus Venetz, Head of Certificate Services bei SwissSign, sprach nun mit der PSW Group, Full-Service Internetprovider mit Schwerpunkt auf IT-Sicherheit, über die Herausforderungen in der Verschlüsselung und Vertrauen im World Wide Web.

Was ist im Jahr 2016 die größte Herausforderung in der Verschlüsselung?

Markus Venetz:
Generell gilt im Jahr 2016 wie in den Jahren zuvor, dass ein Augenmerk auf die Verschlüsselungsalgorithmik und -technologie geworfen werden muss. Stand in 2015 der Wechsel von SHA1 zu SHA2 an, wird SwissSign in den nächsten Jahren beobachten, wann der beste Zeitpunkt für die Einführung von SHA3 erfolgen wird.

Für den umfassenden Verschlüsselungsbereich des "Internet der Dinge, IoT" sind insbesondere die "Elliptischen Kurven" in den Krypto-Operationen wichtig. Hier sind durch den IETF im Januar erstmalig Standards für das Internet festgelegt worden. Aufbauend auf diesen Standards wird nun auch der RFC Standard für TLS bald erweitert und auf allen Plattformen eine einheitliche Nutzung derselben Kurven ermöglichen.

Eine besondere Herausforderung ist, dass viele IoT Geräte fest verdrahtete private Schlüssel haben und sehr häufig alle die gleichen privaten Schlüssel führen. Auch seitens der Industrie ist deshalb diesbezüglich noch einiges an Anstrengung notwendig, damit Verschlüsselung sinnvoll umgesetzt werden kann.

Vielfach ist in Internetforen, in Blogs oder anderen Medien zu lesen, SSL-Zertifikate sollten kostenfrei ausgestellt werden; Validierungsstufen seien lediglich der Versuch von Zertifizierungsstellen, Geld zu kassieren. Wie begegnen Sie diesem Vorwurf?

Venetz:
Die Wertigkeit der Validierung wird primär durch das Bedürfnis des Kunden definiert, welches Risiko zu nehmen er bereit ist. Je höher die Validierungsstufe, desto personalintensiver und wertiger die Identifikation und Sicherheit. Entscheidend gilt es zu präzisieren, dass es hierbei nicht um die Frage von Verschlüsselung und Transportsicherheit geht, sondern dass ein unabhängiger, vertrauenswürdiger Dritter auf Basis geeigneter Prüfung die digitale Identität ausstellt. Die Aufgabe der Zertifikatsdienstanbieter besteht genau darin, als dieser unabhängige Dritte die Identität zu bestätigen.

Wenn bei der Webseite nur die Verschlüsselung und der sichere Transportkanal relevant sind, dann können domänenvalidierte Zertifikate die geeignete Wahl sein. Ist jedoch die Garantie entscheidend, dass der Nutzer sicher sein kann, dass er sich tatsächlich auf der richtigen Webseite einer bestimmten Firma oder Organisation befindet, dann ist ein organisationsvalidiertes oder EV Zertifikat unabdingbar. Kostenfrei bedeutet auch nicht unbedingt ohne Kostenfolgen. So steht z. B. hinter Let’s Encrypt eine Stiftung, die aufgrund vielseitiger Interessen Geld spendet, um den kostenintensiven Betrieb einer Zertifizierungsstelle zu gewährleisten. Fallen die Geldgeber weg, so können auch keine Zertifikate mehr bezogen werden.

Wer selber einmal im Unternehmen eine PKI aufgezogen hat kennt die Aufwände, die alleine bei einer "private PKI" erforderlich sind. Neben Hardware, Backup, Hosting, Schlüsselverwaltung und -erneuerung etc. müssen die Systeme laufend gewartet und geschützt werden. Eine öffentliche CA stellt sich zudem aufgrund Haftungs- und Compliance-Anforderungen einer noch größeren Verantwortung.

So werden die internen Prozesse und Systeme laufend durch Audits geprüft und zertifiziert sowie an die aktuellen Standards der Browser- und Betriebssystemhersteller angepasst.

