So gehen Sie mit kompromittierten Zertifikaten und Schlüsseln um

Bei einem kompromittierten Zertifikat oder Schlüssel handelt es sich um ein digitales Zertifikat oder dessen privaten Schlüssel, das/der einer unbefugten Partei zugänglich gemacht wurde. Der Umgang damit erfordert die sofortige Aufhebung des Zertifikats, die Neuausstellung mit einem neuen Schlüsselpaar und eine forensische Untersuchung, wie es zu der Offenlegung kommen konnte. 

Wenn ein Zertifikat oder sein privater Schlüssel kompromittiert wurde, muss das Zertifikat unverzüglich widerrufen werden, da CA / Browser-Forum Die Basisanforderungen schreiben den Widerruf innerhalb von 24 Stunden nach bestätigter Schlüsselkompromittierung vor. Statt den kompromittierten Schlüssel wiederzuverwenden, ist ein neues Zertifikat mit einem neuen Schlüsselpaar auszustellen. Betroffene Systeme sind zu isolieren und eine forensische Überprüfung durchzuführen, um sicherzustellen, dass keine weiteren Daten gefährdet wurden. 

Wichtige Erkenntnisse 

• Die 24-Stunden-Frist für den Widerruf ist eine Grundvoraussetzung, keine Empfehlung. Die Regeln des CA/Browser-Forums verlangen einen Widerruf innerhalb von 24 Stunden nach einer bestätigten Kompromittierung des Schlüssels, einer Fehlausstellung oder einer Kompromittierung der Zertifizierungsstelle. 
• Niemals mit demselben Schlüsselpaar neu ausgeben. Ein kompromittierter privater Schlüssel muss vollständig ersetzt werden; seine Wiederverwendung, selbst nach dem Widerruf, beseitigt die Gefährdung nicht. 
• Ein Widerruf allein verhindert den Missbrauch nicht sofort. Da OCSP und CRL-Prüfung im Internetmaßstab nicht perfekt sind, vertrauen manche Clients einem widerrufenen Zertifikat weiterhin, bis es abläuft oder ihr Cache aktualisiert wird. Deshalb ist schnelles Handeln wichtig. 
• Gefälschte Zertifikate können den ursprünglichen Vorfall überdauern. Angreifer, die Zugriff auf Zertifizierungsstellen oder Schlüsselverwaltungsrechte erlangen, stellen manchmal zusätzliche Zertifikate aus; eine vollständige Bestandsprüfung nach der Behebung der Mängel deckt diese auf, bevor sie verwendet werden können. 
• Kürzere Gültigkeitsdauern von Zertifikaten verringern den Explosionsradius. Da TLS-Zertifikate gemäß CA/Browser Forum Ballot SC-081v3 auf eine maximale Gültigkeitsdauer von 47 Tagen festgelegt werden, verringert sich das Zeitfenster für eine unentdeckte Kompromittierung erheblich. 

Was gilt als gebrochenes Zertifikat oder Schlüssel? 

Ein Zertifikat gilt als kompromittiert, wenn es oder der dazugehörige private Schlüssel in die Hände einer Person gelangt, die nicht dazu berechtigt ist. 

Dies kann durch Phishing-Angriffe, bei denen Zugangsdaten für einen Schlüsselspeicher erbeutet werden, durch Insider mit übermäßigen Zugriffsrechten, durch einen falsch konfigurierten Server, der private Schlüsseldateien offenlegt, oder durch eine Sicherheitslücke im System geschehen. Zertifikatsverwaltung Der Prozess selbst. Sobald ein privater Schlüssel offengelegt ist, kann ein Angreifer sich als der rechtmäßige Zertifikatsinhaber ausgeben oder zuvor abgefangenen Datenverkehr entschlüsseln, je nachdem, wie der Schlüssel verwendet wurde. 

