Verkürzte Laufzeit von TLS/SSL-Zertifikaten 90-Tage-Zertifikate werden zu mehr Ausfällen führen!

Anbieter zum Thema

Venafi Inc.

Fsas Technologies GmbH

Letztes Jahr veröffentlichte das Chromium-Projekt - ein von Google unterstütztes Open-Source-Browserprojekt - seinen Fahrplan für den Aufbau eines sichereren, schnelleren und stabileren Internets. Darin enthalten sind Empfehlungen zur Verkürzung der Lebensdauer von TLS-Zertifikaten (Transport Layer Security) von 398 auf 90 Tage. Dies war ein Startschuss für die gesamte Branche. Als Betreiber von Chrome hat Google die Macht, kürzere Gültigkeitszeiträume durchzusetzen, indem es sie zur Bedingung macht. Aus dieser Entscheidung könnte ein De-facto-Standard in allen Browsern erwachsen.

Wenn die Änderungen des Chromium-Fahrplans in Kraft treten, wird jedes Unternehmen, das TLS-Zertifikate verwendet, also jedes Unternehmen, das Dienste mit dem Internet verbindet, davon betroffen sein. TLS-Zertifikate sind Maschinenidentitäten, die es IT-Systemen ermöglichen, sicher über das Internet miteinander zu kommunizieren. Wenn sie nicht neu ausgestellt oder ersetzt werden, bevor sie ablaufen, funktioniert der Dienst, mit dem sie verbunden sind, nicht mehr. Dies führt zu sehr kostspieligen Ausfällen, Störungen und erhöhten Sicherheitsrisiken - etwas, das jeder schon einmal mit seinem Browser durch die Fehlermeldung „Verbindung zu nicht vertrauenswürdiger Website kann nicht hergestellt werden“ erlebt hat.

Da sich die Anzahl der Maschinenidentitäten stetig erhöht und die Geschwindigkeit, mit der sie ersetzt werden müssen, zunimmt, drohen Unternehmen Ausfälle und Sicherheitsvorfälle. Um erhebliche finanzielle und rufschädigende Schäden zu vermeiden, müssen Unternehmen einen hohen Automatisierungsgrad in ihre Strategien für Maschinenidentitäten einbauen.

Lebensdauer verkürzt sich weiter

In den letzten Jahren hat sich die Lebensdauer von TLS/SSL-Zertifikaten immer mehr verkürzt. Sie schrumpfte von fünf Jahren auf zwei im Jahr 2018 und dann auf 13 Monate im Jahr 2020. Im Allgemeinen sind kürzere Lebensspannen aus mehreren Gründen gut für die Cybersicherheit. Wenn es einem Bedrohungsakteur gelingt, ein gestohlenes oder kompromittiertes Zertifikat in die Hände zu bekommen, bedeutet dies, dass ihm ein kleineres Zeitfenster zur Verfügung steht, um es auszunutzen. Kürzere Laufzeiten ermutigen auch zu einer regelmäßigeren Schlüsselrotation, als es sonst vielleicht der Fall gewesen wäre, und sie vereinfachen das Widerrufsmanagement. Sie bedeuten auch ein geringeres Risiko für Unternehmen, mit veralteten Kryptoalgorithmen weiterzumachen. Und sie ermutigen Unternehmen, ihre Abhängigkeit von einer einzigen Zertifizierungsstelle (CA) zu verringern.

Eine Lebensdauer von 90 Tagen für Maschinenidentitäten sorgt jedoch für eine erhebliche zusätzliche Belastung für die Sicherheitsteams. Da bewährte Verfahren empfehlen, Zertifikate 30 Tage vor Ablauf zu erneuern, müssten TLS-Zertifikate sechsmal pro Jahr ausgetauscht werden, anstatt wie bisher einmal. Wenn es nicht gelingt, alle Zertifikate zu finden und zu ersetzen, könnte dies zu größeren Ausfällen von Diensten und Anwendungen führen.

Die Belastung wird sogar noch größer werden, wenn das Volumen der TLS/SSL-Zertifikate weiter ansteigt. In dem Maße, wie diese zunehmen, wird auch die Komplexität der Verwaltung von Maschinenidentitäten steigen. In der Zwischenzeit verkompliziert die zunehmende Abhängigkeit von Cloud-Diensten und der Cloud die Probleme im Zusammenhang mit 90-Tage-Zertifikaten - einschließlich der Frage, welche Zertifikate oder Schlüssel ablaufen und wie man diese ändert.

Untersuchungen zeigen, dass die durchschnittliche Anzahl von Maschinenidentitäten pro Unternehmen Ende 2021 bei fast 250.000 lag - und schätzungsweise jährlich um 42 Prozent steigen wird. Für Unternehmen mit mehr als 10.000 Mitarbeitern stieg die Zahl Anfang 2022 auf 320.000 Maschinenidentitäten und könnte sich bis 2025 auf 1,3 Millionen mehr als vervierfachen. Dieses Volumen, das mit der zusätzlichen Belastung der Verwaltung von Maschinenidentitäten mit kürzerer Lebenszeit einhergeht, sind das passende Rezept für steigende Sicherheitsrisiken und Ausfälle.

