Een vals gevoel van veiligheid kan veel gevaarlijker zijn dan het ontbreken ervan. Denk maar aan een onderzoeker in een groot bedrijf die bestanden deelde met behulp van Azure's SAS-tokens, maar door een aantal verkeerde configuraties per ongeluk toegang kreeg tot de volledige opslageenheid in plaats van specifieke bestanden.
Als het om beveiliging gaat, is implementatie belangrijker dan bewustwording. Het doel van Public Key Infrastructure (PKI) is het verkrijgen van vertrouwen door het uitgeven en beheren van Digitale certificaten waar veilig vertrouwen binnen een omgeving wordt gecreëerd.
Certificaten fungeren als een soort rijbewijs en bevatten alle informatie die nodig is om de identificatie van de gebruiker, de server of de uitgevende instantie en het eigendom van de openbare sleutel te garanderen.
Geheimen van PKI: Risico's waar u zich bewust van moet zijn bij de implementatie van PKI
- Hoe kunnen we certificeringsinstanties (CA's) vertrouwen?
Hoewel een certificeringsinstantie (CA) zich mogelijk houdt aan de Certificate Practice Statement (CPS), bevat dit document vaak disclaimers die de verantwoordelijkheid van de CA afschuiven en stellen dat zij geen verantwoordelijkheid dragen voor de wijze waarop certificaten worden gebruikt. Dit betekent dat een correct uitgegeven certificaat niet automatisch garandeert dat het voor alle toepassingen betrouwbaar is.
- Wat is er mis met het vertrouwen in identiteitscertificaten (ID-certificaten)?
De foutieve logica achter het vertrouwen op een identiteitscertificaat is als volgt: als je een identiteitscertificaat hebt, geeft het je de naam van de sleutelhouder. Als je de naam van de sleutelhouder kent, weet je wie hij of zij is, en dat is alles wat je nodig hebt. Deze redenering klopt echter niet, want het kennen van iemands identiteit garandeert niet dat die persoon geautoriseerd of betrouwbaar is voor specifieke acties.
- Hoe veilig wordt uw privésleutel opgeslagen??
Deze zorg hangt nauw samen met het concept van 'onweerlegbaarheid'. PKI-leveranciers benaderen deze term in juridische context en dringen aan op wetgeving die bepaalt of iemand uw persoonlijke ondertekeningssleutel gebruikt. U kunt de verantwoordelijkheid voor de resulterende handtekening niet ontkennen. In sommige rechtsgebieden, zoals Utah en Washington, bent u, als uw persoonlijke ondertekeningssleutel is gecertificeerd door een erkende certificeringsinstantie (CA), wettelijk verantwoordelijk voor alle acties die met die sleutel worden uitgevoerd, ongeacht of een virus of iemand anders toegang heeft gehad tot uw apparaat.
Top 4 use cases van PKI volgens onze ervaring:
- PKI voor webapplicaties
We komen HTTPS vaak tegen tijdens het internetten, maar wat is het verschil met HTTP? HTTPS is een beveiligde versie van HTTP en de belangrijkste manier om websites te bezoeken. Het woord "beveiligd" geeft aan dat de verbinding met de server versleuteld is . Laten we eens kijken hoe Hypertext Transfer Protocol Secure (HTTPS) werkt. Om ervoor te zorgen dat we verbinding maken met een geauthenticeerde server, accepteert onze browser eerst een certificaat van de server. Vervolgens valideert de browser het certificaat en gebruikt de publieke sleutel in het certificaat om een ​​beveiligde verbinding tot stand te brengen. Dat certificaat bewijst de authenticiteit van de server, verhoogt de beveiliging, versleutelt de verbinding en zorgt ervoor dat de gebruiker de website kan vertrouwen. Als het certificaat ongeldig of verlopen is , waarschuwt de browser de gebruiker dat de website niet te vertrouwen is en kan de gebruiker zelfs de toegang tot die website worden geweigerd. De browser kan de gebruiker ook de toegang tot websites die geen HTTPS-verbinding gebruiken, ontzeggen.
