Der Aufbau eines kryptografischen Inventars bedeutet, die gesamte in Ihren Systemen verwendete Kryptografie (Algorithmen, Schlüssel, Zertifikate, Bibliotheken und Protokolle) zu ermitteln und in einem strukturierten, kontinuierlich gepflegten Katalog, üblicherweise einem CBOM im CycloneDX-Format, zu erfassen.
Um ein kryptografisches Inventar zu erstellen, führen Sie eine kryptografische Erkennung von Zertifikaten, Code, Schlüsselspeichern und Netzwerkverkehr durch. Normalisieren Sie die Ergebnisse anschließend in einem CBOM im CycloneDX-Format mit Eigentümern und Standorten. Prüfen Sie das Inventar anhand von Richtlinien, um schwache oder quantenanfällige Kryptografie zu kennzeichnen , und halten Sie es durch kontinuierliche Erkennung auf dem neuesten Stand. Das Inventar bildet die Grundlage für die PQC-Migration.
Wichtige Erkenntnisse
- Ein kryptografisches Inventar erfasst alle verwendeten Kryptografien, üblicherweise als CycloneDX CBOM.
- Erschaffe es, indem du entdeckst Zertifikatedann Code, Schlüssel und Protokolle sowie die Normalisierung der Ergebnisse.
- Verwenden Sie das CycloneDX-Format (ECMA-424), damit die Inventarliste maschinenlesbar und interoperabel ist.
- Prüfen Sie den Bestand anhand der Richtlinien, um schwache oder quantenanfällige Kryptographie zu kennzeichnen.
- Sorgen Sie für Kontinuität; ein veralteter Lagerbestand verliert schnell an Wert.
Warum ein kryptografisches Inventar aufbauen?
Ein kryptografisches Inventar ist der Ausgangspunkt für das Management kryptografischer Risiken und die Migration nach der Quantencomputer-Ära. Schwache oder quantenanfällige Algorithmen lassen sich nicht ersetzen, wenn man sie nicht einsehen kann. Das Inventar, üblicherweise ein CBOM ( Cryptography Body Inventory), macht Ihre Kryptografie sichtbar, sodass sie bewertet und aktualisiert werden kann.
Schritt für Schritt: Aufbau eines kryptografischen Inventars
- Umfang und Ziele definieren: Entscheiden Sie, welche Systeme, Umgebungen und Anlagentypen abgedeckt werden sollen und warum (z. B. PQC-Bereitschaft oder Compliance).
- Zuerst Zertifikate entdecken: Beginnen Sie mit der Zertifikatserkennung, da hier die Sichtbarkeit in der Regel am höchsten ist, und erweitern Sie diese dann.
- Scan-Code und Binärdateien: Finden Sie kryptografische Algorithmen, fest codierte Schlüssel und mitgelieferte Bibliotheken in Anwendungen.
- Schlüssel- und Zertifikatslager prüfen: Katalogisieren Sie Schlüssel, Schlüsselpaare und Zertifikate in Schlüsselverwaltungssystemen und HSMs.
- Netzwerkverkehr analysieren: Identifizieren Sie Protokolle wie TLS und SSH sowie die tatsächlich verwendeten Algorithmusversionen.
- Normalisieren in ein CBOM: Alles im CycloneDX-Format erfassen, inklusive Eigentümer und Standort.
- Bewertung anhand der Richtlinien: Schwache, veraltete oder quantenanfällige Kryptographie zur Behebung kennzeichnen.
- Halten Sie es aktuell: Führen Sie die Erkennung kontinuierlich durch, damit der Bestand auch bei Systemänderungen stets korrekt bleibt.
Verwenden Sie das CycloneDX-Format
Erfassen Sie den Bestand in CycloneDX, dem offenen Standard, der in Version 1.6 native Unterstützung für kryptografische Assets hinzufügte und als ECMA-424 veröffentlicht ist. Die Verwendung eines Standardformats macht den Bestand maschinenlesbar, ermöglicht die Speicherung neben einem SBOM und gewährleistet die Interoperabilität mit Tools entlang der gesamten Lieferkette.