Sofortige Reaktionsschritte 

Sechs Schritte, die nacheinander durchgeführt werden, umfassen die Erkennung bis hin zur validierten Behebung eines kompromittierten Zertifikats oder Schlüssels. 

• Erkennen und isolieren. Die Sicherheitsüberwachung sollte anomale Zertifikats- oder Schlüsselzugriffe schnell erkennen; sobald diese erkannt werden, müssen das kompromittierte Zertifikat und der Schlüssel unverzüglich aus der Produktionsumgebung entfernt werden. 
• Aktivieren Sie den Notfallplan. Ein vordefinierter Plan mit zugewiesenen Rollen vermeidet Verzögerungen und Verwirrung bei der Festlegung von Verantwortlichkeiten mitten im Geschehen. 
• Widerrufen und neu ausstellen. Das kompromittierte Zertifikat muss unverzüglich bei der Zertifizierungsstelle widerrufen werden (die Baseline Requirements des CA/Browser Forum schreiben einen Widerruf innerhalb von 24 Stunden nach bestätigter Schlüsselkompromittierung vor). Anschließend muss ein völlig neues Schlüsselpaar ausgestellt werden, niemals das alte. 
• Zugehörige Schlüssel drehen. Betrachten Sie dies als Gelegenheit, auch andere Schlüssel auszutauschen, die möglicherweise ein ähnliches Expositionsrisiko aufweisen, und nicht nur den konkret kompromittierten Schlüssel. 
• Führen Sie eine forensische Analyse durch. Überprüfen Sie Protokolle, Netzwerkverkehr und Systemaktivitäten, um das Ausmaß der Gefährdung zu ermitteln und sicherzustellen, dass der Einfallstor geschlossen ist. 
• Überprüfen Sie das gesamte Zertifikatsinventar erneut. Angreifer mit Zugriff auf die Schlüsselverwaltung stellen manchmal während des Vorfalls gefälschte Zertifikate aus; eine vollständige Bestandsprüfung nach der Behebung des Problems deckt diese auf, bevor die Deaktivierung abgeschlossen ist. 

Folgenabschätzung: Festlegung des Explosionsradius 

Bevor die Sanierungsmaßnahmen als abgeschlossen erklärt werden können, müssen die betroffenen Systeme vollständig identifiziert sein. 

Für ein SSL / TLSIm Zusammenhang mit einer Sicherheitsverletzung bedeutet dies, jede URL, jeden Webserver, jeden Load Balancer und jedes interne Portal zu identifizieren, das das kompromittierte Zertifikat verwendet. Eine vollständige Zertifikatsinventur macht aus einem Ratespiel eine gezielte Suche, weshalb Erkennungs- und Überwachungstools auch außerhalb eines akuten Sicherheitsvorfalls wichtig sind. 

Bestätigung, dass die Sanierungsmaßnahmen tatsächlich funktioniert haben 

Für den Abschluss eines Vorfalls ist es erforderlich, dass die durchgeführte Reparatur auch tatsächlich wirksam war, nicht nur, dass die unmittelbaren Symptome verschwunden sind. 

Vergleichen Sie den ursprünglichen Bericht über den Sicherheitsvorfall Zeile für Zeile mit dem Bericht über die Behebung der Sicherheitslücken: Jedes betroffene Zertifikat und jeder betroffene Schlüssel sollte als widerrufen, ersetzt und neu bereitgestellt aufgeführt sein. Jede Abweichung deutet darauf hin, dass ein Angreifer möglicherweise noch irgendwo in der Umgebung Zugriff auf Sicherheitslücken hat. 

