gesponsertNeuregelungen sorgen für Hürden Die logistischen Herausforderungen kürzerer Zertifikatslebenszyklen

Gesponsert von

GMO GlobalSign Ltd.

Die Verkürzung des Lebenszyklus digitaler Zertifikate bleibt weiterhin ein Thema. Da Google weiterhin auf einen 90-Tage-Lebenszyklus abzielt und Apple mit seinem Plan nachzieht, den Lebenszyklus bis 2027 auf 47 Tage zu verkürzen, geht die Zertifikatsverwaltung deutlich zu immer häufigeren Erneuerungen.

Das bedeutet erhebliche Veränderungen für die Zertifikatsverwaltung von Unternehmen – und eine noch größere Herausforderung für kleinere Unternehmen, die versuchen, durch manuelle Erneuerung mit den neuen Vorgaben Schritt zu halten. Die häufigere Erneuerung bedeutet nicht nur mehr Zeit und Aufwand, sondern sie erhöht auch das Risiko menschlicher Fehler. Durch eine kürzere Lebensdauer wird der Vorgang letztendlich aufgrund der hohen Anzahl der Zertifikate und der häufigen Überprüfung für jedes Unternehmen unüberschaubar. Bei kleinen und mittleren Unternehmen wird das jedoch besonders schnell der Fall sein.

Daher ist die Automatisierung die einzige praktikable Lösung. Durch die Automatisierung der Zertifikatsverwaltung lassen sich die mit manuellen Erneuerungen verbundenen Risiken verringern. Und vor allem muss das Personal weniger Zeit für manuelle Aufgaben aufwenden, wodurch viel Arbeitskraft und Ressourcen für wichtigere Aufgaben frei werden. Allerdings bringt auch die Automatisierung gewisse Herausforderungen mit sich, beispielsweise in Bezug auf Skalierbarkeit und Integration in vorhandene Systeme.

Der Trend zur Verkürzung von Zertifikatslaufzeiten

Früher waren digitale Zertifikate mehrere Jahre gültig, doch dieser Wert wird immer kleiner. Derzeit beträgt die maximale Gültigkeitsdauer für öffentliche SSL/TLS-Zertifikate noch 398 Tage. Aber große Akteure der Branche wie Google und Apple drängen schon seit einiger Zeit auf kürzere Laufzeiten. Googles Roadmap „Moving Forward, Together“ hat das Ziel, die maximale Gültigkeitsdauer für öffentliche SSL/TLS-Zertifikate auf nur 90 Tage zu reduzieren. Die Motivation dahinter liegt in der Notwendigkeit der Automatisierung und Krypto-Agilität. Denn diese Faktoren sind von entscheidender Bedeutung für die Stärkung der Sicherheitslage von Unternehmen und die Vorbereitung auf die sich weiterentwickelnde (und immer dichter werdende) PKI-Landschaft sowie für das unvermeidliche Entstehen der Post-Quanten-Kryptographie.

Auch Apple hat sich dieser Bewegung angeschlossen und bei einem Treffen des CA/Browser Forums Pläne vorgestellt, die eine schrittweise Verkürzung der maximalen Gültigkeit öffentlicher SSL/TLS-Zertifikate auf 47 Tage bis 2027 vorsehen. Wenn dieser Vorschlag angenommen wird, werden sich der Umgang und die Verwaltung digitaler Zertifikate durch Unternehmen drastisch verändern. Der vorgeschlagene Zeitplan sieht schrittweise Verkürzungen vor. Diese beginnen mit einer maximalen Gültigkeit von 200 Tagen im Jahr 2025, dann 100 Tagen im Jahr 2026 und schließlich 47 Tagen bis April 2027. Noch deutlichere Verkürzungen sollen für die DCV-Wiederverwendungsdauer gelten, die bis September 2027 auf 10 Tage gesenkt werden soll.