Sorgen Sie für Kontinuität
Ein kryptografisches Inventar ist nur dann nützlich, wenn es stets aktuell ist. Betrachten Sie dessen Erstellung als Beginn eines kontinuierlichen kryptografischen Statusmanagements und nicht als einmalige Prüfung. Nutzen Sie es als Grundlage für Ihre PQC-Migration.
Wie Verschlüsselungsberatung hilft
CBOM Secure automatisiert die kryptografische Erkennung und Inventarisierung und erstellt ein kontinuierlich aktualisiertes CycloneDX-Inventar für Code, Zertifikate, Schlüssel und Datenverkehr, sodass Sie es nicht manuell zusammenstellen müssen. Es basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.
Häufig gestellte Fragen
Was ist ein kryptografisches Inventar?
Ein kryptografisches Inventar ist ein strukturiertes, gepflegtes Verzeichnis aller von einer Organisation verwendeten kryptografischen Komponenten: Algorithmen, Schlüssel, Zertifikate, Bibliotheken und Protokolle. Es wird üblicherweise als CBOM (Cryptography Bill of Materials) im CycloneDX-Format dargestellt und bildet die Grundlage für das Management kryptografischer Risiken und die Planung der Migration nach der Quantenintegration.
Wie erstellt man ein kryptografisches Inventar?
Erstellen Sie es durch kryptografische Erkennung: Scannen Sie Quellcode und Binärdateien nach Algorithmen und Bibliotheken, prüfen Sie Zertifikats- und Schlüsselspeicher und analysieren Sie den Netzwerkverkehr auf Protokolle. Normalisieren Sie die Ergebnisse in einem CBOM, weisen Sie Verantwortliche zu und halten Sie das Inventar durch kontinuierliche Erkennung aktuell. Das Ergebnis ist ein dynamischer Katalog anstelle einer einmaligen Momentaufnahme.
Welches Format sollte ein kryptografisches Inventar verwenden?
CycloneDX ist der De-facto-Standard. In Version 1.6 wurde die native Unterstützung für kryptografische Assets eingeführt. CycloneDX ist als ECMA-424-Standard von Ecma International veröffentlicht. Durch die Verwendung von CycloneDX wird das Inventar maschinenlesbar und mit Tools interoperabel. Zudem ermöglicht es, kryptografische Inventardaten im gleichen Format wie ein SBOM zu verwalten.
Wie oft sollte ein kryptografisches Inventar aktualisiert werden?
Kontinuierlich. Kryptografie ändert sich ständig, da Code aktualisiert, Zertifikate ausgestellt und erneuert sowie Systeme in Betrieb genommen oder außer Betrieb genommen werden. Eine Momentaufnahme ist schnell veraltet, daher sollte die Erkennung fortlaufend erfolgen und eine stets aktuelle Bestandsaufnahme gewährleisten. Dies ist der Unterschied zwischen einer einmaligen Prüfung und einem kontinuierlichen kryptografischen Statusmanagement.
Wo fängt man an, wenn man ein kryptografisches Inventar aufbaut?
Beginnen Sie dort, wo die Sichtbarkeit und das Risiko am größten sind , häufig bei TLS-Zertifikaten, und weiten Sie die Überprüfung dann auf Algorithmen, Schlüssel, Bibliotheken und Protokolle im gesamten Code und in den Systemen aus. Priorisieren Sie Systeme, die langlebige, sensible Daten schützen, da diese am stärksten dem Risiko ausgesetzt sind, Daten sofort zu sammeln und später zu entschlüsseln. Automatisierte Erkennungstools ermöglichen eine umfassende Abdeckung.
Bauen Sie Ihren Lagerbestand schneller auf
Bereit für die Automatisierung der kryptografischen Inventarisierung? Sehen Sie CBOM Secure in Aktion oder lesen Sie mehr über kryptografische Erkennung und Inventarisierung.