Best Practices für den Umgang mit einem kompromittierten Zertifikat und Schlüssel

1. Erkennung und Isolierung

• Implementieren Sie robuste Sicherheitsüberwachungs- und Angriffserkennungssysteme, um potenzielle Verstöße oder unbefugte Zugriffe umgehend zu erkennen.
• Sobald ein Verstoß erkannt wird, isolieren Sie das betroffene System und entfernen Sie das kompromittierte Zertifikat und den Schlüssel aus den Produktionsumgebungen, um weiteren Schaden zu verhindern.
2. Incident-Reaktionsplan

• Verfügen Sie über einen klar definierten Notfallplan, der die im Falle einer Zertifikats- oder Schlüsselverletzung zu ergreifenden Schritte beschreibt.
• Bestimmen Sie ein Reaktionsteam und weisen Sie ihm bestimmte Rollen und Verantwortlichkeiten zu, um eine schnelle und koordinierte Reaktion zu gewährleisten.
3. Widerrufen und Neuausstellen von Zertifikaten

• Widerrufen Sie das kompromittierte Zertifikat umgehend, um seine Verwendung für jegliche weitere Kommunikation ungültig zu machen.
• Arbeiten Sie mit der Zertifizierungsstelle (CA) zusammen, um ein neues Zertifikat mit einem neuen Schlüsselpaar für die betroffene Domäne oder den betroffenen Dienst auszustellen.
4. Schlüsselrotation

• Führen Sie eine regelmäßige Schlüsselrotationspraxis ein, bei der kryptografische Schlüssel regelmäßig durch neue ersetzt werden.
• Wenn ein Schlüssel kompromittiert wurde, leiten Sie eine Notfall-Schlüsselrotation ein, um den kompromittierten Schlüssel ungültig zu machen.
5. Forensische Analyse durchführen

• Führen Sie eine gründliche forensische Analyse durch, um das Ausmaß des Verstoßes, die potenzielle Datengefährdung und alle anderen kompromittierten Systeme zu ermitteln.
• Analysieren Sie Protokolle, Netzwerkverkehr und Systemaktivität, um den Einstiegspunkt und potenzielle Angriffsvektoren zu identifizieren.
6. Patch-Schwachstellen

• Identifizieren und beheben Sie alle Sicherheitslücken oder -schwächen, die möglicherweise zu dem Verstoß geführt haben.
• Halten Sie alle Software und Systeme mit den neuesten Sicherheitspatches und -updates auf dem neuesten Stand.
7. Verbessern Sie Authentifizierung und Zugriffskontrollen

• Verstärken Sie Authentifizierungsmechanismen und Zugriffskontrollen, um den unbefugten Zugriff auf Zertifikate und Schlüssel einzuschränken.
• Implementieren Sie Multi-Faktor-Authentifizierung (MFA) und rollenbasierte Zugriffskontrollen, um privilegierten Zugriff einzuschränken.
8. Mitarbeiter ausbilden und schulen

• Klären Sie Ihre Mitarbeiter über die Bedeutung der Zertifikats- und Schlüsselsicherheit sowie über die potenziellen Risiken von Fahrlässigkeit oder unsachgemäßer Handhabung auf.
• Bieten Sie regelmäßige Schulungen zu Best Practices für die sichere Zertifikatsverwaltung und die Erkennung von Phishing-Versuchen an.

Sobald ein Angriff identifiziert und bestätigt ist, ist er erst zur Hälfte erledigt. Die nächste Herausforderung besteht darin, einem Angreifer den Zugriff auf die kritischen digitalen Assets des Unternehmens, wie Schlüssel und Zertifikate, zu entziehen, da die meisten Organisationen die tatsächlichen Auswirkungen eines Zertifikats- oder Schlüsselverstoßes nicht verstehen.

Wir können in die Vergangenheit graben und feststellen, dass es Verstöße gab, wie gestohlene digitale Zertifikate Wenn ein Unternehmen die Folgen nicht sofort erkennen konnte, weil es die digitalen Zertifikate nicht ersetzt hatte, sollten Unternehmen im Idealfall schnell reagieren und auf alle von der Sicherheitsverletzung betroffenen Systeme reagieren können, um einen sicheren Betrieb zu gewährleisten.

Wie kann Encryption Consulting helfen?