- Geen-aanraking
Zero-Touch Email Encryption automatiseert de implementatie van S/MIME (Secure/Multipurpose Internet Mail Extensions) e-mail PKI binnen de gehele organisatie. Door S/MIME voor e-mail te gebruiken, kunnen zowel de afzender als de ontvanger hun bestaande S/MIME-compatibele e-mailapplicaties blijven gebruiken. Dit in tegenstelling tot andere methoden waarbij gebruikers een tweede e-mailapplicatie of webportaal moeten openen, wat de gebruikerservaring verstoort. Bij de implementatie doorlopen gebruikers doorgaans een omslachtig en foutgevoelig proces van het downloaden en installeren van S/MIME-certificaten in hun e-mailclient. Zero-Touch Email Encryption daarentegen stelt gebruikers in staat om PKI met één klik te implementeren. Het publiceert automatisch certificaten naar de wereldwijde adreslijst van het bedrijf, waardoor gebruikers geen back-ups meer hoeven te maken van hun sleutels en de problemen met certificaatvernieuwing worden voorkomen.
- Code ondertekening
Met Code Signing-certificaten kunnen ontwikkelaars applicaties en softwareprogramma's digitaal ondertekenen om de bron van het bestand te verifiëren en te garanderen dat het op geen enkele manier is gewijzigd. In tegenstelling tot sommige andere codesigning-producten wordt de volledige softwarelevenscyclus ondersteund, van goedkeuringsbeheer tot ondertekeningsbewerkingen en daaropvolgend onderhoud. Code Signing ondersteunt 32-bits of 64-bits code en alle bestandstypen, inclusief drivers, firmware, scripts en applicaties. Dankzij functies voor uitgifte, beheer en verlenging/intrekking/vervanging op ondernemingsniveau krijgen ontwikkelteams meer cryptografische flexibiliteit en een kortere time-to-market.
- IoT (internet der dingen)
Het IoT-platform combineert uitgebreide beveiligingstechnologie voor embedded apparaten met de uitgifte en het beheer van certificaten van derden, speciaal ontwikkeld voor het Internet of Things. Het IoT-platform omvat geïntegreerde beveiligingsoplossingen voor apparaatbeveiliging, zoals beveiligd opstarten, embedded firewalls, TPM-integratie en beveiligde firmware-updates met waarschuwingen. Het omvat ook de uitgifte en het beheer van certificaten van cloud-native of on-premise CA's, speciaal ontworpen voor IoT.
Hoe kan Encryption Consulting helpen?
De PKI-services en PKI-as-a-service van Encryption Consulting kunnen u helpen bij het beheren van uw PKI en het beveiligen van het digitale netwerk van uw organisatie. We kunnen uw PKI-systemen ontwerpen, implementeren, beheren en migreren, afgestemd op uw specifieke behoeften. Het beheren van PKI kan ontmoedigend lijken met de toenemende cyberdreigingen. Maar u kunt erop vertrouwen dat onze ervaren medewerkers u helpen bij het opzetten en bewaken van uw PKI. We kunnen uw PKI beoordelen op basis van ons eigen framework en u voorzien van best practices voor PKI- en HSM-implementaties.
Conclusie
Inzicht in zowel de potentiële risico's als de uiteenlopende toepassingsmogelijkheden is cruciaal om de voordelen van Public Key Infrastructure (PKI) te maximaliseren en tegelijkertijd de inherente kwetsbaarheden ervan te beperken. Door digitale certificaten uit te geven en te beheren, faciliteert PKI veilige authenticatie, encryptie en communicatie, waardoor de algehele cyberbeveiliging wordt verbeterd. Een effectieve implementatie van PKI vereist echter nauwgezet sleutelbeheer, waakzame procedures voor certificaatuitgifte en robuuste beveiligingsmaatregelen om risico's zoals het compromitteren van sleutels en de uitgifte van frauduleuze certificaten te beperken.
