Krypto-Agilität und Automatisierung Probleme beim manuellen IT-Management kryptografischer Assets

Anbieter zum Thema

DigiCert

FTAPI Software GmbH

Kryptografische Assets sind der Generalschlüssel zum Unternehmensnetz und dürfen niemals in die falschen Hände geraten. Mit geleakten oder gestohlenen Signaturschlüsseln könnten Bedrohungsakteure unterschiedlichste Informationen offenlegen. Die Sicht auf sämtliche Kommunikationsdaten erlaubt ihnen letztendlich, die Kontrolle über fremde IT-Umgebungen zu bekommen.

Viele Organisationen sind sich dieser Gefahren nicht bewusst. Sie verwalten kryptografische Assets manuell und riskieren, dass diese verloren, gestohlen oder unerlaubt eingesetzt werden. Aktuelle Beispiele zeigen, wie gefährlich das ein kann

Ende des vergangenen Jahres stellte Microsoft beispielsweise fest, dass 25 Kunden und Partner von externen Attacken betroffen waren. Detaillierte Ermittlungen ergaben, dass die Angreifer — vermutlich die in China ansässige Gruppe Storm-0558 — einen Microsoft-Schlüssel gestohlen hatten und auf die geschäftlichen E-Mail-Server der Opfer zugreifen konnten. Mit dem erbeuteten Schlüssel konnten sie Authentifizierungstoken produzieren, um sich Zugriff auf die Enterprise-Server ihrer Opfer zu verschaffen.

Die Herausforderungen beim Schutz kryptografischer Assets gehen dabei weit über die Sicherheit einer einzelnen Organisation oder Person hinaus und bedrohen eng miteinander vernetzte Geschäftsbeziehungen und Software-Lieferketten insgesamt, die moderne Unternehmensumgebungen kennzeichnen.

So sind Code-Signing-Zertifikate wichtige Bestandteile einer geschützten Entwicklungsumgebung oder Software-Lieferkette. Sie sollen gewährleisten, dass nur vertrauenswürdig erstellter Programmcode zuverlässig, sicher und manipulationsfrei an die richtigen Stellen übertragen wird. Mit falsch signierten Zertifikaten könnten böswillige Akteure allerdings gefährlichen Code einem anderen Partner in der Softwarelieferkette unbemerkt als vertrauenswürdig zuspielen.

Im Jahr 2022 hatte beispielsweise die Ransomware-Gruppe LAPSUS$ den Hersteller von Grafikprozessoren NVIDIA angegriffen und erbeutete Daten in Umlauf gebracht — darunter zwei Code-Signing-Zertifikate des Anbieters. Diese waren zwar mittlerweile abgelaufen, aber mit Blick auf die Rückwärtskompatibilität erlaubte Microsoft weiterhin die Nutzung von Softwaretreibern, die mit älteren Zertifikaten signiert waren. Böswillige Akteure nutzten die Gunst der Stunde und begannen damit, die für abgelaufenen Zertifikate zur Verbreitung von Malware einzusetzen und das Vertrauen des weltweit führenden GPU-Entwicklers zu missbrauchen — sowohl im übertragenen als auch im eigentlichen Wortsinn.

Der Fall legte weitreichende Wechselbeziehungen offen und verdeutlicht, wie sich Angriffe auf eine Organisation auf alle mit ihr verbundenen Geschäftspartner auswirken können. Auf anschauliche Weise zeigt sich die äußerst hohe Sensibilität geschäftlicher Verbindungen, die von solchen Missbrauchsszenarien in Mitleidenschaft gezogen werden. Unter diesem Gesichtspunkt ist der Schutz kryptografischer Assets nicht nur eine Frage der Unternehmenssicherheit, sondern auch der öffentlichen Verantwortung und Integrität einer Marke.

Außerdem belegen solche Beispiele, dass sich kryptografische Assets auf unterschiedlichste Art und Weise kompromittieren lassen. Sie können der Beobachtung wichtiger Mitarbeiter entzogen, mit Malware oder Phishing abgefangen oder durch physischen Zugriff auf relevante Systeme erbeutet werden. Sie können auch verloren gehen oder versehentlich so stark beschädigt werden, dass sie nicht wiederherstellbar sind. Zumeist handelt es sich dabei um menschliches Versagen, aber auch böswillige Aktivitäten oder sogar Naturkatastrophen sind nicht auszuschließen. Weitere Kompromittierungen erfolgen, wenn sich Schlüssel offenlegen oder Schwachstellen der zugrundeliegenden IT-Umgebung ausnutzen lassen. In anderen Fällen sorgen falsche Konfigurationen und Implementierungen, bzw. das fehlerhafte Design von Verschlüsselungssystemen für Gefahr. Die Probleme treten verstärkt dann auf, wenn kryptografische Assets manuell verwaltet werden. Aus diesem Grund sollte das Hauptaugenmerk darauf liegen, solche Risiken von vorneherein zu vermeiden.

