Thought Leadership
Unternehmen sehen sich einer weltweit vernetzten Welt gegenüber und sind auf eine sichere digitale Kommunikation angewiesen, um ihre geschäftskritischen Daten zu schützen. Die Basis dieser Sicherheit bilden digitale Zertifikate und Public-Key-Infrastrukturen (PKI).
Die heute üblichen hybriden Multi-Cloud-Umgebungen erfordern jedoch einen neuen PKI-Ansatz. Um diesen umzusetzen, müssen Organisationen verstehen, was eine PKI ist und welche Faktoren sie abwägen müssen.
Ganz allgemein wird eine PKI durch eine Reihe von Rollen, Richtlinien, Hardware- und Softwarekomponente und Verfahren definiert, die für das Erstellen und Management von digitalen Zertifikaten sowie der Verwaltung der kryptographischen Schlüssel erforderlich sind. Im wesentlichem ist die Erstellung, Verwaltung, Verteilung, Verwendung, Speicherung und der Widerruf von Zertifikaten zu berücksichtigt, um ihren gesamten Lebenszyklus abzudecken.
Das X.509 Zertifikate verifizieren den Besitzer des korrespondierenden privaten Schlüssels. Sie lassen sich als elektronisches Äquivalent zu einem Ausweis oder Reisepass veranschaulichen. Ein bekanntes Beispiel für eine PKI-basierte Sicherheitskontrolle ist die Verwendung Secure-Socket-Layer-(SSL)-Zertifikate. Dank ihnen können Besucher einer Webseite sicher sein, dass sie mit dem vorgesehenen Empfänger kommunizieren.
Die traditionelle PKI und der dezentrale Ansatz
Die Verlagerung von On-Premises-Strukturen in und um die Erweiterungen durch die Cloud stellt Unternehmen vor neue Herausforderungen. Gerade die Integration in die Infrastruktur von Drittanbietern und die dadurch drohenden Fehlkonfigurationen können zu Sicherheitsrisiken führen. Auch hat sich die Anwendungsdauer der heutzutage durch die PKI ausgestellten Zertifikate verändert und viele bestehende Ansätze können mit dem Volumen an Zertifikaten nur eingeschränkt umgehen.
Viele Unternehmen sind deshalb aus ihrer traditionellen PKI herausgewachsen und müssen daher ihre Infrastruktur neu bewerten und gegebenenfalls neu implementieren oder zumindest die bestehenden umgestalten, um sich anzupassen. Im Wesentlichen müssen sie verstehen, dass heutzutage ein PKI ein dezentrales Vertrauensnetzwerk darstellt, das sich einem Mix an lokalen und Cloud-Umgebungen zusammensetzt.
Was begünstigt den Einsatz einer dezentralen PKI?
Der Wechsel zu einer dezentralen PKI wird durch eine Reihe von Faktoren begünstigt. Einer davon ist ein bereits bestehendes, hybrides Vertrauensmodell. Viele Unternehmen verlassen sich auf eine Mischung aus vertrauenswürdigen CAs von Drittanbietern sowie unternehmensinternen privaten CAs. Gerade durch die sich etablierenden Cloud Strategien in den Organisationen kommt es immer wieder zu der Situation, dass Cloud-Angebot zum Beispiel von AWS, Azure und Google Cloud Platform genutzt werden, die jeweils über eigene integrierte PKI-Funktionen für die Ausstellung von Zertifikaten verfügen. Diese gilt es dann in die eigene Unternehmens-PKI zu integrieren beziehungsweise zu adaptieren.
Die Dezentralisierung der PKI punktet außerdem mit ihrer Verfügbarkeit – diese ist geschäftskritische. Eine dezentrale PKI-Infrastruktur wird in geclusterten, georedundanten oder hochverfügbaren Architekturen eingesetzt. Dadurch wird ein Single Point of Failure vermieden, um eine durchgängige Verfügbarkeit einer PKI für die Ausstellung und den Widerruf von Zertifikaten zu gewährleisten.
Einen weiteren Faktor bilden dezentrale Teams und Abteilungen, weil diese in Unternehmen unterschiedliche Zertifizierungsstellen bevorzugen, um Kosten zu reduzieren oder individuelle Anforderungen und Anwendungsfälle wie Continuous Integration / Continuous Delivery (CI/CD), Containerisierung oder kurzlebige SSL/TLS-Zertifikate abdecken müssen. Eine fehlende Integration für diese Szenarien führt ebenfalls zu einer dezentralen Infrastruktur, die Teams belastet, weil diese jeweils eigene Skripte und Mechanismen zur Nachverfolgung entwickeln müssen.
Best Practices für die Implementierung einer modernen PKI
Bei der Planung, Umsetzung und Erweiterung einer dezentralen PKI müssen Unternehmen mehrere wichtige Aspekte berücksichtigen. Besonders entscheidend ist es, die Anforderungen an das zu erreichenden Vertrauenslevel festzulegen. Unternehmen sollten sich darüber im Klaren sein, wo ihre öffentlichen und privaten Schlüssel gespeichert und angewandt werden, um das von ihnen benötigte Vertrauenslevel sicherzustellen. Das bedeutet auch, dass sie sich Gedanken über ihre PKI machen, die zur Unterstützung dieses Vertrauensmodells erforderlich ist. Dazu gehört, das Vertrauen über verschiedene Silos hinweg zu gewährleisten.
Neben dem benötigten und definierten Sicherheitsniveau ist es ebenso essenziell wichtig für Unternehmen, dass die Anwendungsfälle für Zertifikate klar definiert und erfasst sind. Dazu zählt die Frage, ob es für Testzwecke oder im produktiven Umfeld zum Einsatz kommt. Wichtig ist, zu erfassen, welche Arten von Zertifikaten für welchen Zwecken, mit welchem Volumen und in welchen Anwendungen benötigt werden.
Ebenso sollte der Aspekt der Krypto-Agilität nicht aus dem Auge verloren werden. Das bedeutet, Vorbereitungen und Konzepte zu entwickelt, um jederzeit schnell Umstellungen – von Schlüssellängen bis hin zu Algorithmenwechsel – vornehmen zu können. Dabei spielt die Fähigkeit, Zertifikate im großen Umfang zu sperren und neu auszustellen, eine wesentliche Rolle.
Unterstützung bei der Umsetzung
Die Implementierung und der Betrieb einer PKI dürfen nicht unterschätzt werden, denn es gibt keine Einheitslösung für alle Anwendungsfälle. Hybride Multi-Cloud-Infrastrukturen verlangen oft dezentrale PKI-Umsetzungen, die eine gute Planung voraussetzen.
