Best Practices zum Schutz von SSL/TLS-Zertifikaten

Der Schutz von SSL/TLS-Zertifikaten und -Schlüsseln erfordert die Führung eines vollständigen Inventars, die Sicherung privater Schlüssel in Hardware sowie die Automatisierung von Überwachung und Erneuerung, damit ein gestohlenes oder abgelaufenes Zertifikat nicht zur Nachahmung eines vertrauenswürdigen Systems verwendet werden kann.

Schützen SSL/TLS-Zertifikate Der Schutz von Zertifikaten erfordert sechs Maßnahmen: Aufbau eines vollständigen Zertifikatsinventars, kontinuierliche Überwachung der Zertifikate, Automatisierung von Erneuerung und Rotation, Speicherung privater Schlüssel in einem HSM, Durchsetzung einer einheitlichen Ausstellungsrichtlinie und Überwachung von Schwachstellen wie schwachen Algorithmen oder kurzen Schlüssellängen. Zusammen schließen diese Maßnahmen die Schwachstellen, die Angreifer ausnutzen, um vertrauenswürdige Zertifikate zu stehlen oder zu fälschen.

Wichtige Erkenntnisse

• Ein Zertifikatsverzeichnis ist die Grundlage, nicht eine nachträgliche Überlegung. Alle anderen Praktiken, Überwachung, Automatisierung, Schwachstellenverfolgung, setzen voraus, dass man jedes einzelne Zertifikat kennt, das eine Organisation tatsächlich verwendet.
• Private Schlüssel gehören in ein HSM, niemals in Protokolle oder Chats. E-Mails, Chatverläufe und Protokolldateien sind häufige Quellen für das Durchsickern privater Schlüssel; ein Hardware-Sicherheitsmodul oder ein verschlüsselter Tresor beseitigt dieses Risiko.
• Die Automatisierung verhindert Fehler, die bei der manuellen Nachverfolgung nicht erkannt werden können. Schlüsselrotation, Zertifikatserneuerung und die Reaktion auf eine Kompromittierung einer Zertifizierungsstelle müssen alle schneller erfolgen, als es ein manueller Prozess zuverlässig leisten kann.
• Die Durchsetzung der Richtlinien verhindert uneinheitliche Ausgabe von Richtlinien. Eine klar definierte Richtlinie, welche Zertifikate zulässig sind, wer sie anfordern kann und wie sie konfiguriert werden, reduziert die unkontrollierte Ausbreitung von Maschinenidentitäten.
• Sicherheitslückenanalysen decken schwache Zertifikate auf, bevor Angreifer dies tun. Die Überwachung schwacher Algorithmen, kurzer Schlüssellängen und ungenutzter oder abgelaufener Zertifikate kennzeichnet, welche Zertifikate widerrufen oder aktualisiert werden sollten.

Erstellen Sie ein vollständiges Zertifikatsverzeichnis

Eine genaue Bestandsaufnahme ist der Ausgangspunkt für alle weiteren Maßnahmen zur Zertifikatssicherheit.

Manuelle Nachverfolgung jedes ausgestellten Zertifikats von internen und öffentlichen Stellen Zertifizierungsstellen Dies ist über einige wenige Systeme hinaus schwierig. Die automatisierte Erkennung durchsucht die gesamte digitale Infrastruktur, um jedes Zertifikat zu finden, wo es installiert ist, wem es gehört und wie es verwendet wird. Dies ist die einzige zuverlässige Methode, um Zertifikate aufzuspüren, die andernfalls die Zuverlässigkeit von Produktionssystemen beeinträchtigen würden.

Zertifikate kontinuierlich überwachen

Die kontinuierliche Überwachung prüft Verfügbarkeit, Ablaufdatum und Schlüsselstärke jedes einzelnen Zertifikats in Echtzeit.

Mit dem Wachstum der Netzwerke wird die manuelle Zertifikatsverwaltung wird unpraktisch. Die Synchronisierung des Zertifikatsstatus mit CA-Einträgen, SSL-Netzwerkscans und Zertifikatsspeicherinventaren sorgt für ein stets aktuelles Gesamtbild, anstatt sich auf eine regelmäßige manuelle Überprüfung zu verlassen.

Automatisieren Sie die Zertifikatsverwaltung

Die automatisierte Rotation und Erneuerung reagiert schneller als jeder manuelle Prozess sowohl auf routinemäßige Ablaufdaten als auch auf dringende Sicherheitsereignisse.

Strenge Sicherheitsverfahren rotieren Schlüssel und erneuern Zertifikate planmäßig oder nach Bedarf. Betroffene Zertifikate werden automatisiert aktualisiert. private Schlüsselund CA-Zertifikatsketten schnell zu aktualisieren, was besonders wichtig ist bei einer Kompromittierung einer Zertifizierungsstelle oder einer neu entdeckten Schwachstelle in einem kryptografischen Algorithmus oder einer Bibliothek.

