Allt du behöver veta om PKI-granskning 

PKI är ryggraden i organisationers säkerhetsarkitektur och säkerställer en smidig funktion kryptering, autentisering och säker kommunikation över internet. För att ett sådant komplext system ska fungera effektivt och säkert krävs kontinuerlig övervakning och utvärdering. Det är där en PKI-revision kommer till undsättning för att garantera att din PKI-infrastruktur kan bekämpa de växande hoten som fortsätter att bli mer avancerade och uppfylla de ständigt föränderliga kriterierna för regelverk och efterlevnad.  

Vikten av PKI-revision 

En PKI-revision är en nödvändighet i en tid som denna. Detta strategiska drag hjälper till att bedöma den nuvarande miljön för säkerhetsluckor. Det säkerställer överensstämmelse med alla nödvändiga affärsdrivkrafter och PKI-krav, vilket fungerar som ett proaktivt steg mot att förbättra er säkerhetsställning och uppfylla alla efterlevnadskrav.

En detaljerad gapanalys som en del av en PKI-revision ger en omfattande översikt över alla dina PKI-tjänst domäner. Detta inkluderar styrning, systemarkitekturdesign, drift, risk- och efterlevnadsövervakning, och certifikatlivscykelhanteringDenna grundliga granskning säkerställer att ingen aspekt av din PKI förbises, vilket ger dig en tydlig förståelse för ditt säkerhetslandskap.  

Du får möjlighet att jämföra mognaden hos din PKI-miljö mot ett definierat ramverk och jämförande organisationer samt granska säkerhetskontrollerna, vilket främjar en känsla av konkurrens och motivation att förbättra. 

Varför skaffa en PKI-granskning? 

1. Leverantörsberoende och inlåsning

   En PKI-granskning avslöjar er PKI-infrastrukturs beroende av leverantörer för att bedöma tillförlitlighet och minska riskerna för inlåsning. Inlåsning kan leda till minskad kontroll i framtiden, vilket begränsar flexibilitet och förhandlingsstyrka.

2. Upptäck vanliga driftsättningsmisstag

   En av de mer vanliga misstag med en PKI är bristen på planering och spårning. Dålig planering under arkitekturimplementeringen kan skada en PKI kritiskt, eftersom det öppnar säkerhetsluckor som en angripare kan utnyttja. Dålig planering leder också till dålig certifikat- och nyckelhantering, vilket erbjuder ytterligare en möjlighet för angripare att utnyttja.

   Förutom planering kan dålig spårning av PKI-tillgångar också orsaka problem. En PKI-granskning fungerar som den första att spåra de olika komponenterna i din PKI, vilket ger dig mer transparens i dess interna funktion för att hjälpa dig att minska risker.

3. Djupare titt på hur root-CA-säkerhet fungerar

   Som roten för förtroende är rot-CA:n avgörande för PKI:n och måste därför vara väl skyddad. Om rot-CA:n skulle komprometteras skulle hela PKI:n behöva återskapas från grunden, eftersom inga certifikat som utfärdats inom den PKI:n längre skulle vara betrodda. En PKI-granskning ger dig insikter i effektiviteten hos din rot-CA:s säkerhetsnivåer, vilket hjälper till att hålla rot-CA:ns nycklar säkra från externa attacker.

4. Bedöm effektiviteten i din certifikatlivscykelhantering

    Om certifikat komprometteras eller lämnas oanvända kan illvilliga användare använda certifikaten för att stjäla eller komma åt känsliga data. Om en användares eller ett programs certifikat skulle ut utan förnyelse kan tjänsten eller applikationen förloras.

   En grundlig revision hjälper dig att upptäcka dessa certifikat och hitta hanteringsluckor som behöver åtgärdas för att ha en effektiv digital certifikathanteringsprocess.

5. Analysera säkerhetsnivåerna vid lagring av certifikat och nycklar

   Hackare kan använda olika tekniker för att analysera och upptäcka nycklar medan de används eller transporteras. Att säkerställa att nycklarna förvaras säkert under FIPS 140-2 Nivå 3-system är nödvändiga.

