Vad man ska leta efter i en automatiserad lösning för certifikatlivscykeln 

Hantering av en Public Key Infrastructure , eller PKI, var en tidskrävande och svår process när den ursprungligen skapades och användes. Anledningen till detta var att alla processer som var involverade i att underhålla certifikatlivscykeln måste hanteras manuellt. Team av PKI-ansvariga skulle behöva identifiera alla certifikat i sin organisation, lista dem alla i ett kalkylblad och manuellt komma ihåg när och vilka certifikat som behöver förnyas vid lämpliga tidpunkter.

Detta kan orsaka störningar i tjänsterna om ett viktigt certifikats förnyelsedatum missas eller glöms bort, vilket resulterar i att kritiska tjänster ställs in på grund av att de inte har ett giltigt certifikat. Även om det var den enda praxisen när PKI först skapades, går nu fler och fler företag mot att automatisera uppgifter under certifikatens livscykel.

Med manuell certifikathantering var de som övervakade certifikaten tvungna att manuellt mata in certifikaten och deras förnyelsedatum i kalkylblad för att hålla reda på dem. Lyckligtvis har verktyg för att automatisera denna process utvecklats över tid, vilket har gjort automatiseringsprocessen mycket enklare. Men varför skulle organisationer vara så angelägna om att ändra sin certifikatlivscykelhantering till en automatiserad process?

Varför är automatiserad certifikathantering så viktig? 

Som jag tidigare nämnde är processen att manuellt hantera certifikat en extremt tidskrävande process, med hög risk för mänskliga fel, vilket innebär att kritiska tjänster kan gå ner i drift. Att automatisera certifikathanteringen är också viktigt på grund av att certifikatens livslängd förkortas. För några år sedan brukade certifikat vara giltiga i 5 år, men år 2020 sänktes den maximala giltighetsperioden för certifikat till två år, och nu diskuteras det att minska den maximala giltighetsperioden till 90 dagar.

Med kortare giltighetsperioder blir manuell hantering av certifikatlivscykler ännu mer benägen för mänskliga fel eftersom det finns mer utrymme för fel och det tar kortare tid att hålla reda på dem. En del av denna automatiseringsprocess är att fullt ut förstå vad certifikatlivscykeln är. Certifikatlivscykeln börjar med att certifikat upptäcks i en organisation.

Identifieringsprocessen innebär att man söker igenom organisationen efter certifikat som används, noterar deras utgångsdatum och information om själva certifikatet. Detta steg är avgörande för att upprätthålla certifikatens status och säkerställa att certifikatet förnyas i tid för att undvika störningar i tjänsterna. Nästa steg i certifikatets livscykel är utfärdandet av ett certifikat. Utan den initiala utfärdandet av ett certifikat är resten av processen irrelevant. Ett certifikat utfärdas av en del av en PKI som kallas en certifikatutfärdare.

En certifikatutfärdare , eller CA, kan vara en del av en intern PKI och endast användas inom organisationen, eller så kan det vara en extern PKI som skapats och underhålls av en välkänd och betrodd organisation. Utfärdandet av certifikatet slutförs endast när vissa kontroller är uppfyllda för certifikatbegäraren. Vanligtvis innebär detta att säkerställa att begäraren är medlem i organisationen och är behörig att ta emot ett certifikat. Efter utfärdandesteget kommer installationen av certifikatet.

Installationssteget innebär att certifikatet installeras på en lättillgänglig och säker plats så att själva certifikatet kan användas vid behov, men så att inte vem som helst med tillgång till datorn kan stjäla och missbruka certifikatet. Nästa fas är lagring av certifikatet. Installation och lagring går hand i hand, eftersom en del av installationsprocessen är att lagra certifikatet säkert.

Lagring är extremt viktigt för ett certifikat, eftersom en hotaktör kan få tillgång till ett osäkert lagrat certifikat och identifiera sig som sitt offer. Med en falsk identitet och tillgång till vad offret har åtkomst till kan en angripare stjäla från en organisation eller orsaka ännu större skada med skadlig kod under täckmantel av en betrodd anställd. Övervakning är nästa steg i livscykeln och ett av de viktigaste stegen.

Att hålla reda på certifikatens utgångsdatum och säkerställa att de är uppdaterade är en ständigt pågående process som måste hållas uppdaterad. Att missa ett enskilt certifikats utgångsdatum kan leda till stora störningar i tjänsterna, där vissa tjänster slutar fungera eftersom de inte har ett giltigt certifikat. De tre sista stegen i certifikatets livscykel kan diskuteras samtidigt, eftersom de är liknande men separata steg: förnyelse, återkallelse och ersättning.