Der Grund für diese Änderung aus Sicherheitsperspektive ist, dass kürzere Gültigkeitszeiträume die Richtigkeit und Aktualität der Domäneninhaberinformationen gewährleisten, sofern sie rechtzeitig erneuert werden. Das verringert das Risiko von Verstößen oder Beeinträchtigungen durch eine veraltete Verschlüsselung. Zudem könnte man argumentieren, dass Unternehmen durch die Verkürzung der Gültigkeitsdauer eher wachsam bleiben, da sie sich häufiger um ihre Zertifikate kümmern müssen und so die Wahrscheinlichkeit von Verstößen durch veraltete oder falsch ausgestellte Zertifikate sinkt. Allerdings gibt es auch Bedenken hinsichtlich erheblicher logistischer Herausforderungen. Das betrifft insbesondere kleinere Unternehmen, denen möglicherweise die Ressourcen für häufige manuelle Verlängerungen fehlen.

Logistische Herausforderungen für Unternehmen

Die erhöhte Erneuerungsfrequenz setzt die Teams der Bereiche IT, PKI, Sicherheit und DevOps enorm unter Druck. Insbesondere für kleinere Teams und Unternehmen wird es schwieriger den Überblick über ablaufende Zertifikate zu behalten. Das manuelle Verfolgen und Erneuern von Hunderten bis Tausenden von Zertifikaten alle paar Wochen wird – sofern es überhaupt möglich ist – zu einer stressigen und fehleranfälligen Angelegenheit.

Eine der größten Herausforderungen ist die enorme Menge an Zertifikaten. Durch die wachsende Anzahl digitaler Zertifikate steigt auch das Risiko zertifikatsbezogener Ausfälle. Diese Ausfälle können zu Dienstunterbrechungen und Umsatzeinbußen führen und stellen ein erhebliches Sicherheits- und Reputationsrisiko dar. Aufgrund der Pflicht zur häufigeren Erneuerung müssen die IT-Teams die Ablaufdaten ständig im Auge behalten und rechtzeitig reagieren. Das verbraucht ihre Ressourcen und es kann dazu kommen, dass es einfach nicht mehr möglich ist, die Zertifikate rechtzeitig zu erneuern und gleichzeitig andere Aufgaben zu erledigen.

Dadurch entsteht noch mehr Druck und das Risiko manueller Fehler nimmt entsprechend zu. Wenn bei der Erneuerung Fristen verpasst oder Konfigurationsfehler gemacht werden, können die Zertifikate ablaufen und die entsprechenden Dienste ausfallen. Das ist vor allem für kleinere Unternehmen besorgniserregend, die keine eigenen Teams für die Zertifikatsverwaltung haben und dadurch anfälliger für solche Risiken sind.

Die Tatsache, dass gleichzeitig noch Branchenstandards und -vorschriften einzuhalten sind, macht die Sache noch schwieriger. Unternehmen müssen dafür sorgen, dass ihre Zertifikatsverwaltung den erforderlichen Sicherheitsstandards entspricht. Ohne die richtigen Tools und das richtige Fachwissen kann das eine echte Herausforderung sein und die ganze Aufgabe noch komplexer machen.

Die Rolle der Automatisierung bei der Verwaltung von Zertifikaten

Angesichts der logistischen Herausforderungen durch die kürzere Lebensdauer von Zertifikaten können Unternehmen nur durch Automatisierung mit den Entwicklungen Schritt halten. Die Automatisierung optimiert den gesamten Erneuerungsprozess, von der Verfolgung bevorstehender Ablaufdaten über die Benachrichtigung der zuständigen Personen, die Durchführung der Domain Control Validation (DCV) und die Ausstellung des Zertifikats bis hin zur erneuten Bereitstellung der Zertifikate für den richtigen Endpunkt. Dieser Ansatz verringert nicht nur das Risiko menschlicher Fehler, sondern er gibt auch IT-Ressourcen für strategischere Initiativen frei.

