Secret Management bezieht sich auf Tools oder Methoden, die zur Verwaltung von Authentifizierungsdaten (oder Geheimnissen) verwendet werden. Dazu können Passwörter, Zugriffsschlüssel, API Schlüssel und Token, die in Anwendungen, Diensten, privilegierten Konten oder anderen sensiblen Bereichen des IT-Ökosystems verwendet werden können.
-
Vorteil : Bei diesem Ansatz können Dienstkonten – allgemeine Administratorkonten, die von einem oder mehreren Benutzern übernommen werden können – auf diese Geheimnisse zugreifen, aber niemand sonst
-
Nachteil: Nicht konform mit gesetzlichen Anforderungen, die FIPS-zertifizierte Hardware vorschreiben
Warum ist Geheimhaltung wichtig?
Passwörter und Zugriffsschlüssel gehören zu den am häufigsten verwendeten Tools, um Benutzer oder automatisierte Anwendungen im Netzwerk zu authentifizieren oder Zugriff auf bestimmte Dienste, Systeme oder Informationen zu gewähren, die ansonsten möglicherweise vertraulich sind. Da diese Geheimnisse sicher übertragen werden müssen, muss das Geheimnismanagement das Risiko, das die Geheimnisse sowohl während der Übertragung als auch im Ruhezustand darstellen, berücksichtigen und minimieren.
Zu den Geheimnissen gehören unter anderem:
- Passwörter
- API-Schlüssel oder andere Anwendungsschlüssel/Anmeldeinformationen
- SSH-Schlüssel
- Datenbank- und andere Systemkennwörter
- Zertifikate für eine sichere Kommunikation (TLS / SSL und mehr).
- Private Verschlüsselungsschlüssel wie PGP
- RSA und andere Einmalkennwortgeräte
Herausforderungen im Geheimmanagement
Mit dem Wachstum und der Weiterentwicklung der IT-Infrastruktur steigt auch die Komplexität und Vielfalt der damit verbundenen Geheimnisse, die angemessen geschützt werden müssen. Diese Geheimnisse müssen sicher gespeichert, übertragen und geprüft werden.
Einige der allgemeinen Risiken und Überlegungen sind:
-
Unvollständige Sichtbarkeit und Bewusstsein
Alle privilegierten Konten, Anwendungen, Tools, Container oder Microservices, die in der Umgebung eingesetzt werden, sowie die zugehörigen Passwörter, Schlüssel und anderen Geheimnisse. Allein die Anzahl der SSH-Schlüssel kann in manchen Organisationen in die Millionen gehen, was einen Eindruck vom Ausmaß der Herausforderungen bei der Verwaltung von Geheimnissen vermittelt. Dies ist insbesondere bei dezentralen Ansätzen ein Nachteil, bei denen Administratoren, Entwickler und andere Teammitglieder ihre Geheimnisse – wenn überhaupt – separat verwalten. Ohne eine übergreifende Kontrolle aller IT-Ebenen entstehen zwangsläufig Sicherheitslücken und Audit-Herausforderungen.
-
Fest codierte/eingebettete Anmeldeinformationen
Privilegierte Passwörter und andere Geheimnisse sind erforderlich, um die Authentifizierung für die Kommunikation und den Zugriff zwischen Apps (A2A) und zwischen Anwendungen und Datenbanken (A2D) zu erleichtern. Anwendungen und IoT-Geräte werden häufig mit fest codierten Standardanmeldeinformationen ausgeliefert und bereitgestellt, die von Hackern mithilfe von Scan-Tools und einfachen Raten- oder Wörterbuchangriffen leicht geknackt werden können. DevOps-Tools enthalten häufig fest codierte Geheimnisse in Skripten oder Dateien, was die Sicherheit des gesamten Automatisierungsprozesses gefährdet.
-
Privilegierte Anmeldeinformationen und die Cloud
Cloud- und Virtualisierungs-Administratorkonsolen (wie AWS, Office 365 usw.) bieten umfassende Superuser-Berechtigungen, die es Benutzern ermöglichen, virtuelle Maschinen und Anwendungen in großem Umfang schnell hoch- und herunterzufahren. Jede dieser VM-Instanzen verfügt über eigene Berechtigungen und Geheimnisse, die verwaltet werden müssen.
-
DevOps-Werkzeuge
Während Geheimnisse im gesamten IT-Ökosystem verwaltet werden müssen, scheinen die Herausforderungen bei der Verwaltung von Geheimnissen in DevOps-Umgebungen derzeit besonders groß zu sein. DevOps-Teams nutzen in der Regel Dutzende von Orchestrierungs-, Konfigurationsmanagement- und anderen Tools und Technologien (Chef, Puppet, Ansible, Salt, Docker-Container usw.) und verlassen sich dabei auf Automatisierung und andere Skripte, die Geheimnisse benötigen. Auch diese Geheimnisse sollten gemäß bewährter Sicherheitspraktiken verwaltet werden, einschließlich Anmeldeinformationsrotation, zeitlich/aktivitätsbeschränktem Zugriff, Auditing und mehr.
-
Konten von Drittanbietern/Lösungen für den Fernzugriff
Wie stellen Sie sicher, dass die über den Fernzugriff oder einen Drittanbieter erteilte Autorisierung ordnungsgemäß verwendet wird? Wie stellen Sie sicher, dass die Drittorganisation die Geheimnisse angemessen verwaltet?
-
Manuelle Prozesse zur Geheimnisverwaltung
Die Passwortsicherheit in den Händen von Menschen zu lassen, ist ein Garant für Missmanagement. Mangelnde Geheimhaltung, wie z. B. fehlende Passwortrotation, Standardpasswörter, eingebettete Geheimnisse, Passwortfreigabe und die Verwendung leicht zu merkender Passwörter, führt dazu, dass Geheimnisse nicht geheim bleiben und so die Gefahr von Sicherheitsverletzungen besteht. Generell bedeutet ein stärker manueller Umgang mit Geheimnissen ein höheres Risiko für Sicherheitslücken und Missbrauch.
Fazit
Geheimnismanagement ist ein entscheidender Aspekt moderner Cybersicherheit und des Datenschutzes. Es schützt sensible Informationen, verhindert Datenlecks und gewährleistet die Einhaltung gesetzlicher Vorschriften. Durch die Implementierung von Best Practices und den Einsatz von Geheimnismanagement-Tools können Einzelpersonen und Organisationen ihre Sicherheit deutlich verbessern und ihre Geheimnisse vor neugierigen Blicken schützen. In einer Welt, in der sich digitale Bedrohungen ständig weiterentwickeln, ist ein robustes Geheimnismanagement ein Muss für eine sicherere digitale Zukunft.
Wir bei Encryption Consulting sind uns der Bedeutung eines effektiven Geheimmanagements bewusst. Unsere Cloud-Datenschutzdienste kann Ihrem Unternehmen dabei helfen, seine Geheimnisse zu verwalten und so nicht nur Sicherheit, sondern auch Seelenfrieden zu gewährleisten.