   Bruce Schneier, en universellt respekterad amerikansk kryptograf och säkerhetsforskare, skriver om nyckelsäkerhet med så mycket allvar att du inte kan låta bli att känna dig lite skyldig över allt du inte gör:

   ”En av de största riskerna i alla CA-baserade system är din privata signeringsnyckel. Hur skyddar du den? Du äger nästan säkert inte ett säkert datorsystem med fysiska åtkomstkontroller, TEMPEST-skydd, nätverkssäkerhet med ”luftvägg” och andra skydd; du lagrar din privata nyckel på en vanlig dator. Där är den utsatt för attacker av virus och andra skadliga program.”

   ”Även om din privata nyckel är säker på din dator, är den i ett låst rum, med videoövervakning, så att du inte vet att någon annan än du någonsin använder den? Om ett lösenord skyddar den, hur svårt är det att gissa den? Om din nyckel är lagrad på ett smartkort, hur attacksäkert är kortet? [De flesta är mycket svaga.] Om den lagras i en verkligt attacksäker enhet, kan en infekterad kördator få den pålitliga enheten att signera något du inte avsåg att göra?”

   En PKI-revision ger dig en fullständig översikt över lagringsprocessen och dess säkerhetsnivå. Det är det första steget mot att skydda dina digitala nycklar och din organisation från externa hot.

6. Riskbedömning för att kontrollera om PKI är föråldrad

   Föråldrade PKI-system saknar alla nödvändiga säkerhetsfunktioner som öppnar en organisation för externa hot och utgör en risk för bristande efterlevnad.

   Dessa föråldrade system kan ha föråldrade algoritmer, svaga nyckellängder och föråldrade certifikatutfärdare, vilket gör din organisation sårbar för dataintrång, man-in-the-middle-attacker och denial-of-service-attacker. Regelbundna granskningar av din PKI-arkitektur skyddar mot växande hot och säkerställer att du förblir kompatibel och håller dig uppdaterad om utvecklingen i branschen.

7. Uppfyller alla regulatoriska standarder

   Cybersäkerhet är en bransch i ständig utveckling, vilket leder till förändrade regelverk och nya efterlevnadskrav. Regleringar, som till exempel Allmänna dataskyddsförordningen (GDPR) och California Consumer Privacy Act (CCPA), säkerställa att organisationer tar itu med de nya integritetsutmaningarna.

   Efterlevnad av alla nödvändiga föreskrifter är ett lagkrav som inte kan förbises. Att bedöma din PKI:s hälsa och säkerställa att din organisation uppfyller alla efterlevnadskrav skyddar dig från höga böter och skador på ditt rykte.

8. Upprätthålla agil och skalbar arkitektur

   Organisationer måste inte bara investera i nuet utan också förbereda sig för framtiden. En PKI-revision hjälper inte bara till att bedöma er nuvarande arkitektur för att upptäcka luckor och potentiella risker, utan fungerar också som en färdplan för potentiell tillväxt när det gäller att upprätthålla och förbättra flexibiliteten i er PKI-arkitektur.

   Det säkerställer att din PKI-miljö kan skalas upp, integreras med ny teknik och möta de växande kraven säkert och effektivt i takt med att din organisation växer, för att förbättra den operativa effektiviteten.

9. Förbättra kostnadseffektiviteten i din arkitektur

   Underhålla föråldrade PKI-system, i stor utsträckning förlita sig på manuella processer och investera i digitala certifikat och certifikatutfärdare som en organisation inte längre behöver är extra kostnader som enkelt kan undvikas med en komplett och detaljerad översikt över din PKI. Att granska din infrastruktur ger dig insikter i dem och är en investering för framtida besparingar.

10. Integration med ny teknik

    Det är absolut nödvändigt att utrusta din organisation med nya tekniska framsteg för att skydda sig mot de växande hoten från sofistikerade attackerResultatet av en PKI-revision ger en översikt över de områden som kräver ny teknik för att förbättra digitala försvar och den övergripande effektiviteten i den dagliga verksamheten.

    Integrering av nya tekniker, såsom molntjänster, blockkedjor och Internet av saker (IoT), är endast möjligt när PKI-arkitekturen hålls uppdaterad för att stödja integrering moderna teknologiers kapacitet.

