Best Practices zum Schutz von SSL/TLS-Zertifikaten

Der Schutz von SSL/TLS-Zertifikaten und -Schlüsseln erfordert die Führung eines vollständigen Inventars, die Sicherung privater Schlüssel in Hardware sowie die Automatisierung von Überwachung und Erneuerung, damit ein gestohlenes oder abgelaufenes Zertifikat nicht zur Nachahmung eines vertrauenswürdigen Systems verwendet werden kann.

Schützen SSL/TLS-Zertifikate Der Schutz von Zertifikaten erfordert sechs Maßnahmen: Aufbau eines vollständigen Zertifikatsinventars, kontinuierliche Überwachung der Zertifikate, Automatisierung von Erneuerung und Rotation, Speicherung privater Schlüssel in einem HSM, Durchsetzung einer einheitlichen Ausstellungsrichtlinie und Überwachung von Schwachstellen wie schwachen Algorithmen oder kurzen Schlüssellängen. Zusammen schließen diese Maßnahmen die Schwachstellen, die Angreifer ausnutzen, um vertrauenswürdige Zertifikate zu stehlen oder zu fälschen.

Wichtige Erkenntnisse

• Ein Zertifikatsverzeichnis ist die Grundlage, nicht eine nachträgliche Überlegung. Alle anderen Praktiken, Überwachung, Automatisierung, Schwachstellenverfolgung, setzen voraus, dass man jedes einzelne Zertifikat kennt, das eine Organisation tatsächlich verwendet.
• Private Schlüssel gehören in ein HSM, niemals in Protokolle oder Chats. E-Mails, Chatverläufe und Protokolldateien sind häufige Quellen für das Durchsickern privater Schlüssel; ein Hardware-Sicherheitsmodul oder ein verschlüsselter Tresor beseitigt dieses Risiko.
• Die Automatisierung verhindert Fehler, die bei der manuellen Nachverfolgung nicht erkannt werden können. Schlüsselrotation, Zertifikatserneuerung und die Reaktion auf eine Kompromittierung einer Zertifizierungsstelle müssen alle schneller erfolgen, als es ein manueller Prozess zuverlässig leisten kann.
• Die Durchsetzung der Richtlinien verhindert uneinheitliche Ausgabe von Richtlinien. Eine klar definierte Richtlinie, welche Zertifikate zulässig sind, wer sie anfordern kann und wie sie konfiguriert werden, reduziert die unkontrollierte Ausbreitung von Maschinenidentitäten.
• Sicherheitslückenanalysen decken schwache Zertifikate auf, bevor Angreifer dies tun. Die Überwachung schwacher Algorithmen, kurzer Schlüssellängen und ungenutzter oder abgelaufener Zertifikate kennzeichnet, welche Zertifikate widerrufen oder aktualisiert werden sollten.

Erstellen Sie ein vollständiges Zertifikatsverzeichnis

Eine genaue Bestandsaufnahme ist der Ausgangspunkt für alle weiteren Maßnahmen zur Zertifikatssicherheit.

Die manuelle Nachverfolgung aller von internen und öffentlichen Zertifizierungsstellen ausgestellten Zertifikate ist bei mehr als wenigen Systemen schwierig. Die automatisierte Erkennung durchsucht die gesamte digitale Infrastruktur, um jedes Zertifikat, seinen Installationsort, seinen Inhaber und seine Verwendung zu ermitteln. Dies ist die einzige zuverlässige Methode, um Zertifikate aufzuspüren, die andernfalls die Zuverlässigkeit von Produktionssystemen beeinträchtigen würden.

Zertifikate kontinuierlich überwachen

Die kontinuierliche Überwachung prüft Verfügbarkeit, Ablaufdatum und Schlüsselstärke jedes einzelnen Zertifikats in Echtzeit.

Mit zunehmender Größe von Netzwerken wird die manuelle Zertifikatsverwaltung unpraktisch. Die Synchronisierung des Zertifikatsstatus mit CA-Einträgen, SSL-Netzwerkscans und Zertifikatsspeicherbeständen sorgt für ein stets aktuelles Gesamtbild, anstatt sich auf eine periodische manuelle Überprüfung zu verlassen.

Automatisieren Sie die Zertifikatsverwaltung

Die automatisierte Rotation und Erneuerung reagiert schneller als jeder manuelle Prozess sowohl auf routinemäßige Ablaufdaten als auch auf dringende Sicherheitsereignisse.

Strenge Sicherheitsverfahren rotieren Schlüssel und erneuern Zertifikate planmäßig oder bedarfsweise. Die Automatisierung aktualisiert betroffene Zertifikate, private Schlüssel und CA-Zertifikatsketten schnell, was insbesondere bei einer Kompromittierung einer Zertifizierungsstelle oder der Entdeckung einer neuen Schwachstelle in einem kryptografischen Algorithmus oder einer Bibliothek von entscheidender Bedeutung ist.