Förnyelse är processen att förnya ett certifikat som har löpt ut, eller, vanligare, förnya ett certifikat som snart löper ut. Det är bättre att förnya ett certifikat före dess utgångsdatum, eftersom att låta certifikatet löpa ut och sedan förnya det kommer att leda till att tjänster som behöver ett certifikat för att fungera stängs av.

Återkallelse görs endast när ett certifikat upptäcks ha komprometterats av en angripare, eller om enheten eller personen som utfärdar certifikatet har lämnat organisationen. Om en angripare har komprometterat ett certifikat kommer återkallelse av certifikatet att hindra dem från att missbruka det, och om en anställd har lämnat organisationen fungerar återkallelse av certifikatet på samma sätt.

Att byta ut ett certifikat tenderar att vara den minst vanliga fasen i certifikatets livscykel. Om en organisation byter från en extern PKI till en intern PKI, kommer alla certifikat inom organisationen att ersättas med nya certifikat från den interna PKI:n. Eftersom detta är en komplicerad och tidskrävande process tenderar det att vara enklare för organisationer att bara fortsätta använda samma externa PKI på obestämd tid.

Viktiga funktioner hos en certifikatlivscykellösning

Nu när vi har en bättre förståelse av certifikatlivscykeln som helhet, låt oss ta en titt på vad en certifikatlivscykellösning gör. Det enkla svaret är att en certifikatlivscykellösning, eller CLS, automatiserar de dagliga och långsiktiga operationerna som är involverade i att upprätthålla en certifikatlivscykel. Varje steg i certifikatlivscykeln täcks av en stark CLS, vilket säkerställer att du aldrig behöver hantera certifikat manuellt igen.

Ett exempel på en process som ett CLS hanterar är automatisk identifiering och katalogisering av alla certifikat i en organisation. Integration med verktyg som Nessus gör det möjligt för ett CLS att hitta och underhålla alla certifikat i en organisation, där CLS hanterar återkallelse, förnyelse och ersättning av certifikat när det är lämpligt. Det finns några kärnfunktioner eller möjligheter som ett CLS bör ha om du funderar på att använda ett.

1. Integration med en organisations tredjepartsapplikationer

   Om ett CLS inte enkelt kan integreras med tredjepartsapplikationer eller system som används i din organisation och som har certifikat inblandade, är det CLS:et troligtvis inte rätt för dig. Ditt företag bör känna sig tryggt med att allt som använder ett certifikat övervakas korrekt och att CLS:et är involverat hela tiden.

2. Centraliserad nyckelhantering

   Ett CLS har också den extra fördelen att centralisera nyckelhanteringen . Med ett CLS lagras alla nycklar säkert på en plats, vilket möjliggör en centraliserad plats för alla certifikatnycklar i organisationen.

3. Automatiserade processer för varje steg i certifikatets livscykel

   Som dess funktion antyder måste ett CLS ha automatiserade processer för varje steg i certifikatets livscykel för att anses användbart. Detta inkluderar varje steg i livscykeln, så när du granskar funktionerna i ett CLS bör du se till att det finns någon typ av automatiserad funktion relaterad till var och en av faserna i certifikatets livscykel.

4. Hög tillgänglighet

   Alla CLS måste vara lättillgängliga om de integreras i organisationens system. Hög tillgänglighet i ett CLS innebär att plattformen kan användas hela tiden var som helst där organisationen befinner sig, det bör finnas backupservrar eller hårdvarusäkerhetsmoduler ifall en av dem skulle gå ner, och det bör finnas enkel åtkomst till verktyget i allmänhet.

5. Möjlighet att enkelt granska

   En annan viktig aspekt av ett CLS att leta efter är att det finns en inbyggd rapporteringsfunktion. Denna rapporteringsfunktion bör spåra certifikat och nycklar, när de används och av vem de används. Detta underlättar om din organisation måste genomgå en granskningsprocess under årens lopp.

6. Varning

   Slutligen bör en varningsfunktion också finnas på plats. Det innebär att viktiga certifikat som används skickar ut en varning när de har använts. Dessutom bör en varning skickas ut när ett certifikat snart löper ut och när det har förnyats.

Slutsats   

Lösningar för certifikatlivscykeln är framtiden för PKI-underhåll, eftersom de gör processen att manuellt spåra certifikat föråldrad. Den hastighet och effektivitet som ett CLS ger en organisation är oöverträffad.