11. Upptäck hur man automatiserar leveransen av certifikat till enheter

    För att PKI ska fungera smidigt i stor skala är det nödvändigt att automatisera certifikatdistributionsprocessen. Att ändra branschstandarder och minska certifikatens giltighetstid innebär att automatisering inte kommer att vara ett alternativ inom kort utan snarare en nödvändighet. Det kommer att finnas hundratals eller tusentals enheter att hantera. Endast genom att utnyttja automatisering kan detta hanteras effektivt och bidra till att upprätthålla säkerheten genom att minska risken för mänskliga fel och certifikatorsakade övergrepp. De fyra vanligaste metoderna för att hantera automatisering är:

    • RESTful API: er

      Den valda CA:n måste tillåta programmering av RESTful API-slutpunkter för att använda programvara för enhetshantering för företaget.

    • Enkelt certifikatregistreringsprotokoll (SCEP)

      Den här vägen kräver en SCEP-agent på enheterna för att fungera med programvara för enhetshantering för företag. Därefter skickar programvaran skriptet till enheten och ber den hämta ett certifikat.

    • Registrering via Secure Transport (EST)

      EST är efterföljaren till SCEP. Den är nästan likartad, förutom att den stöder Elliptic Curve Cryptography (ECC), vilket hjälper till att skapa snabbare, kortare och effektivare kryptografiska nycklar.

    • Automatisk registrering i Microsoft AD

      Detta används för att automatisera certifikatleverans direkt till Microsoft Key Store för alla Windows-datorer.

Vad ingår i en PKI-granskning? 

En PKI-revision täcker flera faktorer som förbiser alla nyckelkomponenter i en PKI-infrastruktur för att ge dig detaljerad insikt i din PKI:s hälsa. Dessa faktorer inkluderar: 

1. Certifikatets giltighet

   Alla digitala certifikat har utgångsdatum. Av säkerhetsskäl är det oklokt att återanvända samma digitala certifikat under längre tid utan någon tillsyn. Om utgångsdatumet inte dokumenteras och spåras på ett korrekt sätt minskar risken för en brott ökar. Ett utgånget digitalt certifikat ger ingen säkerhet alls.

   PKI-revisionen undersöker dokumentationen av certifikatlivscykeln för de digitala certifikaten för att kontrollera om alla digitala certifikat är uppdaterade. Den analyserar också om organisationen har en stark PKI certifikathanteringsprocessen och möjligheten till automatisering för att säkerställa att alla intressenter informeras innan ett certifikat utfärdas eller förnyas för att förhindra certifikatavbrott.

   Det är viktigt att beakta utgångsdatumet och processen för att ersätta dina certifieringar. Vi har upptäckt att användningen av ett enda certifikat under hela enhetens livstid vanligtvis innebär för många säkerhetsavvägningar.

2. Certifikatets integritet

   För att övertyga kunder eller potentiella kunder att göra transaktioner eller dela information online måste förtroende först etableras. Ett tekniskt sätt att göra det är att använda en lämplig certifikatutfärdare.

   Det här är enheter som verifierar äktheten hos en webbaserad tjänst eller produkt. Certifikatutfärdare förhindrar nätfiskeförsök eftersom de verifierar SSL/TLS-certifikatDigitala certifikat, som verifieras av någon känd certifikatutfärdare, anses vara säkra, och många moderna webbläsare och verktyg hjälper till att identifiera detta.

   Under en PKI-granskning granskas utfärdandet av digitala certifikat på djupet för att avgöra om de uppfyller alla parametrar som krävs för att verifieras av CA. Dokumentationsprocessen kontrolleras också för att visa koppling och ansvarsskyldighet. Detta är användbart i olika situationer, såsom smidig förnyelse av ett utgånget certifikat, ersättning av ett skadat certifikat, spårning av ett komprometterat certifikat vid en säkerhetshändelse och vidtagande av nödvändiga förebyggande åtgärder.

3. Policy för utfärdande av certifikat

   En certifikatutfärdare kan införa vissa begränsningar för utfärdandet av ett certifikat. Dessa begränsningar kan variera, såsom att begränsa eller tvinga tillåtelse av X.509-värden, begränsa tillåtna ämnesfält eller tillåtna utfärdandelägen, etc. PKI-granskning kontrollerar backtracking och felsökning av dessa problem och effektiviteten i att spåra alla utfärdandepolicyer som är kopplade till varje certifikat.