Sichere private Schlüssel in Hardware

Ein kompromittierter privater Schlüssel ermöglicht es einem Angreifer, sich als die Server einer Organisation auszugeben, daher verdient die Schlüsselspeicherung den bestmöglichen Schutz.

Private Schlüssel sollten niemals in Protokolldateien, E-Mails oder Chatverläufen gespeichert werden, weder zur Aufbewahrung noch zur Übertragung. Ein zentraler Schlüsselspeicher, wie beispielsweise ein verschlüsselter Software-Tresor oder ein Hardware-Sicherheitsmodul (HSM) hält den Schlüssel von den Systemen isoliert, die am ehesten einem Angriff ausgesetzt sind.

Einheitliche Ausgabepolitik durchsetzen

Eine festgelegte Richtlinie für die Anforderung, Konfiguration und Verwendung von Zertifikaten gewährleistet Maschinenidentität Einheitliche Sicherheit im gesamten Unternehmen.

Dies umfasst Ausstellung, Konfiguration, Eigentumsverhältnisse, Verwaltung, Sicherheitdienstund die Außerbetriebnahme. Ohne eine schriftliche Richtlinie neigen verschiedene Teams dazu, Zertifikate unterschiedlich zu konfigurieren, was die Angriffsfläche vergrößert, ohne dass dies von jemandem so beschlossen wird.

Zertifikats- und Schlüsselschwachstellen verfolgen

Eine Basislinie zur Identifizierung schwacher Schlüssel und Zertifikate deckt Probleme auf, bevor sie zu Vorfällen werden.

Schwache Verschlüsselungsalgorithmen, kurze Schlüssellängen und ungenutzte, abgelaufene oder möglicherweise kompromittierte Zertifikate sollten zur Sperrung oder zum Austausch markiert werden. Ohne eine entsprechende Grundlage werden diese Zertifikate meist erst entdeckt, wenn bereits ein Problem aufgetreten ist.

Wie Verschlüsselungsberatung hilft

CertSecure Manager Bietet IT-Teams eine zentrale Plattform für die Ermittlung, Inventarisierung, Ausstellung, Bereitstellung, Verlängerung und den Widerruf von Zertifikaten. Automatisierte Überwachung und Benachrichtigungen erkennen schwache oder ablaufende Zertifikate, bevor es zu Ausfällen kommt. Die Integration mit HSM-gestütztem Schlüsselspeicher verhindert, dass private Schlüssel in Protokollen oder auf gemeinsam genutzten Laufwerken gespeichert werden. Entspricht den Standards von ISO/IEC 27001:2022 und SOC 2.

Warum sollten private Schlüssel in einem HSM anstatt in Software gespeichert werden?

Ein Hardware-Sicherheitsmodul isoliert den privaten Schlüssel physisch, sodass er selbst bei Kompromittierung des Servers niemals im Klartext extrahiert werden kann. Softwarebasierte Speicherung hingegen ermöglicht es jedem mit ausreichendem Zugriff auf das Dateisystem, den Schlüssel zugänglich zu machen, was eine deutlich größere Angriffsfläche darstellt.

Wie oft sollte ein Zertifikatsverzeichnis aktualisiert werden?

Kontinuierlich, idealerweise durch automatisierte Erkennung statt periodischer manueller Prüfungen. Neue Zertifikate werden im Zuge routinemäßiger Bereitstellungen ständig erstellt, und ein punktueller Bestand ist innerhalb weniger Wochen veraltet. Dadurch entstehen genau die Schwachstellen, die durch Best Practices geschlossen werden sollen.

Was ist das größte Risiko, wenn die Zertifikatserneuerung nicht automatisiert wird?

Versäumte Verlängerungen führen zu Ausfällen, und die manuelle Verlängerung ist angesichts der kürzeren Gültigkeitsdauer von Zertifikaten nicht mehr praktikabel. Da die CA/Browser Forum-Abstimmung SC-081v3 eine maximale Gültigkeitsdauer von 47 Tagen bis März 2029 anstrebt, wird ein manuelles Verfahren, das bereits bei 398 Tagen an seine Grenzen stößt, weit vor diesem Stichtag undurchführbar.

Was gilt als schwaches Zertifikat, das beanstandet werden sollte?

Zertifikate, die veraltete Algorithmen wie SHA-1 verwenden, private Schlüssel mit weniger als 2048 Bit für RSA oder abgelaufene, ungenutzte oder Zertifikate unklarer Herkunft gelten als schwach. Eine Schwachstellenanalyse sollte all diese Schwachstellen erfassen, damit sie widerrufen oder ersetzt werden können, anstatt erst später entdeckt zu werden.

Schützen Sie jedes Zertifikat, das Sie ausgeben.

Weitere Informationen finden Sie auch in den CertSecure Manager im Einsatz für automatisierte Erkennung, Überwachung und HSM-gesicherter Schlüsselschutz für Ihr gesamtes Zertifikatsportfolio.