Wat is Machine Identity Management?

In een beveiligde netwerkomgeving verwijst machine identity management naar de systemen en processen voor het beheren van de authenticatie van inloggegevens die nodig zijn om machines toegang te geven tot resources en andere machines. In de context van machine identity management omvat een machine een breed scala aan entiteiten die een unieke identiteit vereisen voor beveiligde verbindingen en communicatie. Het omvat niet alleen tastbare hardwarecomponenten, maar kan ook codefragmenten en API's (Application Programming Interfaces) bevatten. Elke machine in een moderne digitale bedrijfsomgeving, van computers en mobiele apparaten tot servers en netwerkinfrastructuur, heeft een machine-identiteit.

Een steeds toenemend aantal machine-interacties, inherent aan gedigitaliseerde processen, vormt een aanzienlijk risico voor het voortbestaan ​​van bedrijven zonder adequaat authenticatiebeheer. Met behulp van cryptografische sleutels en digitale certificatenkunnen deze systemen bepalen of de interactie betrouwbaar is of niet.

Deze machine-identificatie is een digitale referentie of 'vingerafdruk' die wordt gebruikt om vertrouwen te creëren, andere machines te authenticeren en communicatie te versleutelen. Ongeacht het aantal betrokken identiteiten of de complexiteit van het bedrijfsnetwerk, is het essentieel dat de volledige levenscyclus van machine-identiteiten effectief wordt beheerd, zodat alleen legitieme gebruikers of machines toegang hebben.

Machine-identiteiten moeten worden gevalideerd om een Zero Trust-beveiligingsmodel gebaseerd op het concept “Vertrouw niet, controleer altijd.” Publieke Sleutel Infrastructuur (PKI) Certificaten en cryptografische sleutelparen kunnen worden gebruikt om de verificatie te versterken en verbindingen tussen entiteiten buiten een netwerkarchitectuur met firewall te beveiligen.

Wat is machine-identiteit?

Over het algemeen wordt de gebruikersidentiteit weergegeven door gebruikersnaam en wachtwoord. Wanneer een gebruiker inlogt bij een applicatie, voert hij of zij zijn of haar gebruikersnaam en wachtwoord in. De applicatie controleert de gebruikersnaam en het wachtwoord in de database. Als de gegevens overeenkomen, wordt de gebruiker geauthenticeerd en krijgt hij of zij toegang tot de applicatie.

Evenzo moeten machines worden geauthenticeerd voor veilige communicatie met andere machines. Een machine-identificatie is veel meer dan een digitaal ID-nummer of een simpele identificatie zoals een serienummer of onderdeelnummer. Het is een verzameling geauthenticeerde inloggegevens die bevestigen dat een systeem of gebruiker toegang heeft tot onlinediensten of een netwerk. Een machine kan geen gebruikersnaam en wachtwoord invoeren. In plaats daarvan gebruiken ze een set inloggegevens die beter geschikt zijn voor sterk geautomatiseerde en gekoppelde instellingen. Machines hebben digitale certificaten en sleutels om hun identiteit vast te stellen.

Om netwerkcommunicatie te beveiligen, controleert en verifieert elk internetprotocol (HTTPS, SSH, FTP, enzovoort) de identiteit van machines.

Werking van machine-identiteit

Om de werking van machine-identiteit te begrijpen, bekijken we de algemene machine-to-machine-communicatie tussen server en client.

Wanneer een client verbinding probeert te maken met een webserver, verstrekt de server zijn digitale certificaat bij ontvangst van de verbindingsaanvraag. Daarna verifieert de client het digitale certificaat (SSL/TLS-certificaten) en de identiteit van de server. Bij gevoelige applicaties kan de server de client ook vragen zijn identiteit te verifiëren door zijn certificaat te delen. Na de authenticatie wisselen beide partijen sleutels uit voor encryptie en hashing, waarna een beveiligde sessie tot stand komt.

Machine-identiteitshandhavers

Omdat de machines geen gebruikersnaam en wachtwoord kunnen invoeren, gebruiken ze inloggegevens die beter geschikt zijn voor sterk geautomatiseerde en gekoppelde instellingen. In plaats daarvan worden digitale certificaten en sleutels gebruikt om machine-identiteiten vast te stellen. Aan de andere kant variëren certificaten en sleuteltypen afhankelijk van de machine, het communicatieprotocol en het gebruik.

