Aktuelles, Branche, Interviews - geschrieben von cp am Donnerstag, Januar 24, 2019 17:06 - noch keine Kommentare
Zertifikatsmanagement muss automatisiert und skalierbar sein
Sicherheitszertifikate wesentliche Voraussetzung für den Aufbau vertrauenswürdiger Netzwerke
[datensicherheit.de, 24.01.2019] Über den Umgang und Bedeutung von Sicherheitszertifikaten sprach Carsten J. Pinnow, Herausgeber und Chefredakteur von datensicherheit.de (ds) mit Darron Gibbard, Chief Technical Security Officer EMEA North bei Qualys.
ds: Wie wichtig sind Software-Zertifikate in Netzwerken? Ist das softwaredefinierte Netzwerk schwieriger zu schützen?
Gibbard: Das Problem ist hier nicht die zunehmende Software-Nutzung an sich, sondern dass die Sicherheitsmaßnahmen schwer zu skalieren sind. Sicherheitszertifikate sind eine wesentliche Voraussetzung für den Aufbau vertrauenswürdiger Netzwerke, und sie müssen stets auf dem neuesten Stand gehalten werden. Problematisch wird das, wenn Sie Millionen von Zertifikaten haben, die alle verfolgt und aktuell gehalten werden müssen. Hier kommt es schnell zu Versäumnissen, vor allem, wenn auch Hardware oder Software von Drittanbietern oder externe Dienstleister mit im Spiel sind.
ds: Was könnte das für die Zukunft bedeuten? Mit welchen Konsequenzen müssen wir rechnen?
Gibbard: Für kritische Infrastrukturen muss vor allem ein erstklassiges Verfahren angewandt werden, das die richtigen Grundlagen schafft. Andernfalls können sich eigentlich geringfügige Probleme auf breitere Infrastrukturen und Dienste auswirken.
Wir müssen diese Dienste als Gesamtheit betrachten, von ihren einzelnen Komponenten bis hin zu den Services, die die Benutzer am Ende erhalten. Wenn nicht sämtliche Komponenten effektiv verwaltet und abgesichert werden, besteht das Risiko, dass es künftig vermehrt zu Ausfällen kommt.
Darron Gibbard, Chief Technical Security Officer EMEA North bei Qualys
ds: Wie lässt sich das verhindern?
Gibbard: Zertifikatsmanagement ist eine wichtige, ja unerlässliche Aufgabe. Wenn man sie automatisiert und damit skalierbar macht, kann man die Verwaltung optimieren und menschliche Fehler vermeiden.
Wichtige Schritte, um Problemen vorzubeugen:
- Schwachstellen bei TLS/SSL-Zertifikaten laufend ausräumen: Sie müssen mit verschiedenen Fehlkonfigurationen rechnen, wie etwa fehlenden Feldern, Nutzung interner Namen, Verwendung überholter Hash-Algorithmen oder schwacher Verschlüsselung. Wenn die Zertifikate in das übergreifende Schwachstellenmanagement-Programm einbezogen werden, lassen sich solche Schwächen wirksam beheben. Sehr häufig werden die Zertifikatsserver jedoch aus Gründen der Sensibilität und Verfügbarkeit aus dem allgemeinen Schwachstellenmanagement ausgeklammert. Ein Sicherheitsmanager braucht Produkte, die alle Schwachstellen laufend erkennen, und muss dafür sorgen, dass die Schwachstellenmanagement-Lösung auch auf die Zertifikatsserver Zugriff hat.
- Alle Zertifikate in Ihrem Netzwerk ermitteln: Wie oben bereits erwähnt, ist es wichtig, die Zertifikatsserver in Ihre Programme für Asset- und Schwachstellenmanagement einzubeziehen. Unternehmen, die Tausende von Zertifikaten haben, können jedoch nicht jedes einzelne Zertifikat manuell genau überprüfen. Außerdem bietet ein solches Verfahren keine Garantie, dass wirklich alle Zertifikate in Ihrer Umgebung erfasst werden. Unternehmen haben oft keinen richtigen Überblick darüber, wie viele Zertifikate sie eigentlich haben, wo diese installiert sind und ob sie noch richtig konfiguriert sind. Hier können automatisierte Tools helfen, die auf einfache Weise Übersicht über alle Zertifikate in einer Umgebung vermitteln.
- Den Ablauf der Zertifikate verwalten: Eine weitere Hauptschwierigkeit bei der Zertifikatsverwaltung besteht darin, den Ablauf der Zertifikate zu überwachen. Wenn Sie alle vorhandenen Zertifikate ermittelt haben und deren Ablauf dann mithilfe von Spreadsheets verfolgen müssen, ist die Fehlergefahr hoch, und Zertifikate werden möglicherweise nicht rechtzeitig erneuert. Sie benötigen also Lösungen, die abgelaufene und ablaufende Zertifikate direkt auf der Konsole sichtbar machen und dafür sorgen, dass keine kritischen Geschäftsfunktionen beeinträchtigt werden können. Zugleich muss verhindert werden, dass Wildcard-Zertifikate Geschäftsabläufe stören, die von einer sicheren Kommunikation mit authentifizierten Partnern und Kunden abhängig sind.
Weitere Informationen zum Thema:
datensicherheit.de, 11.09.2018
Fraunhofer SIT zur Fälschung von Webzertifikaten
datensicherheit.de, 18.07.2016
Phishing-Websites können gültige SSL/TLS-Zertifikate missbrauchen
Aktuelles, Experten - Aug. 15, 2025 0:20 - noch keine Kommentare
Gefragte BfDI-Informationsbroschüre wurde aktualisiert
weitere Beiträge in Experten
- Gemischt: eco-Kommentar zur 100-Tage-Bilanz der neuen Bundesregierung
- Humanoide Roboter: Ergänzung und Erweiterung bestehender Technologien statt deren Ersatz
- Abu Dhabi equips „The Games of the Future 2025“ with a range of phygital disciplines
- „The Games of the Future 2025″: Abu Dhabi rüstet Spiele der Zukunft 2025 mit einer Reihe Phygital-Disziplinen aus
- 13. Expanded Conference in Linz: Erneut Schaufenster der internationalen digitalen Kunst- und Forschungsszene
Aktuelles, Branche, Studien - Aug. 16, 2025 16:53 - noch keine Kommentare
Mehr digitale Souveränität und Resilienz – Cybersicherheit neu gedacht
weitere Beiträge in Branche
- Windows: Microsoft schloss sechs von Check Point entdeckte Sicherheitslücken
- LumaSpy: Android-Spyware als Bedrohung für Privatpersonen und Unternehmen
- Armis rät Flughäfen dringend, ihre Cybersicherheit auf den Prüfstand zu stellen
- Quishing: Neue QRC-Betrugsmasche aus den USA könnte bald auch Deutschland erreichen
- Laut Veeam-Ransomware-Bericht für das zweite Quartal 2025 Zunahme der Attacken und Lösegeldzahlungen
Aktuelles, Branche, Umfragen - Juli 9, 2025 19:03 - noch keine Kommentare
DigiCert-Umfrage: Manuelle Zertifikatsprozesse führen zu Ausfällen, Compliance-Fehlern und hohen Verlusten im Unternehmen
weitere Beiträge in Service
- Threat Hunting: Bedeutung und Wertschätzung steigt
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
Kommentieren