Wenn Unternehmen nicht in der Lage sind, eine große Anzahl von Erneuerungen pro Jahr effektiv zu verwalten, könnte dies zu größeren Ausfällen und Sicherheitslücken führen. Abgelaufene Zertifikate bedeuten, dass Webbrowser, mobile Anwendungen, APIs und andere Maschinen sie nicht authentifizieren können, wodurch Anwendungen offline gehen. Dies kann dazu führen, dass kundenorientierte Websites und wichtige interne Anwendungen wie E-Mail-Dienste und VPN-Verbindungen nicht mehr funktionieren. Zumindest kann es zu Browserwarnungen auf Websites führen, die Kunden abschrecken und den Webverkehr unerwünschten Zugriffen von Cyberkriminellen aussetzen.

Weitere Studien haben gezeigt, dass 83 Prozent der Unternehmen in den letzten 12 Monaten von einem zertifikatsbedingten Ausfall betroffen waren, wobei ein Viertel (26 Prozent) dieser Unternehmen angab, dass geschäftskritische Systeme davon betroffen waren. Sicherheitsteams müssen mit der Zunahme solcher Vorfälle rechnen, wenn die Lebensdauer von Maschinenidentitäten verkürzt wird.

Verfallene Zertifikate stellen auch ein Risiko für Dritte dar. Bedrohungsakteure können dann Phishing-Kampagnen und Man-in-the-Middle-Angriffe (MITM) einfacher durchführen. Immer mehr Websites, die nicht authentifiziert werden können und über abgelaufene Zertifikate verfügen, sind ein Traum für Hacker. Sie können dann Benutzer dazu bringen, Fehlermeldungen zu akzeptieren und sich direkt zu ihrer Falle durchzuklicken.

Lösungsansatz Automatisierung

Die einzige Möglichkeit, diese Herausforderungen in großem Umfang zu bewältigen, ist die Automatisierung der Verwaltung von Maschinenidentitäten. In dynamischen und kurzlebigen Cloud-nativen Umgebungen ist es unerlässlich, eine Steuerungsebene einzurichten, um den gesamten Lebenszyklus von Maschinenidentitäten zu verwalten und über das Rechenzentrum und mehrere Clouds hinweg zu automatisieren. Unabhängig davon, ob das Unternehmen die Software selber entwickelt, betreibt oder nur anwendet, benötigt es automatisierte Kontrollen, um sicherzustellen, dass alle seine digitalen Assets sicher verbunden, authentifiziert und kommuniziert werden können.

Die Hoffnung bestand bislang darin, dass Technologien wie ACME und Open-Source-Software wie certbot die Automatisierung zum Kinderspiel machen. Die Herausforderung besteht jedoch darin, dass diese Technologien allein nicht die Gewissheit bieten, dass Änderungen vorgenommen wurden, und dass sie nicht in der Lage sind, eine Flotte von automatisierenden Bots zu steuern. Die von einem Bot oder einer Infrastruktur-as-a-Code mit Ansible oder Terraform durchgeführte Automatisierung muss immer eine Rückkopplungsschleife von Erfolg/Misserfolg haben und sollte immer bestätigt werden, während gleichzeitig die Möglichkeit besteht, Änderungen vorzunehmen.

Automatisierung allein ist jedoch kein Allheilmittel. Lösungen für das Maschinen­identitäts­management müssen so konzipiert sein, dass sie eine einheitliche und integrierte Reihe von Funktionen bieten. Dazu gehören die kontinuierliche Erkennung und Inventarisierung von TLS/SSL-Zertifikaten, einschließlich der Angabe, wer die einzelnen Zertifikate besitzt, wo sie installiert sind und wann sie ablaufen. Sie sollten auch eine automatische Erneuerungsfunktion enthalten, um Ausfallzeiten durch abgelaufene Zertifikate zu vermeiden. Und eine kontinuierliche Überwachung und Berichterstattung in Echtzeit, um sicherzustellen, dass alle Zertifikate die 90-tägige Lebensdauer und die damit verbundenen Unternehmensrichtlinien einhalten.

Die besten Tools decken nicht nur diese Grundlagen ab, sondern lassen sich auch über APIs eng mit DevOps-Tools integrieren. Dies ermöglicht die automatische Bereitstellung von Zertifikaten in Entwicklerumgebungen und stellt sicher, dass neue und bestehende Anwendungen die kürzeren Gültigkeitszeiträume strikt einhalten.

Fazit

Die Herausforderungen des Maschinenidentitätsmanagements beschränken sich nicht nur auf die Cloud, aber sie vervielfachen sich inmitten der Komplexität und der schnellen Entwicklung, die diese Umgebungen kennzeichnen. Untersuchungen zeigen, dass ein schlechtes Zertifikatsmanagement bereits eine der drei Hauptursachen für Sicherheitsprobleme in der Cloud ist, die von zwei Fünfteln (39 Prozent) der Unternehmen genannt werden. Verzögerungen und Unterbrechungen bei der digitalen Transformation, negative Kundenerfahrungen und Datenschutzverletzungen sind nur einige der möglichen Auswirkungen.

Unternehmen, die sich durch die digitale Transformation einen Wettbewerbsvorteil verschaffen wollen, stehen mit dem Maschinenidentitätsmanagement bereits vor einer großen Herausforderung. Und sie wird nur noch größer werden, da sich die Lebensdauer von Zertifikaten verkürzt und das Zertifikatsvolumen wächst. Deshalb ist es am besten, schon heute eine automatisierte Kontrollebene einzurichten, um die Sicherheit und Ausfallsicherheit zu gewährleisten, die Unternehmen brauchen, um auch morgen noch erfolgreich zu sein.

Über den Autor: Kevin Bocek ist Chief Innovation Officer bei Venafi.

(ID:49957468)