Was ist Maschinenidentitätsmanagement?

Machine Identity Management ist die Disziplin der Ausstellung, Verfolgung und Rotation der digitalen Zertifikate, kryptografischen Schlüssel und SSH-Zugangsdaten, die es Servern, Anwendungen, Containern und Geräten ermöglichen, sich gegenseitig zu authentifizieren, gemäß einem Zero-Trust-Modell, das niemals vertrauen, sondern immer überprüfen soll.

Das Maschinenidentitätsmanagement regelt die Anmeldeinformationen, hauptsächlich X.509-Zertifikate und kryptografische Schlüssel, die Maschinen zur Identitätsprüfung gegenüber anderen Maschinen verwenden. Es deckt den gesamten Lebenszyklus ab: Generierung, Inventarisierung, Verteilung, Überwachung, Erneuerung und Widerruf, sodass Ausfälle, betrügerische Zertifizierungsstellen und kompromittierte Schlüssel nicht unentdeckt bleiben.

Wichtige Erkenntnisse

• Maschinenidentität umfasst alle Entitäten, die eine eindeutige Identität für die sichere Kommunikation benötigen, einschließlich Server, APIs, Container und IoT-Geräte, nicht nur physische Hardware.
• X.509-Zertifikate sind die am weitesten verbreiteten Nachweise für die Identität von Maschinen und das Rückgrat der PKI-basierten Server- und Client-Authentifizierung.
• Zertifikatsausfälle, Kompromittierung von Zertifizierungsstellen und unbekannte widerrufene Zertifikate sind die Hauptursachen für das Versagen der Maschinenidentität.
• Ein Zero-Trust-Modell setzt voraus, dass Maschinenidentitäten auf die gleiche Weise validiert werden wie Benutzeridentitäten, da keiner der beiden Parteien standardmäßig vertraut wird.
• Der Lebenszyklus der Maschinenidentität umfasst sechs Phasen: Generierung, Inventarisierung, Verteilung, Überwachung, Erneuerung und Widerruf.

Was zählt als Maschinenidentität?

Eine Maschinenidentität ist eine Reihe von Anmeldeinformationen, nicht nur eine einzelne Seriennummer, die beweist, dass ein Server, eine Anwendung, eine API, ein Container oder ein Gerät tatsächlich das ist, was es vorgibt zu sein. Da Maschinen keinen Benutzernamen und kein Passwort eingeben können, verwenden sie Zertifikate und Schlüssel, die beim Verbindungsaufbau automatisch überprüft werden.

Anmeldeinformationstyp	Typische Verwendung
SSH-Schlüssel und Zertifikate	Privilegierter Administratorzugriff auf kritische Systeme
Codesignaturzertifikate	Überprüfung, ob Skripte, ausführbare Dateien und Software-Builds manipuliert wurden
Symmetrische kryptographische Schlüssel	Verschlüsselung ruhender und übertragener Daten
X.509-Zertifikate	Server- und Client-Authentifizierung über TLS/SSL

Wie funktioniert die Maschinen-zu-Maschine-Authentifizierung?

Bei einem typischen Client-Server-TLS-Handshake legt der Server beim Verbindungsaufbau sein Zertifikat vor, der Client validiert es anhand einer vertrauenswürdigen Zertifizierungsstelle, und für sensible Anwendungen kann der Server zusätzlich ein Client-Zertifikat anfordern. Nach erfolgreicher Validierung tauschen beide Seiten Schlüssel für die Verschlüsselung und das Hashing aus und stellen eine sichere Sitzung her.

Was sind die Ursachen für die Kompromittierung von Maschinenidentitäten?

Vier wiederkehrende Fehlerursachen sind für die meisten Vorfälle mit Maschinenidentitätsproblemen verantwortlich.

• Kompromittierung von Zertifizierungsstellen: Ein Angreifer stiehlt den privaten Signaturschlüssel einer Zertifizierungsstelle und stellt gefälschte Zertifikate aus, denen Browser vertrauen, wodurch Phishing- und Man-in-the-Middle-Angriffe ermöglicht werden.
• Zertifikatsausfälle: Ein nicht erneuertes Zertifikat läuft ab und legt den von ihm geschützten Dienst lahm, ohne dass es eine einfache Möglichkeit gibt, den Installationsort des Zertifikats zu ermitteln.
• Operative Ineffizienz: Tausende von Zertifikaten, die manuell verwaltet werden müssen, beanspruchen unverhältnismäßig viel Administratorzeit, insbesondere bei ungewohnten Truststore-Konfigurationen.
• Unbekannte widerrufene Zertifikate: Ein verspätet widerrufenes Zertifikat oder eine nicht zeitnah aktualisierte CRL ermöglicht es einem Angreifer, ein verwaistes Zertifikat für Phishing-Angriffe wiederzuverwenden.