Wieso lassen sich Ihrer Meinung nach verhältnismäßig wenige Menschen und Unternehmen auf Verschlüsselung ein? Was muss sich ändern, damit Verschlüsselung endlich massentauglich wird?

Venetz:
Verschlüsselung ist vergleichbar mit dem Einbruchsschutz im eigenen Heim. Das Haus wird häufig leider erst dann gesichert, nachdem ein Einbruch stattgefunden hat. Hinzu kommt, dass bei der digitalen Verschlüsselung die Anwendung zur Einbruchssicherung immer noch in vielen Bereichen zu komplex ist. Wir haben festgestellt, dass Firmen die Wichtigkeit der Verschlüsselung erst erkannt haben, nachdem sie ein ungutes Gefühl hatten, weil sie z. B. eine mögliche Kopie ihres Produktes auf einer Messe gesehen hatten. Des Weiteren zeigt sich, dass bei Firmen mit hoher Sensitivität für Verschlüsselung die digitale Transformation einen hohen Stellenwert hat und oft auch zur "Chefsache" erklärt wird.

Der Schlüssel zum Erfolg liegt dabei in einer effektiven Sicherheitspolitik. Das Portfolio der notwendigen Sicherheitsmaßnahmen kostet Geld, deshalb ist es entscheidend, dass der konkrete Nutzen und Mehrwert aufgezeigt werden kann. Gesetzliche Vorgaben wie in Deutschland, wo die Geschäftsführung für den Datenschutz persönlich haftbar gemacht werden kann, untermauern natürlich die Notwendigkeit eines institutionalisierten Sicherheitskonzepts, bei welchem die Verschlüsselung eine signifikante Komponente darstellt.

Ist Verschlüsselung Ihrer Meinung nach Aufgabe der Politik, der Wirtschaft oder des Verbrauchers?

Venetz:
Dies ist meines Erachtens eher eine Frage des "sowohl als auch" als des "entweder oder". Die Politik hat die Aufgabe, ihre Bürger vor Betrug und Missbrauch zu schützen. Das betrifft den persönlichen Datenschutz, den Verbraucherschutz ("sicheres Einkaufen") aber auch die Aufklärung über neue Gefahren im Netz.

Die Wirtschaft wird bei der Verschlüsselung immer das Eigeninteresse vor Augen haben: den Schutz ihrer Daten, ihres Know-hows, der Innovation und des Geschäftsmodells an sich. Zugleich stehen die Wirtschaftlichkeit und damit die Kosten im Fokus. Dies ergibt Chancen und es entwickeln sich daraus immer bessere Verschlüsselungspraktiken oder effizientere Roll-Out Systeme. Damit verringern sich die Aufwände für Setup und Betrieb drastisch und alle profitieren. Die Wirtschaft giert aber auch nach Daten, da diese einen Wert haben und daraus ein äußerst profitables Geschäftsmodell entstanden ist (Stichwort Big Data). Es ist wiederum Aufgabe der Politik, diesen Datenhunger zu zügeln, Monopole zu vermeiden und den gesetzlichen Rahmen zu definieren, um die Bürger zu schützen.

Ähnlich wie beim Eigenheim liegt es aber auch am Verbraucher selbst, sich z. B. über Praktiken des Internetbetrugs zu informieren, dessen Gefahren zu erkennen und zum eigenen Schutz entsprechende Tools, z. B. für die Verschlüsselung, zu nutzen. Und auch als Verbraucher muss man sich immer wieder die Frage stellen, wie viele Daten man von sich unverschlüsselt preisgeben will. Da ist Selbstverantwortung gefragt.

Wie schätzen Sie die Probleme ein, die in der Wirtschaft durch unverschlüsselte Kommunikation entstehen?

Venetz:
Das Problem wird sein, dass die Wirtschaft wahrscheinlich gar nicht abschätzen kann, welcher Schaden durch unverschlüsselte Kommunikation entsteht. Im großen Kontext hat der Fall Snowden eindrücklich gezeigt, welche Dimensionen Überwachungen angenommen haben. Abschließend sind deren Konsequenzen noch nicht absehbar und werden uns noch eine Zeit lang beschäftigen.

