Waar u op moet letten bij een geautomatiseerde certificaatlevenscyclusoplossing 

Het beheer van een Public Key Infrastructure (PKI) was, toen deze voor het eerst werd ontwikkeld en in gebruik genomen, een tijdrovend en complex proces. Dit kwam doordat alle processen die betrokken waren bij het onderhouden van de certificaatlevenscyclus handmatig moesten worden uitgevoerd. Teams van PKI-beheerders moesten alle certificaten binnen hun organisatie opsporen, deze in een spreadsheet noteren en handmatig onthouden wanneer en welke certificaten op de juiste momenten vernieuwd moesten worden.

Dit kan leiden tot verstoring van de dienstverlening als de verlengingsdatum van een belangrijk certificaat niet wordt gehaald of vergeten, waardoor kritieke diensten uitvallen omdat ze geen geldig certificaat hebben. Hoewel dit de enige praktijk was toen PKI voor het eerst werd geïntroduceerd, stappen steeds meer bedrijven over op het automatiseren van taken in de levenscyclus van certificaten.

Bij handmatig certificaatbeheer moesten degenen die certificaten bewaakten de certificaten en hun verlengingsdata handmatig in spreadsheets invoeren om ze bij te houden. Gelukkig zijn er in de loop der tijd tools ontwikkeld om dit proces te automatiseren, waardoor automatisering veel eenvoudiger is geworden. Maar waarom zouden organisaties zo graag hun certificaatlevenscyclusbeheer willen automatiseren?

Waarom is geautomatiseerd certificaatbeheer zo belangrijk? 

Zoals ik al eerder aangaf, is het handmatig beheren van certificaten een extreem tijdrovend proces, met een grote kans op menselijke fouten, waardoor kritieke services mogelijk uitvallen. Het automatiseren van certificaatbeheer is ook essentieel vanwege de verkorting van de geldigheidsduur van certificaten. Een paar jaar geleden waren certificaten meestal vijf jaar geldig, maar in 2020 werd de maximale geldigheidsduur van certificaten verlaagd naar twee jaar, en nu is er een discussie om die maximale geldigheidsduur te verkorten tot 90 dagen.

Met kortere geldigheidsperioden wordt handmatig beheer van de certificaatlevenscyclus nog gevoeliger voor menselijke fouten, omdat er meer ruimte is voor vergissingen door de kortere periode waarin gegevens moeten worden bijgehouden. Een belangrijk onderdeel van dit automatiseringsproces is een volledig begrip van wat de certificaatlevenscyclus inhoudt. De certificaatlevenscyclus begint met het ontdekken van certificaten binnen een organisatie.

Het ontdekkingsproces omvat het doorzoeken van de organisatie naar certificaten die in gebruik zijn, het noteren van hun vervaldatum en de details van het certificaat zelf. Deze stap is essentieel voor het bijhouden van de status van certificaten en ervoor te zorgen dat certificaten tijdig worden verlengd om verstoring van de dienstverlening te voorkomen. De volgende stap in de levenscyclus van een certificaat is de uitgifte ervan. Zonder de initiële uitgifte van een certificaat is de rest van het proces irrelevant. Een certificaat wordt uitgegeven door een onderdeel van een PKI , namelijk een certificeringsinstantie.

Een certificeringsinstantie (CA) kan deel uitmaken van een interne PKI en alleen binnen de organisatie worden gebruikt, of het kan een externe PKI zijn die is opgezet en beheerd door een bekende en vertrouwde organisatie. De uitgifte van het certificaat is pas voltooid nadat aan bepaalde voorwaarden voor de certificaataanvrager is voldaan. Meestal houdt dit in dat wordt gecontroleerd of de aanvrager lid is van de organisatie en gemachtigd is om een ​​certificaat te ontvangen. Na de uitgifte volgt de installatie van het certificaat.

De installatiestap omvat de installatie van het certificaat op een gemakkelijk toegankelijke en veilige locatie, zodat het certificaat zelf, indien nodig, kan worden gebruikt, maar niet zomaar iedereen met toegang tot de computer het certificaat kan stelen en misbruiken. De volgende fase is de opslag van het certificaat. Installatie en opslag gaan hand in hand, aangezien het veilig opslaan van het certificaat onderdeel is van het installatieproces.

Opslag is van cruciaal belang voor een certificaat, omdat een kwaadwillende toegang kan krijgen tot een onveilig opgeslagen certificaat en zich kan voordoen als zijn slachtoffer. Met een valse identiteit en toegang tot dezelfde systemen als het slachtoffer, kan een aanvaller een organisatie bestelen of zelfs nog grotere schade aanrichten met malware , vermomd als een betrouwbare medewerker. Monitoring is de volgende stap in de levenscyclus en een van de belangrijkste stappen.

Het bijhouden van de vervaldatums van certificaten en het up-to-date houden ervan is een continu proces dat te allen tijde moet worden voortgezet. Het missen van de vervaldatum van één certificaat kan leiden tot een grote verstoring van de dienstverlening, waarbij bepaalde diensten uitvallen omdat ze geen geldig certificaat hebben. De laatste drie stappen in de levenscyclus van een certificaat kunnen in één keer worden besproken, omdat het vergelijkbare maar afzonderlijke stappen zijn: verlenging, intrekking en vervanging.