Wie sieht der Lebenszyklus der Maschinenidentität aus?

• Generierung: Ein Zertifikat oder einen Schlüssel von einer Zertifizierungsstelle beziehen.
• Inventar: Gültigkeitszeitraum, Typ, Kettenposition und Netzwerkstandort erfassen.
• Verteilung: Die Identität wird auf dem Zielsystem, -gerät oder der Zielanwendung bereitgestellt.
• Überwachung: Laufende Funktions-, Sicherheits- und Compliance-Statusverfolgung.
• Erneuerung oder Rotation: Ersetzen Sie die Identität, bevor sie abläuft oder an Bedeutung verliert.
• Widerruf: Die Identität wird absichtlich vor ihrem natürlichen Ablaufdatum gelöscht, wenn der Verdacht auf Kompromittierung oder Missbrauch besteht.

Best Practices für das Maschinenidentitätsmanagement

• Generierung: Ein Zertifikat oder einen Schlüssel von einer Zertifizierungsstelle beziehen.
• Inventar: Gültigkeitszeitraum, Typ, Kettenposition und Netzwerkstandort erfassen.
• Verteilung: Die Identität wird auf dem Zielsystem, -gerät oder der Zielanwendung bereitgestellt.
• Überwachung: Laufende Funktions-, Sicherheits- und Compliance-Statusverfolgung.
• Erneuerung oder Rotation: Ersetzen Sie die Identität, bevor sie abläuft oder an Bedeutung verliert.
• Widerruf: Die Identität wird absichtlich vor ihrem natürlichen Ablaufdatum gelöscht, wenn der Verdacht auf Kompromittierung oder Missbrauch besteht.

Welche Faktoren führten zum Identitätsdiebstahl von Maschinen?

Im Folgenden sind einige Gründe aufgeführt, die zu einer Gefährdung der Maschinenidentität führen können:

• CA-Kompromiss

  Zertifizierungsstellen (CAs) werden kompromittiert, wenn Angreifer deren privaten Schlüssel stehlen, mit dem Zertifikate für Unternehmen signiert werden. Angreifer können diese gestohlenen Schlüssel nutzen, um Zertifikate für schädliche Anwendungen zu signieren und Browser so zu täuschen, dass diese als vertrauenswürdig gelten. Diese Zertifikate, sogenannte Rogue Certificates, werden häufig von Angreifern für Phishing- und Man-in-the-Middle-Angriffe verwendet. Die manipulierte Root-CA kann ihre Autorität missbrauchen und Zertifikate betrügerischer Server und Anwendungen signieren.

• Zertifikatsausfälle

  Ausgestellte Zertifikate haben eine Gültigkeitsdauer. Wird ein Zertifikat nicht vor Ablauf erneuert, kann es zu einem zertifikatsbedingten Ausfall des unterstützten Systems kommen. Bis zur Installation eines neuen Zertifikats bleiben der ungeplante Ausfall und die damit verbundene Ausfallzeit bestehen. Zertifikatsbedingte Ausfälle sind schwer zu identifizieren, ohne genau zu wissen, wo ein Zertifikat installiert ist und wer das System kontrolliert.

• Operative Ineffizienzen

  Jedes digitale Zertifikat, das zur Maschinenidentifikation dient, nimmt in Unternehmen jährlich einige Zeit in Anspruch. Bei Tausenden von Maschinenidentitäten kann der Aufwand schnell steigen. Die Verwaltung dieser Identitäten kann zudem komplizierter sein, wenn der Administrator mit Zertifikaten oder Trust Stores nicht vertraut ist. Der Zeitaufwand steigt zudem rapide an, wenn die Maschinenidentitätsvorgänge nicht reibungslos funktionieren, insbesondere bei Sicherheitsverletzungen oder Ausfällen.

• Unbekannte widerrufene Zertifikate

  Manchmal werden digitale Zertifikate vor Ablauf ihrer Gültigkeitsdauer widerrufen, weil ihr privater Schlüssel kompromittiert wurde oder die Anwendung, mit der das Zertifikat verknüpft ist, nicht mehr funktioniert. Manchmal werden Zertifikate von der Zertifizierungsstelle (CA) nicht widerrufen oder die Zertifikatssperrliste (Certificate Revocation List, CRL) wird nicht rechtzeitig aktualisiert, was dazu führt, dass ein widerrufenes Zertifikat als gültig anerkannt wird. Beispielsweise können Angreifer ein verwaistes Zertifikat für Phishing-Angriffe verwenden, wenn eine Anwendung deaktiviert, deren Zertifikat aber nicht rechtzeitig widerrufen wurde.