4. Certifikatslutpunkter

   SSL-certifikat kan läggas till i slutpunkter. Ibland är ett digitalt certifikat associerat med flera slutpunkter. Detta spåras under en PKI-granskning för att bedöma om var och en uppdateras i scenarier som när certifikatet löper ut och förnyas. Granskning hjälper till att se om det finns en potential för att dessa slutpunkter blir sårbara och exponerade.

5. Krypteringsnyckelstorlek

   Krypteringsnyckelns storlek är korrelerad och proportionell mot nyckelstyrkan. Nycklar som RSA 4096 ger hög säkerhet och trygghet på grund av sin större storlek, vilket gör brute-force-attacker svåra. Granskningsprocessen kontrollerar alla nycklar som är små och därför svagare och sårbara för hot.

6. Krypteringsalgoritm

   En fungerande PKI bör alltid innehålla en robust hashalgoritm. Algoritmer uppdateras över tid för att bli starkare och snabbare. Till exempel, SHA256 är mycket säkrare än SHA1 – granskningsprocessen spårar vilken algoritm som används och om den uppfyller branschstandarden.

7. Bedömning av användningsfallen

   Revisionsprocessen omfattar en grundlig analys av PKI-användningsfallen som inkluderar men är inte begränsad till:

   • Webb- och applikationsservrar

     En titt på implementering av avancerade nivåer av autentisering och kryptering på alla webbplatser och applikationer i deras miljö (on-prem och moln) och bakom brandväggen.

   • DevOps-containrar och kod

     Bedöma om organisationens ingenjörsteam kan integrera kompatibla certifikatprocesser i sitt vanliga arbetsflöde med kodsignering certifikat och SSL-certifikat med hög volym och kort livslängd för att säkerställa integriteten hos containrar, koden de kör och produktionsapplikationerna som använder dem.

   • Zero-Trust Security

     Revisionen undersöker användningen av PKI-certifikat och nyckelpar för att stärka verifiering av digital identitet och säkra anslutningar mellan enheter bortom brandväggens nätverksarkitektur för att säkerställa en Zero-Trust Security Strategi.

   • Hantering av certifikat i publikt moln

     Leta efter en centraliserad certifikathanteringslösning som används för att hantera alla certifikat automatiskt i både din moln- och företagsmiljö för att säkerställa att alla applikationer körs smidigt. Certifikaten skyddar applikationerna som finns i molnet.

   • Internet of Things (IoT) enheter

     Granska förekomsten av stark identitetsautentisering och fjärrsäkerhetsdistribution till alla anslutna enheter för att bedöma om organisationen på ett säkert sätt kan bygga, skala och hantera IoT-ekosystemet.

8. Nyckelsäkerhet

   Nyckelkomprometterade system delar många säkerhetsfaktorer, såsom certifikatgiltighet. Angripare kan imitera en enhet, dekryptera och läsa data och autentisera mot ett nätverk om de kan få tag på en privat nyckel. Nycklar måste skyddas mot kompromettering, återkallas och ersättas om de någonsin komprometteras om du vill erbjuda verklig autentisering och kryptering.

   Det betyder att det inte är en bra idé att lägga nycklar på en enhet i klartext, där de lätt kan extraheras. Tänk istället på ett hårdvaruförsvar som ett säkert chip (TPM) eller en mjukvarulösning som ett krypterat nyckellager, vilket erbjuder ett verkligt försvar mot angripare.

9. Analys för att kontrollera om bästa praxis följs

   PKI-revision hjälper till att bedöma om organisationen följer moderna bästa praxis för PKI, vilket inkluderar men inte är begränsat till:

   • Rätt planering

     En detaljerad plan för PKI-implementering är ett måste. Gartner säger: ”Säkerhetsledare som framgångsrikt ompositionerar X.509 certifikat ledningen till en övertygande affärsberättelse, såsom digital affärsverksamhet och förtroendeskapande, kommer att öka programmets framgång med 60 %, en ökning från mindre än 10 % idag.”

   • Användningen av skickliga resurser

     PKI är en kritisk infrastruktur, så expertteammedlemmar bör implementera och driva den inom organisationen. De kommer att behöva outsourca PKI:n till en betrodd expert. En hanterad PKI-leverantör kan hjälpa till att lösa detta problem.