Vernieuwing is het proces waarbij een certificaat dat is verlopen, of vaker nog, een certificaat dat op het punt staat te verlopen, wordt vernieuwd. Het is beter om een ​​certificaat te vernieuwen vóór de vervaldatum, omdat het laten verlopen van het certificaat en het vervolgens vernieuwen ertoe kan leiden dat diensten die een certificaat nodig hebben om te functioneren, uitvallen.

Een certificaat wordt alleen ingetrokken als blijkt dat het door een aanvaller is gecompromitteerd, of als het apparaat of de persoon die het certificaat heeft uitgegeven de organisatie heeft verlaten. Als een aanvaller een certificaat heeft gecompromitteerd, voorkomt intrekking dat hij of zij het certificaat misbruikt. Hetzelfde geldt als een medewerker de organisatie heeft verlaten.

Het vervangen van een certificaat is doorgaans de minst voorkomende fase in de levenscyclus van een certificaat. Als een organisatie overstapt van een externe PKI naar een interne PKI, worden alle certificaten binnen de organisatie vervangen door nieuwe certificaten van de interne PKI. Omdat dit een complex en tijdrovend proces is, is het voor organisaties vaak eenvoudiger om de externe PKI onbeperkt te blijven gebruiken.

Belangrijke mogelijkheden van een certificaatlevenscyclusoplossing

Nu we een beter begrip hebben van de certificaatlevenscyclus als geheel, laten we eens kijken wat een certificaatlevenscyclusoplossing (CLS) precies doet. Simpel gezegd automatiseert een certificaatlevenscyclusoplossing de dagelijkse en langetermijnprocessen die komen kijken bij het onderhouden van een certificaatlevenscyclus. Elke stap in de certificaatlevenscyclus wordt gedekt door een krachtige CLS, waardoor u certificaten nooit meer handmatig hoeft te beheren.

Een voorbeeld van een proces dat een CLS kan verzorgen, is de automatische detectie en catalogisering van alle certificaten binnen een organisatie. Integratie met tools zoals Nessus stelt een CLS in staat om alle certificaten binnen een organisatie te vinden en te beheren, waarbij de CLS de intrekking, verlenging en vervanging van certificaten afhandelt wanneer dat nodig is. Er zijn een aantal kernfunctionaliteiten of mogelijkheden die een CLS zou moeten hebben als u overweegt er een te gebruiken.

1. Integratie met externe applicaties van een organisatie

   Als een CLS niet eenvoudig kan worden geïntegreerd met externe applicaties of systemen die binnen uw organisatie worden gebruikt en waarvoor certificaten nodig zijn, dan is die CLS waarschijnlijk niet geschikt voor u. Uw bedrijf moet erop kunnen vertrouwen dat alles wat een certificaat gebruikt, correct wordt bewaakt en dat de CLS te allen tijde betrokken is.

2. Gecentraliseerd sleutelbeheer

   Een CLS biedt bovendien het extra voordeel van gecentraliseerd sleutelbeheer . Met een CLS worden alle sleutels veilig op één locatie opgeslagen, waardoor alle certificaatsleutels binnen de organisatie centraal beheerd kunnen worden.

3. Geautomatiseerde processen voor elke stap in de certificaatlevenscyclus

   Zoals de functie al aangeeft, moet een CLS geautomatiseerde processen hebben voor elke stap in de certificaatlevenscyclus om als nuttig te worden beschouwd. Dit geldt voor elke stap in de levenscyclus. Wanneer u de functies van een CLS bekijkt, moet u er dus voor zorgen dat er een geautomatiseerde functie is voor elke fase van de certificaatlevenscyclus.

4. Hoge beschikbaarheid

   Elke CLS moet direct beschikbaar zijn als deze in de systemen van uw organisatie wordt geïntegreerd. Hoge beschikbaarheid van een CLS betekent dat het platform te allen tijde en op elke locatie waar uw organisatie gevestigd is, gebruikt kan worden, dat er back-upservers of hardwarebeveiligingsmodules aanwezig moeten zijn voor het geval er een uitvalt, en dat de tool in het algemeen gemakkelijk toegankelijk moet zijn.

5. Mogelijkheid om eenvoudig te auditen

   Een ander belangrijk aspect van een CLS om op te letten, is de ingebouwde rapportagefunctie. Deze rapportagefunctie moet certificaten en sleutels bijhouden, wanneer ze worden gebruikt en door wie ze worden gebruikt. Dit maakt het gemakkelijker als uw organisatie in de loop der jaren een auditproces moet doorlopen.

6. Alarmering

   Tot slot moet er ook een waarschuwingsfunctie zijn. Dit betekent dat belangrijke certificaten die in gebruik zijn, een waarschuwing sturen wanneer ze zijn gebruikt. Daarnaast moet er een waarschuwing worden verzonden wanneer een certificaat bijna verloopt en wanneer het is verlengd.

Conclusie   

Oplossingen voor de levenscyclus van certificaten zijn de toekomst van PKI-beheer, omdat ze het proces van handmatige certificaatregistratie overbodig maken. De snelheid en efficiëntie die een CLS een organisatie biedt, zijn ongeëvenaard.