Ansonsten drohen bei Nichtbeachtung passender Schutz- und Vorkehrungs­maßnahmen schwerwiegende Folgen. Können Angreifer verschlüsselte Daten einsehen und Kommunikationsverbindungen durchleuchten, wirkt sich das fatal auf die gesamte IT-Umgebung aus. Hacker wären in der Lage, die Kontrolle über wichtige Systeme zu übernehmen, und könnten das digitale Vertrauen in ein Unternehmen zerstören, das über einen langen Zeitraum aufgebaut wurde. Sie könnten Angriffe auslösen und Schadprogramme weiterleiten, aber nach außen trotzdem als vermeintliche Opfer auftreten. Für die betroffenen Unternehmen drohen zudem empfindliche Strafen durch Nichteinhaltung von gesetzlichen oder branchenspezifischen Regularien wie GLBA (Gramm Leach Bliley Act für US-Finanzinstitute), DSGVO (Datenschutz-Grundverordnung der EU) oder PCI-DSS (Payment Card Industry Data Security Standard im Zahlungsverkehr).

Automatisierung

Der Schutz von Assets, die eine gesamte IT-Umgebung absichern sollen, zählt zu den grundlegenden Sicherheitsgrundlagen, die jede Organisation gewährleisten muss. Manuelle Prozesse erschweren diese Aufgabe und zählen zu den Hauptgründen, warum Zertifikate und Schlüssel verloren gehen oder gestohlen werden. In einem Unternehmen kann es Tausende kryptografische Assets geben, welche die Sicherheit unterschiedlichster Personen, Geräte, Technologien, Workloads oder Daten regeln. Manuelle Ansätze zur Bewältigung dieser Aufgabe führen zwangsläufig zu Missmanagement oder Systemabstürzen und damit zu schmerzhaften Ausfallzeiten und Sicherheitsvorfällen.

In der modernen IT-Landschaft mit komplexen und vielschichtigen Prozessen sollten manuelle Abläufe möglichst automatisiert werden. Dieser Prozess beginnt damit, dass alle kryptografischen Assets im Unternehmen erfasst werden, um dann Aufgaben wie Überwachung, Widerruf, Erneuerung und Ausstellung von Zertifikaten mit einem IT-Management-System automatisieren zu können. Auf diese Weise lassen sich Schlüssel schnell wechseln und zuteilen, kryptografische Systeme aktualisieren und patchen, ohne dass Administratoren direkt per Hand eingreifen müssen.

Schon jetzt handelt es sich dabei um ein drängendes Problem, aber der Druck steigt weiter mit der wachsenden Nutzung von Quantum-Computing und neuen Bedrohungen. Das US-amerikanische National Institute of Standards and Technology (NIST) erwartet, dass Quantencomputer schon bald die Mehrzahl kryptografischer Protokolle knacken werden, die aktuell eingesetzt werden. Deshalb wird sich die Art und Weise ändern (müssen), wie mit Verschlüsselung im modernen Unternehmensumfeld verfahren wird. Krypto-Agilität steigt zur Kardinaltugend jeder Organisation auf, um Resilienz im Zeitalter für Quantencomputing nachweisen, Bedrohungen abwehren sowie kryptografische Assets und Algorithmen im laufenden Betrieb austauschen zu können.

Diese Aufgabenstellung ist nur durch Automatisierung realisierbar. In einigen Fällen ist die manuelle Verwaltung kryptografischer Assets noch möglich — aber nicht mehr lange. Unternehmen sollten daher jetzt damit beginnen, die notwendigen Änderungen zum Schutz kritischer Systeme vorzunehmen, um der veränderten Bedrohungslage durch neue Gefahren nicht schutzlos ausgesetzt zu sein.

Über den Autor: Roman Brunner ist GVP EMEA / Geschäftsführer bei DigiCert.

(ID:50066391)