So sind auch die wirtschaftlichen Folgen von Kunden, die Opfer von Phishing Mails wurden und sich deswegen auch vom Anbieter abwenden, nur sehr schwer quantifizierbar. Auch Produktpiraterie lässt sich nicht eindeutig auf gestohlene Daten einer unverschlüsselten Kommunikation zurückführen, aber der Zusammenhang ist sicherlich gegeben. Firmen wie Kaspersky, aber auch die Dokumente von Snowden zeigen eindrucksvoll, welche Möglichkeiten zur Datenspionage bereits heute existieren und genutzt werden.
(PSW Group: ra)

eingetragen: 08.05.16
Home & Newsletterlauf: 01.07.16


PSW Group: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Interviews

  • Wissen, Training, Fähigkeiten: überflüssig

    Entwicklern von Malware wird immer häufiger der Prozess gemacht, und die "Blackhat Industry" rückt damit noch von einer weiteren Seite ins Bewusstsein einer breiten Öffentlichkeit. Dazu Fragen an Sascha Dubbel, Senior Sales Engineer bei Cylance.

  • Trend: DDoS-Angriffe in Verbindung mit Erpressung

    Nach den DDoS-Attacken im letzten und im laufenden Jahr äußert sich Marcel Leitel, Security Sales Engineer beim Spezialisten für automatisierte DDoS-Abwehr, Corero Network Security. Seine Einschätzung: "Ja, es sieht ganz so aus als seien DDoS-Angriffe in Verbindung mit Erpressung ein wachsender Trend."

  • Der kriminelle Untergrund im Dark Web

    Den Begriff Dark Web hat jeder schon einmal gehört. Die meisten verstehen darunter eine düstere Unterwelt für Cyberkriminelle, die von den meisten Internetbenutzern möglichst gemieden wird. Doch was genau ist das Dark Web, wie wird es genutzt und welche Auswirkungen hat es auf die Cyber-Sicherheit. Sophos Sicherheitsexperte Chet Wisniewski bringt etwas Licht ins dunkle Netz.

  • DDoS-Trends und Analysis

    Guido Erroi von Corero Network Security beantwortet einige zusätzliche Fragen zum "Corero DDoS Trends Report": "Der aktuelle Corero-Report hat DDoS-Angriffsversuche auf die Netzwerke von Kunden genauer untersucht und hebt insbesondere kurze, häufig stattfindende Angriffe mit geringer Bandbreite hervor. Im Gegensatz zu den schlagzeilenträchtigen Volumenangriffen des letzten Jahres dominiert nämlich ein anderer Attacken-Typus unsere Ergebnisse. Die überwiegende Mehrzahl der Angriffe gegen Corero-Kunden im ersten Quartal 2017 weltweit - nämlich 98 Prozent - hatten lediglich ein Volumen von weniger als 10 Gbps. Dazu kommt, dass nahezu drei Viertel (71 Prozent) der von Corero verhinderten Angriffe 10 Minuten oder weniger dauerten. Insgesamt verzeichneten Corero-Kunden eine durchschnittliche Zahl von 124 DDoS-Angriffen pro Monat was 4,1 Angriffen pro Tag während des ersten Quartals 2017 entspricht. Das ist ein Anstieg von 9 Prozent verglichen mit dem vierten Quartal 2016."

  • Compliance-Anforderungen steigen

    Die Banken- und Finanzenbranche verfügt neben den allgemein geltenden Gesetzen über eigene Branchenregularien, wenn es um die Themen Datenschutz und IT-Sicherheit geht. Jetzt ändert sich die Situation erneut mit der in weniger als einem Jahr in Kraft tretenden EU-Datenschutzgrundverordnung. Dazu hier zwei der wichtigsten Fragen und Antworten von Malcolm Harkins, Chief Security and Trust Officer bei Cylance.