Sichere private Schlüssel in Hardware

Ein kompromittierter privater Schlüssel ermöglicht es einem Angreifer, sich als die Server einer Organisation auszugeben, daher verdient die Schlüsselspeicherung den bestmöglichen Schutz.

Private Schlüssel sollten niemals in Protokolldateien, E-Mails oder Chatverläufen gespeichert werden, weder zur Speicherung noch zur Übertragung. Ein zentraler Schlüsselspeicher, beispielsweise ein verschlüsselter Software-Tresor oder ein Hardware-Sicherheitsmodul (HSM), isoliert den Schlüssel von den Systemen, die am ehesten einem Angriff ausgesetzt sind.

Einheitliche Ausgabepolitik durchsetzen

Eine klar definierte Richtlinie für die Anforderung, Konfiguration und Verwendung von Zertifikaten gewährleistet eine einheitliche Identitätssicherheit der Maschinen im gesamten Unternehmen.

Dies umfasst Ausstellung, Konfiguration, Besitz, Verwaltung, Sicherheit und Außerbetriebnahme. Ohne schriftliche Richtlinien konfigurieren verschiedene Teams Zertifikate oft unterschiedlich, wodurch die Angriffsfläche vergrößert wird, ohne dass dies von jemandem beschlossen wurde.

Zertifikats- und Schlüsselschwachstellen verfolgen

Eine Basislinie zur Identifizierung schwacher Schlüssel und Zertifikate deckt Probleme auf, bevor sie zu Vorfällen werden.

Schwache Verschlüsselungsalgorithmen, kurze Schlüssellängen und ungenutzte, abgelaufene oder möglicherweise kompromittierte Zertifikate sollten zur Sperrung oder zum Austausch markiert werden. Ohne eine entsprechende Grundlage werden diese Zertifikate meist erst entdeckt, wenn bereits ein Problem aufgetreten ist.

Wie Verschlüsselungsberatung hilft

CertSecure Manager bietet IT-Teams eine zentrale Plattform für die Ermittlung, Inventarisierung, Ausstellung, Bereitstellung, Verlängerung und den Widerruf von Zertifikaten. Automatisierte Überwachung und Benachrichtigungen erkennen schwache oder ablaufende Zertifikate, bevor es zu Ausfällen kommt. Die Integration mit HSM-gestützter Schlüsselspeicherung sorgt dafür, dass private Schlüssel nicht in Protokollen oder auf freigegebenen Laufwerken gespeichert werden. Die Plattform entspricht den Standards von ISO/IEC 27001:2022 und SOC 2.

Warum sollten private Schlüssel in einem HSM anstatt in Software gespeichert werden?

Ein Hardware-Sicherheitsmodul isoliert den privaten Schlüssel physisch, sodass er selbst bei Kompromittierung des Servers niemals im Klartext extrahiert werden kann. Softwarebasierte Speicherung hingegen ermöglicht es jedem mit ausreichendem Zugriff auf das Dateisystem, den Schlüssel zugänglich zu machen, was eine deutlich größere Angriffsfläche darstellt.

Wie oft sollte ein Zertifikatsverzeichnis aktualisiert werden?

Kontinuierlich, idealerweise durch automatisierte Erkennung statt periodischer manueller Prüfungen. Neue Zertifikate werden im Zuge routinemäßiger Bereitstellungen ständig erstellt, und ein punktueller Bestand ist innerhalb weniger Wochen veraltet. Dadurch entstehen genau die Schwachstellen, die durch Best Practices geschlossen werden sollen.

Was ist das größte Risiko, wenn die Zertifikatserneuerung nicht automatisiert wird?

Versäumte Verlängerungen führen zu Ausfällen, und die manuelle Verlängerung ist angesichts der kürzeren Gültigkeitsdauer von Zertifikaten nicht mehr praktikabel. Da die CA/Browser Forum-Abstimmung SC-081v3 eine maximale Gültigkeitsdauer von 47 Tagen bis März 2029 anstrebt, wird ein manuelles Verfahren, das bereits bei 398 Tagen an seine Grenzen stößt, weit vor diesem Stichtag undurchführbar.

Was gilt als schwaches Zertifikat, das beanstandet werden sollte?

Zertifikate, die veraltete Algorithmen wie SHA-1 verwenden, private Schlüssel mit weniger als 2048 Bit für RSA oder abgelaufene, ungenutzte oder Zertifikate unklarer Herkunft gelten als schwach. Eine Schwachstellenanalyse sollte all diese Schwachstellen erfassen, damit sie widerrufen oder ersetzt werden können, anstatt erst später entdeckt zu werden.

Schützen Sie jedes Zertifikat, das Sie ausgeben.

Erleben Sie CertSecure Manager in Aktion für die automatisierte Erkennung, Überwachung und den HSM -gestützten Schlüsselschutz Ihres gesamten Zertifikatsbestands.