Hieronder staan ​​enkele veelgebruikte certificaten en sleutels die de identiteit van een machine bepalen:

• SSH-sleutels en certificaten

  Gebruikers, meestal systeembeheerders, gebruiken SSH-sleutels om bevoorrechte toegang tot kritieke systemen te beveiligen. Omdat SSH-sleutels worden gebruikt om toegang tot belangrijke IT-systemen te autoriseren, is het SSH-protocol veiliger dan TLS/SSL. Hoewel het niet gebruikelijk is om SSH-certificaten te gebruiken voor authenticatie, is het aan te raden omdat het het handmatige, onveilige proces van sleutelgoedkeuring en -distributie elimineert.

• Code Signing-certificaten

  Code-ondertekening Certificaten garanderen dat scripts, uitvoerbare bestanden en softwarebuilds authentiek zijn en voorkomen dat ermee wordt geknoeid. Dit wekt vertrouwen bij gebruikers.

• Cryptografische sleutels

  Cryptografische sleutels, met name symmetrische sleutels, worden gebruikt om data in rust en data tijdens de overdracht te beschermen en creditcard- en andere PII-gegevens (Persoonlijk Identificeerbare Informatie) te versleutelen. Symmetrische sleutels zijn echter minder veilig, maar sneller en efficiënter dan cryptografie met openbare sleutels.

• X.509-certificaten

  X.509-certificaten zijn de meest gebruikte machine-identificatiecertificaten en vormen de ruggengraat van de Public Key Infrastructure (PKI). Server-client-authenticatie via het HTTPS-protocol (gebaseerd op het TLS/SSL-protocol) en het digitaal ondertekenen van offline applicaties gebruiken deze certificaten voor authenticatie.

Het belang van machine-identiteitsbeheer

Machine Identity Management is een brede term die verschillende technologieën omvat die momenteel voornamelijk geïsoleerd zijn, zoals SSH-sleutelbeheer, X.509 Certificaatbeheer, Etc.

• Om de identiteit van de machine te beschermen

  Stel dat iemand op welke manier dan ook je identiteit te pakken krijgt. Ze kunnen dan toegang krijgen tot je persoonlijke gegevens, zoals je creditcardgegevens, socialemedia-accounts, enzovoort. Ze kunnen een grote transactie vanaf je rekening uitvoeren en zich voordoen als hun identiteit. Iets soortgelijks kan gebeuren als iemand de identiteit van een machine steelt, en dat kan op grote schaal gebeuren, omdat de machine gegevens van duizenden personen kan bevatten.
  De aanvaller krijgt toegang tot het diepe netwerk wanneer de identiteit van een cruciaal netwerkapparaat, zoals een webserver of loadbalancer, wordt gecompromitteerd. Vervolgens kan hij beheerdersrechten verkrijgen en schadelijke code in kritieke apparaten injecteren, waardoor deze niet meer goed functioneren of zelfs systemen worden uitgeschakeld. Dit kan ernstige schade veroorzaken aan zowel klanten als gebruikers van de organisatie.

• Blijf op de hoogte van de explosieve groei van machines

  Het aantal machines wereldwijd overtreft het aantal mensen dat ze gebruikt. Het enorme aantal machine-identiteiten dat beveiligd moet worden, waaronder mobiele, cloud- en IoT-apparaten, maakt het beveiligen van machine-identiteiten aanzienlijk moeilijker.

• De proliferatie van veilige cloudgebaseerde machines

  De snelle evolutie van cloudservices vereist een snelle beoordeling van de betrouwbaarheid van machines, waaronder cloudworkloads, virtuele machines, containers en microservices. Vanwege de vloeiende aard van hun interacties kan hun identiteit in gevaar komen.

• Bescherm de identiteit van aangesloten apparaten

  Er zijn een aantal apparaten waarvan de identiteit is verbonden met het internet, zoals robots, medische apparatuur, sensoren, etc. Veel van deze apparaten gebruiken gecodeerde kanalen die worden aangestuurd door machine-identiteiten om belangrijke gegevens te verzenden en op te slaan.

Welke factoren leiden tot identiteitsdiefstal van machines?