   • Förvara certifikat och nyckel säkert

     Hackare kan använda olika tekniker för att analysera och upptäcka nycklar medan de används eller transporteras. Därför är det viktigt att se till att nycklarna förvaras säkert under FIPS 140-2 nivå 3-system.

   • Förstå dina användningsfall

     Många organisationer gör detta misstag; de designar och driftsätter sina PKI utan att brainstorma sina användningsfall. Det är viktigt att förstå organisationens användningsfall innan man slutför PKI-designen och driftsättningen av PKI. När du känner till dina användningsfall vet du vad som är bäst för din organisation.

   • Rotnyckelceremoni

     Implementera roten Certifikatmyndighet (CA) är som att skapa en "huvudnyckel" till en organisations nätverk. Implementeringen av rot-CA är känslig och bör hanteras och driftsättas i en kontrollerad miljö. Root-CA-nyckelceremonin hjälper organisationen att registrera händelsen/aktiviteten formellt, vilket ger hög säkerhet.

     Du måste dedicera en HSM (Hardware Security Module) till rot-CA:n när du distribuerar den. Detta är ett viktigt beslut innan du distribuerar någon av dina PKI-komponenter.

   • Certifikatpolicyer och praxis

     I dagens digitala värld är en PKI det bästa sättet för en organisation att skydda sina känsliga uppgifter från obehöriga parter. Kryptering fungerar som ett lås och en nyckel för att skydda information från åtkomst av obehöriga aktörer. Många organisationer använder sin PKI som ett projektkrav och överväger inte att utveckla lämpliga policyer och rutiner.

   • Certifikatpolicy (CP)
     • Ett dokument som anger varje parts rättigheter, skyldigheter och förpliktelser i en infrastruktur med öppna nyckelr (Public Key Infrastructure).
     • Ocuco-landskapet Certifikatpolicy (CP) är ett dokument som vanligtvis har rättslig verkan.
     • En CP visas vanligtvis offentligt av CA:er, till exempel på en webbplats (VeriSign, etc.)
   • Certifikatpraxisutlåtande (CPS)
     • Ett dokument som anger vad som händer i praktiken för att stödja de policyuttalanden som görs i CP:n i en PKI.
     • Ocuco-landskapet Certifikatpraxisutlåtande (CPS) är ett dokument som kan ha rättslig verkan under begränsade omständigheter.
   • Bedömning av PKI-administratörernas kompetens

     En PKI-administratör behöver en ganska god uppsättning färdigheter för att hantera dagliga aktiviteter. Att ha kodningskunskaper samtidigt som man hanterar kritisk infrastruktur som PKI är alltid viktigt och bra. Några av de utvecklingstekniker som en PKI-administratör bör känna till är Java, PowerShell-skript, kommandoradsverktyg, HTML, XML och JavaScript. De önskvärda färdigheterna för en PKI-administratör skulle vara följande:

     • Praktisk erfarenhet av PKI med hantering av administration av certifikatutfärdare, webbtjänst för certifikatregistrering och webbtjänst för policyer, och Active Directory-certifikattjänster (ADCS) övervakning.
     • Data-in-motion och data-at-rest-kryptering.
     • Förståelse för PKI-arkitektur.
     • Systemadministration av Windows Server 2012/R2 eller 2016 och Windows 10, Unix eller Linux, och/eller databaskunskaper.
     • Expertis inom maskinidentitetstekniker för Public Key Infrastructure (PKI) som SSH, SSL och TLS.
     • Process för katastrofåterställning och rutiner för affärskontinuitet.
     • Erfarenhet av att hantera nyckelhanteringssystem (KMS).
     Kunskapskrav

     PKI-administratörer bedöms utifrån kriterierna för deras förståelse av koncepten inom kryptografilösningar, såsom:

     • Symmetrisk/asymmetrisk kryptografi
     • Säkra hashfunktioner
     • Digitala signaturer
     • SSL-certifikat

Fördelar med PKI-granskning 

1. Förbättrad PKI-hållning 

   PKI kan dra nytta av att öka nätverkets säkerhetsnivå genom att binda en identitet till en offentlig nyckel och låta det minska risker genom kryptering, autentisering och digitala signaturer. PKI-revision hjälper till att minska sekretessen och förbättrar dess tillämpningar som:

   • För att säkra olika webbsidor.
   • För att kryptera filer och säkra dem.
   • För att autentisera inloggningar med hjälp av smartkort.
   • Kryptera och autentisera e-postmeddelanden med hjälp av S / MIME.
   • För att autentisera anslutningar till ett specifikt VPN.
   • För att autentisera noder som ska anslutas till ett trådlöst nätverk.
2. Identifiera luckor i policyer, rutiner och verksamheter

   Det första steget mot att driva ett effektivt och säkert PKI-system börjar med att bedöma dina säkerhetsbrister. En PKI-revision ger en detaljerad översikt över de områden där din organisation brister och behöver förbättras. Denna information är ovärderlig för att bygga en färdplan mot att bygga en arkitektur som ökar den operativa effektiviteten, förebygger hot och visar sig vara en långsiktig finansiell investering.

3. Riskreducering

   Organisationer kan effektivt bedöma säkerheten med en PKI-granskning och effektivt undvika dessa säkerhetsrisker:

   • För att förhindra obehörig åtkomst till webbtjänster.
   • Förhindra obehörig åtkomst till kunskap lagrad i databaser.
   • Förhindra obehörig åtkomst till användares eller organisationers nätverk.
   • Verifierar äktheten hos meddelanden som överförs i användares eller organisationers nätverk.
4. Kontinuitet i verksamheten

   Hotvektorer för dataförlust kommer att minskas avsevärt med en riskreducering. Den höga tillgängligheten för kritiska processer säkerställer en smidig drift av verksamheten. En PKI-revision hjälper till att fylla alla säkerhetsluckor och stöder organisationen i att öka sin beredskap för katastrofåterställning.

5. Långsiktiga kostnadsbesparingar

   En PKI-revision minskar effektivt en organisations ekonomiska konsekvenser genom att undvika säkerhetsrisker. överträdelser och myndighetsböter och förhindrande av administrativa omkostnader.

6. Proaktiv förvaltning

   Genom att granska PKI-arkitekturen med specialiserade leverantörer kan organisationer förbättra sin operativa effektivitet, förhindra avbrott och undvika riskerna för externa säkerhetsintrång. Den operativa effektiviteten kommer att övervakas genom att regelbundna PKI-hälsokontroller utförs.

7. Expertis på begäran

   PKI-revisorer bidrar med ovärderlig expertis och erbjuder insikter och bästa praxis som inte är tillgängliga för interna team. Detta belyser säkerhetsbristerna och ger en färdplan för att effektivisera verksamheten och frigöra interna resurser för kärnverksamhetens funktioner.

8. Uppfyller alla nödvändiga branschstandarder

   Efterlevnad av regelverk och ramverk kommer att säkerställas genom regelbundna kontroller av certifikatens hälsa. Genom att utnyttja branschstandarder som ISO 27000 och PCI DSS, kan organisationer förbättra sin säkerhetsställning, bygga förtroende bland intressenter och kunder och förebygga cyberhot.

9. Framtidssäkra din arkitektur

   Organisationer kan framtidssäkra sin infrastruktur med ett robust PKI-ramverk på plats. Regelbundna PKI-hälsokontroller säkerställer en stark övergripande cybersäkerhetsställning för organisationen.

Hur kan krypteringskonsulting hjälpa till? 

Krypteringskonsulting har lång erfarenhet av att tillhandahålla våra PKI-revisionstjänster till de ledande Fortune 500-företagen. Vi använder vårt eget anpassade ramverk för granskningar av offentlig nyckelinfrastruktur (PKI) baserat på NIST riktlinjer och bästa praxis i branschen.

Vi identifierar mycket specifika luckor i våra kunders befintliga PKI och accelererar verksamhetens riskreduceringsinsatser. Vår strategiska vägledning och krypteringserfarenhet inom många branscher, inklusive hälso- och sjukvård, finans, läkemedel och teknik, stöder organisationer i att förbereda sig idag för morgondagens hot.  

Slutsats 

Att hantera PKI är en viktig roll och uppgift för företagssäkerhetsteam, där fel, föråldrade verktyg och processer samt bristande insyn leder till kostsamma incidenter och sårbarheter. Det är omöjligt att hantera manuellt på grund av ökningen av uppkopplade enheter, så organisationer måste överväga PKI-revisioner för att säkra sin arkitektur.