CertSecure Manager bietet Incident-Response-Teams eine zentrale Konsole, um Zertifikate während eines Sicherheitsvorfalls in einer Umgebung zu widerrufen, neu auszustellen und erneut bereitzustellen. VerletzungMit vollständiger Transparenz aller Zertifikate und Schlüssel im Bestand ermöglicht die Suche zur Ermittlung des Ausmaßes der Auswirkungen eine einfache Suche, ohne manuelle Prüfung. Benachrichtigungen und Berichte bestätigen den Abschluss der Behebung, bevor der Vorfall abgeschlossen wird. Basierend auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren. 

Häufig gestellte Fragen 

Wie schnell muss ich ein kompromittiertes Zertifikat widerrufen? 

Die CA/Browser-Forum-Basisrichtlinien schreiben den Widerruf innerhalb von 24 Stunden nach bestätigter Schlüsselkompromittierung, Fehlausstellung oder Kompromittierung der Zertifizierungsstelle vor. Bei einigen Problemen, wie z. B. abgelaufener Domainvalidierung oder nicht konformem Zertifikatsinhalt, gilt eine längere Widerrufsfrist von 5 Tagen, ein kompromittierter Schlüssel fällt jedoch immer unter die 24-Stunden-Regelung. 

Kann ich ein Zertifikat mit demselben privaten Schlüssel neu ausstellen? 

Nein. Sobald ein privater Schlüssel kompromittiert ist, muss er endgültig gelöscht werden. Die Neuausstellung mit demselben Schlüssel, selbst nach dem Widerruf des alten Zertifikats, birgt weiterhin das Risiko, da der Angreifer möglicherweise noch eine Kopie des Schlüssels besitzt. 

Stoppt der Entzug eines Zertifikats einen Angreifer sofort? 

Nicht immer. Die Überprüfung von Zertifikatssperrlisten (CRLs) über OCSP ist im Internetmaßstab unvollkommen, und manche Clients vertrauen einem gesperrten Zertifikat weiterhin, bis ihr Cache aktualisiert wird oder das Zertifikat regulär abläuft. Dies ist einer der Gründe, warum kürzere Gültigkeitsdauern von Zertifikaten, die sich gemäß CA/Browser Forum Ballot SC-081v3 auf 47 Tage annähern, von Bedeutung sind: Sie verkürzen die Zeitspanne, in der eine übersehene Sperrung ausgenutzt werden kann. 

Was ist der erste Schritt nach der Entdeckung eines kompromittierten Schlüssels? 

Isolieren Sie das betroffene System und entfernen Sie das kompromittierte Zertifikat und den zugehörigen Schlüssel umgehend aus dem Produktivsystem. Aktivieren Sie anschließend einen vordefinierten Notfallplan mit zugewiesenen Rollen. Durch das Handeln, bevor das Ausmaß des Vorfalls vollständig geklärt ist, wird die weitere Gefährdung während der laufenden Untersuchung minimiert. 

Woran erkenne ich, dass die Sanierungsmaßnahmen tatsächlich abgeschlossen sind? 

Vergleichen Sie den ursprünglichen Sicherheitsvorfallbericht detailliert mit dem Behebungsbericht: Jedes betroffene Zertifikat und jeder betroffene Schlüssel sollte als widerrufen, ersetzt und mit einem neuen Schlüsselpaar neu bereitgestellt aufgeführt sein. Eine anschließende erneute Prüfung des gesamten Zertifikatsbestands deckt zudem alle unautorisierten Zertifikate auf, die ein Angreifer möglicherweise während des Vorfalls ausgestellt hat.

Widerrufen, neu ausstellen und mit Zuversicht wiederherstellen 

Weitere Informationen finden Sie auch in den CertSecure Manager im Einsatz für ein ereignisbereites Zertifikat und Schlüsselmanagement Oder sprechen Sie mit einem Berater von Encryption Consulting über Ihren Notfallplan.