Hieronder staan ​​enkele redenen die de identiteit van machines in gevaar kunnen brengen:

• CA-compromis

  Certificeringsinstanties (CA's) worden gecompromitteerd wanneer aanvallers hun privésleutel stelen, die gebruikt wordt om certificaten te ondertekenen die aan bedrijven zijn uitgegeven. Aanvallers kunnen deze gestolen privésleutels gebruiken om certificaten voor kwaadaardige applicaties te ondertekenen en browsers te laten geloven dat ze betrouwbaar zijn. Deze certificaten, ook wel frauduleuze certificaten genoemd, worden veel gebruikt door aanvallers om phishing en man-in-the-middle-aanvallen te verspreiden. Deze frauduleuze tussenliggende root-CA kan zijn autoriteit misbruiken en certificaten van frauduleuze servers en applicaties ondertekenen.

• Certificaatuitval

  Aan uitgegeven certificaten is een geldigheidsperiode gekoppeld. Als een certificaat niet wordt verlengd voordat het verloopt, kan dit leiden tot een certificaatgerelateerde storing op het systeem dat het ondersteunt. Totdat een nieuw certificaat is geïnstalleerd, blijven de ongeplande storing en de bijbehorende downtime bestaan. Certificaatgerelateerde storingen zijn moeilijk te identificeren zonder precies te weten waar een certificaat is geïnstalleerd en wie dat systeem beheert.

• Operationele inefficiënties

  Het beheer van elk digitaal certificaat dat als machine-identificatie dient, kost organisaties jaarlijks enige tijd. Met duizenden machine-identiteiten kan de overhead snel toenemen. Bovendien kan het beheer van deze identiteiten complexer zijn wanneer de beheerder niet bekend is met certificaten of trust stores. De benodigde tijd zal bovendien snel toenemen als de machine-identiteitsprocessen niet soepel verlopen, vooral bij een inbreuk of storing.

• Onbekende ingetrokken certificaten

  Soms worden digitale certificaten ingetrokken vóór hun geldigheidsperiode omdat hun privésleutel is gecompromitteerd of de applicatie waaraan het certificaat is gekoppeld, niet meer werkt. Soms worden certificaten niet ingetrokken door een certificeringsinstantie (CA) of wordt de certificaatintrekkingslijst (CRL) niet tijdig bijgewerkt, waardoor een ingetrokken certificaat als geldig wordt herkend. Aanvallers kunnen bijvoorbeeld een weescertificaat gebruiken voor phishingaanvallen als een applicatie offline is, maar het certificaat niet op tijd is ingetrokken.

Uitdagingen bij machine-identiteitsbeheer

Hieronder staan ​​enkele uitdagingen die Machine Identity Management cruciaal maken:

• Zichtbaarheid

  Wanneer er een groot aantal certificaten en sleutels binnen een organisatie is, is het lastig om ze te volgen. Veel organisaties weten zelfs niet hoeveel certificaten en sleutels ze hebben, wat hun geldigheidsduur is en welk beleid ze naleven.

• Bestuur

  Het volgende probleem is een gebrek aan eigenaarschap en controle. In organisaties zijn SSH-sleutels en SSL/TLS-certificaten worden door verschillende teams gebruikt. Maar er is geen consistent beleid over hoe ze worden uitgegeven, wie er toegang toe heeft, de roulatie van sleutels, de verlenging van de certificaten, enzovoort.

• Bescherming

  Digitale certificaten voor de machine-identiteiten moeten worden verstrekt door een vertrouwde certificeringsinstantie (CA). Privésleutels moeten worden opgeslagen in Hardwarebeveiligingsmodule (HSM) en beschermd tegen inbreuken. Machine-identiteiten zijn niet te vertrouwen als deze beveiligingen niet aanwezig zijn.

• Automatisering

  Handmatig beheer van certificaat levenscyclus Het is niet alleen tijdrovend, maar ook foutgevoelig en zeer inefficiënt. Het handmatig uitgeven, intrekken, verlengen en controleren van certificaten kan leiden tot downtime en uitval.

Best practices voor machine-identiteitsbeheer

• Centraliseer beheer

  Er moet een gecentraliseerde machine-identiteit zijn die de implementatie van beleid op verschillende apparaten stroomlijnt. Certificaten kunnen ook worden gegroepeerd op basis van meerdere parameters, zoals vervaldatum, kriticiteit, enz., en groepsbeleid implementeren, waardoor ze eenvoudig te beheren zijn. Er moet goed beleidsbeheer zijn dat ongeautoriseerde toegang voorkomt en machine-identiteiten in staat stelt hun werk veilig uit te voeren.