Herausforderungen im Maschinenidentitätsmanagement

Im Folgenden sind einige Herausforderungen aufgeführt, die das Machine Identity Management so wichtig machen:

• Sichtbarkeit

  Wenn in einer Organisation eine große Anzahl von Zertifikaten und Schlüsseln vorhanden ist, ist es schwierig, diese zu verfolgen. Viele Organisationen wissen nicht einmal, wie viele Zertifikate und Schlüssel sie besitzen, wie lange sie gültig sind und welche Richtlinien sie einhalten.

• Governance

  Das nächste Problem ist mangelnde Zuständigkeit und Kontrolle. In Organisationen werden SSH-Schlüssel und SSL/TLS-Zertifikate von verschiedenen Teams genutzt. Es gibt jedoch keine einheitlichen Richtlinien für deren Ausstellung, Zugriffsrechte, Schlüsselrotation, Zertifikatserneuerung usw.

• Schutz

  Digitale Zertifikate für die Maschinenidentitäten müssen von einer vertrauenswürdigen Zertifizierungsstelle (CA) ausgestellt werden. Private Schlüssel müssen in einem Hardware-Sicherheitsmodul (HSM) gespeichert und vor Missbrauch geschützt werden. Maschinenidentitäten können nur dann als vertrauenswürdig eingestuft werden, wenn diese Sicherheitsvorkehrungen getroffen wurden.

• Automation

  Die manuelle Verwaltung des Zertifikatslebenszyklus ist nicht nur zeitaufwändig, sondern auch fehleranfällig und höchst ineffizient. Das manuelle Ausstellen, Widerrufen, Erneuern und Prüfen von Zertifikaten kann zu Ausfallzeiten und Störungen führen.

Best Practices für das Maschinenidentitätsmanagement

• Zentralisieren Sie die Verwaltung

  Eine zentrale Maschinenidentität vereinfacht die Richtlinienimplementierung auf verschiedenen Geräten. Zertifikate können zudem anhand verschiedener Parameter wie Ablaufdatum, Kritikalität usw. gruppiert und Gruppenrichtlinien implementiert werden, um die Verwaltung zu vereinfachen. Ein angemessenes Richtlinienmanagement verhindert unbefugten Zugriff und ermöglicht es Maschinenidentitäten, ihre Aufgabe sicher zu erfüllen.

• Automation

  Der Prozess des Maschinenidentitätsmanagements kann automatisiert werden, um Aktionen sowohl für einzelne Maschinenidentitäten als auch für ganze Gruppen zu definieren. Alle Aktionen können im Voraus definiert und unter bestimmten Bedingungen ausgelöst werden. Registrierung, Bereitstellung, Erneuerung und Widerruf von Zertifikaten usw. können automatisiert werden, um Maschinenidentitäten aktuell zu halten und Ausfälle effektiv zu vermeiden. Kurz gesagt: Der gesamte Lebenszyklus der Maschinenidentität sollte automatisiert werden, einschließlich der Verwaltung von Zertifikaten und Schlüsseln, um Fehler bei manuellen Aktionen zu vermeiden.

• Lagerung

  Alle Maschinenidentitäten wie SSH-Schlüssel und digitale Zertifikate müssen zentral und sicher gespeichert werden. Die Speicherung kann in einem Hardware-Sicherheitsmodul (HSM) erfolgen, das FIPS 140-2 Level 3- konform ist. Das HSM schützt Zertifikate und Schlüssel auch dann, wenn das Benutzernetzwerk kompromittiert wird.

• SSH-Schlüsselrotation

  Organisationen müssen ihre SSH-Schlüssel nach einer bestimmten Zeit rotieren, um die Verwendung derselben SSH-Schlüssel über einen längeren Zeitraum durch die Generierung neuer Schlüssel zu verhindern. Die Schlüsselrotation erhöht die Sicherheit der SSH-Schlüssel und schützt vor Risiken wie der Verbreitung von Schlüsseln. Der Schlüsselrotationsprozess sollte automatisch und nicht manuell erfolgen, sodass die Schlüssel regelmäßig rotiert werden.

• Durchsetzung strenger Sicherheitsrichtlinien

  Unternehmen müssen strenge Sicherheitsrichtlinien einrichten und durchsetzen, um die Sicherheit ihrer Maschinenidentitäten zu gewährleisten und sicherzustellen, dass jede Maschinenidentität den geltenden gesetzlichen Vorschriften entspricht. Die Implementierung strenger Sicherheitsrichtlinien ermöglicht die Überwachung aller Aspekte der Maschinenidentität.

• Prüfung von Maschinenidentitäten

  Die Maschinenidentitäten sollten regelmäßig überprüft werden, um Schwachstellen wie ablaufende Zertifikate, schwache Passwörter usw. zu erkennen und Ausfälle zu vermeiden. Die Prüfung kann auch mithilfe von Drittanbieter-Tools automatisiert werden. Regelmäßige Prüfungen helfen Unternehmen, ihre Managementstrategien zu verbessern.