Unternehmen werden sich an die Verkürzung der Lebenszyklen anpassen müssen, indem sie automatisierte Lösungen einsetzen, um ihre Zertifikate angemessen zu verwalten. Das erhöht einerseits die Sicherheit, da menschliche Fehler reduziert werden, aber vor allem können Unternehmen besser mit den Veränderungen der digitalen Landschaft mithalten, ohne ihre Betriebsabläufe zu beeinträchtigen. Dabei die Unternehmen stehen jedoch vor einer Hürde in Bezug auf die Einführung der Automatisierung. Unternehmen müssen zwar automatisieren, aber Automatisierungsplattformen lassen sich nicht immer problemlos in vorhandene Systeme integrieren. Und es können nicht alle Automatisierungslösungen den Anforderungen eines Unternehmens gerecht werden. Daher sind skalierbare, leicht integrierbare Plattformen nötig, mit denen Unternehmen die Art der Bereitstellung ihrer Zertifikate schnell ändern können.

Das ACME-Protokoll und Automatisierungsplattformen

Ein Beispiel für eine solche Plattform, die sehr erfolgreich ist, ist das ACME-Protokoll (Automatic Certificate Management Environment). ACME ist ein Open-Source-Protokoll, das die Ausstellung, Erneuerung und den Widerruf von Zertifikaten automatisiert. Dadurch können Unternehmen ihre digitalen Zertifikate einfacher – und ohne manuelle Eingriffe – verwalten. Davon profitieren insbesondere kleinere Unternehmen, denen möglicherweise die Ressourcen für die manuelle Zertifikatsverwaltung fehlen.

So funktioniert ACME

ACME automatisiert die Interaktionen zwischen Zertifizierungsstellen (CAs) und Webservern und stellt dadurch sicher, dass Zertifikate ohne manuelles Eingreifen ausgestellt und erneuert werden. Dies sind die Einzelschritte des ACME-Prozesses:

• 1. Kontoregistrierung: Der Kunde registriert ein Konto bei der CA, gibt seine Kontaktinformationen an und stimmt den Servicebedingungen zu.

• 2. Domainvalidierung: Der Kunde weist die Kontrolle über die Domäne nach, indem er auf die von der CA ausgegebenen Aufgaben reagiert. Gängige Methoden hier sind HTTP-01 (Platzieren einer Datei auf dem Webserver) und DNS-01 (Hinzufügen eines DNS-Eintrags).

• 3. Zertifikatsanforderung: Sobald die Kontrolle über die Domäne überprüft wurde, sendet der Kunde eine Zertifikatsignieranforderung (Certificate Signing Request, CSR) an die CA.

• 4. Zertifikatsausstellung: Die CA stellt das Zertifikat aus, das der Kunde dann auf seinem Server installiert.

• 5. Erneuerung: Der Kunde wiederholt den Validierungsprozess regelmäßig, damit Zertifikate erneuert werden, bevor sie ablaufen.

Durch das Verständnis und die Implementierung des ACME-Protokolls und ähnlicher Tools können Unternehmen die logistischen Herausforderungen durch kürzere Zertifikatslebenszyklen bewältigen und so ihre Sicherheit und betriebliche Effizienz verbessern. Das erfordert zwar einen gewissen Aufwand bei der Implementierung der Technologie und durch Schulungen, aber langfristig bieten weniger Risiken und mehr Effizienz deutliche Vorteile.

Informieren Sie sich über Lebenszyklustrends

Die aktuellen Trends bedeuten, dass sich die Zertifikatslebenszyklen verkürzen werden. Unternehmen müssen sich daher an diesen Trend anpassen. Die Verkürzung der Gültigkeitsdauer zunächst auf 90 und dann auf 47 Tage stellt eine erhebliche logistische Herausforderung dar. Das betrifft insbesondere Unternehmen, die nicht über ausreichend viele Arbeitskräfte verfügen, um die Zertifikate so häufig zu aktualisieren. Die Auswirkungen auf die digitale Sicherheitslandschaft bleiben abzuwarten. Unternehmen sollten jedoch jetzt mit der Implementierung von Automatisierungslösungen beginnen, um für die Herausforderungen gewappnet zu sein.

(ID:50246172)