• Automatisering

  Het proces voor machine-identiteitsbeheer kan worden geautomatiseerd, wat helpt bij het definiëren van een actie voor een enkele machine-identiteit of voor een hele groep. Alle acties kunnen vooraf worden gedefinieerd en geactiveerd op basis van specifieke voorwaarden. Inschrijving, provisioning, verlenging, intrekking van certificaten, enz. kunnen worden geautomatiseerd, wat helpt om machine-identiteiten up-to-date te houden en uitval effectief te elimineren. Kortom, de volledige levenscyclus van machine-identiteiten moet worden geautomatiseerd, inclusief het beheer van de levenscyclus van certificaten en sleutels, om fouten te voorkomen die bij handmatige acties kunnen ontstaan.

• Opslag

  Alle machine-identiteiten, zoals SSH-sleutels en digitale certificaten, moeten worden opgeslagen in een gecentraliseerde, beveiligde omgeving. Identiteiten kunnen worden opgeslagen in een Hardware Security Module (HSM). FIPS 140-2 niveau 3 compliant. HSM houdt het certificaat en de sleutels veilig, zelfs als het gebruikersnetwerk wordt gecompromitteerd.

• SSH-sleutelrotatie

  Organisaties moeten hun SSH-sleutels na een bepaalde periode roteren om te voorkomen dat dezelfde SSH-sleutels langdurig worden gebruikt door nieuwe sleutels te genereren. Sleutelrotatie versterkt de beveiliging van SSH-sleutels en beschermt tegen risico's zoals key sprawl. Het sleutelrotatieproces zou automatisch moeten verlopen in plaats van handmatig, zodat sleutels regelmatig geroteerd moeten worden.

• Handhaaf een sterk beveiligingsbeleid

  Organisaties moeten een sterk beveiligingsbeleid opstellen en handhaven om de identiteit van hun machines te beveiligen en ervoor te zorgen dat elke machine-identiteit voldoet aan de toepasselijke overheidsvoorschriften. Door een sterk beveiligingsbeleid te implementeren, kunt u elk aspect van de machine-identiteit bewaken.

• Controle van machine-identiteiten

  Machine-identiteiten moeten regelmatig worden gecontroleerd. Dit helpt bij het opsporen van kwetsbaarheden zoals verlopen certificaten, zwakke wachtwoorden, enz., en voorkomt uitval. Controles kunnen ook worden geautomatiseerd met behulp van tools van derden. Regelmatige controles helpen een organisatie haar beheerstrategieën te verbeteren.

Componenten van de Machine Identity Lifecycle

De levenscyclus van een machine-identiteit omvat verschillende componenten, die elk een cruciale rol spelen in de reis van een machine-identiteit, van creatie tot afdanking. Dit zijn de belangrijkste componenten van de levenscyclus van een machine-identiteit:

• Generatie/Schepping

  De eerste fase omvat het genereren of aanmaken van een machine-identiteit, zoals digitale certificaten of API-sleutels. Organisaties verkrijgen digitale certificaten van een certificeringsinstantie (CA).

• Inventaris

  Zodra certificaten zijn uitgegeven, is het cruciaal om belangrijke details zoals geldigheidsperiode, type, positie in de keten en netwerklocatie te documenteren. Deze informatie wordt essentieel naarmate de vervaldatum van certificaten nadert.

• Distributie/implementatie

  Het proces waarbij de machine-identiteit wordt geïmplementeerd op de beoogde systemen, apparaten of toepassingen om veilige communicatie mogelijk te maken.

• Monitoring/Beheer

  Doorlopende toezicht- en beheeractiviteiten om de juiste werking, beveiliging en naleving van machine-identiteiten te garanderen.

• Vernieuwing/Rotatie

  Het proces van het bijwerken of vernieuwen van de machine-identiteit om de beveiliging te handhaven en te voorkomen dat deze verloopt.

• Intrekking/Nietigverklaring

  Het opzettelijk beëindigen van de identiteit van een machine vóór de vervaldatum, vaak vanwege zorgen over de beveiliging of misbruik.

Conclusie

In de huidige digitale omgevingen is apparaatbeheer essentieel om veilige communicatie te garanderen en identiteitsdiefstal te voorkomen. Encryption Consulting biedt uitgebreide oplossingen voor de uitdagingen van apparaatidentiteitsbeheer, waaronder zichtbaarheid, governance, beveiliging en automatisering..