Komponenten des Maschinenidentitätslebenszyklus

Der Lebenszyklus einer Maschinenidentität umfasst verschiedene Komponenten, die jeweils eine entscheidende Rolle im Verlauf einer Maschinenidentität von der Erstellung bis zur Außerbetriebnahme spielen. Hier sind die wichtigsten Komponenten des Lebenszyklus einer Maschinenidentität:

• Generation/Erstellung

  In der ersten Phase wird eine Maschinenidentität generiert oder erstellt, beispielsweise digitale Zertifikate oder API-Schlüssel. Organisationen erhalten digitale Zertifikate von einer Zertifizierungsstelle (CA).

• Inventar

  Sobald Zertifikate ausgestellt sind, ist es wichtig, wichtige Details wie Gültigkeitsdauer, Typ, Position in der Kette und Netzwerkstandort zu dokumentieren. Diese Informationen werden immer wichtiger, wenn sich das Ablaufdatum der Zertifikate nähert.

• Verteilung/Bereitstellung

  Der Prozess der Bereitstellung der Maschinenidentität für die vorgesehenen Systeme, Geräte oder Anwendungen, um eine sichere Kommunikation zu ermöglichen.

• Überwachung/Verwaltung

  Laufende Überwachungs- und Verwaltungsaktivitäten, um die ordnungsgemäße Funktion, Sicherheit und Konformität der Maschinenidentitäten sicherzustellen.

• Erneuerung/Rotation

  Der Vorgang der Aktualisierung oder Erneuerung der Maschinenidentität, um die Sicherheit aufrechtzuerhalten und ein Ablaufen zu verhindern.

• Widerruf/Ungültigkeitserklärung

  Die absichtliche Beendigung einer Maschinenidentität vor ihrem Ablaufdatum, häufig aufgrund von Sicherheitsbedenken oder Missbrauch.

Wie Verschlüsselungsberatung hilft

CertSecure Manager bietet Ihnen eine zentrale Übersicht aller Zertifikate und Schlüssel in Ihrer Umgebung, automatisiert die Erneuerung und den Widerruf von Zertifikaten und kennzeichnet schwache oder ablaufende Maschinenidentitäten, bevor es zu Ausfällen kommt. Die Software basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen Maschinenidentität und Benutzeridentität?

Die Benutzeridentität basiert auf Anmeldeinformationen, die sich eine Person merken und eingeben kann, wie Benutzername und Passwort, oft ergänzt durch eine Zwei-Faktor-Authentifizierung (2FA). Die Maschinenidentität basiert auf kryptografischen Anmeldeinformationen, hauptsächlich Zertifikaten und Schlüsseln, die automatisch validiert werden, da eine Maschine während des Handshakes kein Passwort eingeben kann.

Warum kommt es so häufig zu Zertifikatsausfällen?

Ausfälle entstehen, weil Zertifikate eine feste Gültigkeitsdauer haben und ein ablaufendes Zertifikat ohne automatische Überwachung unbemerkt bleiben kann, bis es seine Gültigkeit verliert. Gemäß dem Zeitplan SC-081v3 des CA/Browser Forums verkürzt sich die Gültigkeit öffentlicher TLS-Zertifikate bis März 2027 auf 100 Tage und bis März 2029 auf 47 Tage, wodurch eine manuelle Verlängerung deutlich weniger praktikabel wird.

Benötigen Container und APIs auch Maschinenidentitäten?

Ja. Jede Entität, die sich über ein Netzwerk authentifiziert, einschließlich Container, Microservices und APIs, benötigt eine Maschinenidentität, um Vertrauen zu den Systemen herzustellen, mit denen sie kommuniziert. Daher geht das Management von Maschinenidentitäten heute weit über physische Server und Netzwerkhardware hinaus.

Was ist der erste Schritt beim Aufbau eines Programms zur Maschinenidentität?

Beginnen Sie mit der Bestandsaufnahme und Ermittlung: Anmeldeinformationen, die Sie nicht einsehen können, lassen sich weder sichern noch rotieren. Ein vollständiges, ständig aktualisiertes Inventar von Zertifikaten, Schlüsseln und SSH-Anmeldeinformationen bildet die Grundlage für alle weiteren Phasen des Lebenszyklus.

Erhalten Sie Einblick in jede von Ihnen ausgeführte Maschinenidentität.

CertSecure Manager erkennt, inventarisiert und automatisiert die Erneuerung aller Zertifikate und Schlüssel in Ihrer Umgebung und schließt so die Transparenzlücke, die zu Ausfällen und Sicherheitslücken führen kann. Erleben Sie CertSecure Manager in Aktion.