Pressemitteilung: Innovationen im Zertifikatsmanagement mit Cert n Key und die Auswirkungen auf die Sicherheit der IT-Infrastruktur und die Compliance

Transkript

1 Pressemitteilung: Innovationen im Zertifikatsmanagement mit Cert n Key und die Auswirkungen auf die Sicherheit der IT-Infrastruktur und die Compliance Zertifikate bestimmen innerhalb der IT die Vertrauensbeziehungen. Sowohl in der Kommunikation zwischen Geräten als auch in der Steuerung von Zugriffen, Installationen und Zugriffsrechten sind Zertifikate als steuerndes Element eingesetzt. Daher stellen verschiedene Compliance Richtlinien Forderungen nach dem Management der Zertifikate. Trotz dieser zentralen Rolle ist das Management dieser wichtigen Dateien bisher nur durch Teillösungen der Hersteller versehen. Dieses Vertrauen in die Bereitstellung von Lösungen hat das Thema etwas in den Hintergrund rücken lassen. Jeder Hersteller löst das Verwalten der Zertifikate in einem lokalen Bereich. Damit ergeben sich zwangsweise Lücken wie z.b. im OCSP Protokoll oder bei Fehlern in einer technischen Umsetzung wie z.b. bei der Open-SSL Lücke (Heartbleed). Um diese Lücken zu schließen und aus Unternehmenssicherheitssicht überhaupt zu identifizieren ist ein neuer Ansatz gefragt, mit dem die Zertifikate verwaltet werden können. Denn die Gefahren fokussieren sich wieder auf dem einzelnen Gerät. Das Ausnutzen der Lücken erfolgt in vielfacher Weise: Installation von fremder Software Zugriff auf Server Umleitung auf fremed Server Ebenso wie das Ausnutzen von Lücken ergeben sich durch den Ablauf von Zertifikaten weitere Auswirkungen wie: Applikationen funktionieren nicht mehr Server sind nicht mehr Zugreifbar Verlust von Datenverbindungen, Verbindungsaufbau scheitert Stand der Technik Für die Identifikation von Zertifikaten werden zur Zeit meist Netzwerksuchprogramme verwendet, die gültige oder abgelaufene Zertifikate zurückmelden. Hiermit werden Netzwerk und SSL-Zertifikate gefunden. Weiterhin ist eine gängige Methode eine SCEP (Simple Certificate Exchange Protokoll) Abfrage an alle Clients zu stellen. Viele Geräte unterstützen diesen Standard und melden die Zertifikate zurück. Eine Dritte kürzlich in einer Wissenschaftlichen Arbeit der Technischen Universität Hannover vorgestellte Methode zielt in die Richtung den Netzwerkverkehr nach Zertifikaten zu durchsuchen. Diese Methode kann sowohl mit Netzwerksniffern als auch mit Netzwerkprotokollierungsmethoden durchgeführt werden. Lösungsansatz der Data-Warehouse GmbH Hier hat die Firma Data-Warehouse GmbH angesetzt. Der Focus wurde auf die Identifizierung existierender und gespeicherter Zertifikate gerichtet. Da viele Zertifikate auf Rechnern nicht ständig genutzt werden, helfen hier Netzwerküberwachungstools nicht, sondern der Focus muß laut Data- Warehouse GmbH auf die Speicherorte der Zertifikate gelegt werden. In der Realisierung wurden Fragen bezüglich der sicheren Umsetzung, Unterstützung der Unternehmenssicherheitsrichtlinien (vom Mittelstand bis zum militärischen Einsatz), Minimierung der Netzwerklast, Störungsfreiheit des Netzwerkbetriebes, Praktikabilität, Universalität und Flexibilität berücksichtigt. Weiterhin soll der

2 Scanner plattformunabhängig funktionieren, um auf möglichst einfache Weise installierbar und sicher zu bedienen sein. Für Cert n Key werden mehrere Versionen des Scanners angeboten: Eine Client-Server Version für die zentrale vereinfachte Verwaltung ohne Roll-Out Eine Stand alone Version für manuelle Audits Ein erweiterter Scanner mit Funktionen zum zusätzlichen Auslesen der Infrastruktur mit NMAP, LDAP, LDIF und Keystores Eine Consolenversion für die automatische Softwareverteilung Neben dem Scannermodul ist gleichzeitig die benötigte Analyse- und Managementumgebung umgesetzt worden, bei der auf eine möglichst transparente Integration in bestehende IT-Prozesse geachtet wurde. In dem Management Modul werden unter anderem die folgenden Funktionen unterstützt. Die einzelnen Module sind optional einzusetzen und erweitern damit das Nutzungsspektrum optimiert auf die Anforderungen des Kunden: CnK - Data Collection Module, o Sammlung aller Ergebnisse in zentraler Datenbank CnK - Trust Chain Analysis Module o Überprüfung der Vertrauensketten (automatisiert / manuell) o DWH 2-Way Validity Check Inklusive OCSP-Gültigkeitstest (Browser Check) CnK - Dashboard o schneller Überblick über Ihren aktuellen Zustand CnK - Policy and Exchange Module* o Austausch der markierten Zertifikate (manuell, automatisiert über Policies) o Skriptgesteuerter Austausch (jederzeitige Anpassung an Unternehmensanforderungen) CnK - Client Management Module* o Austausch, Management und Entfernung von Zertifikaten auf Clientgeräten CnK - Risk (Audit and Management Module)* o Unterstützung und Automatisierung von Risikobewertungen Empfohlene Vorgehensweise Data-Warehouse empfiehlt für den Nachweis der Compliancekonformen Steuerung der Zertifikate (z.b. ISO 27001, ISMS, SOX) zunächst einen Scan der Rechnerinfrastruktur um einen vollständigen Überblick über die Zertifikatslandschaft zu erhalten. Soweit Zertifikatsmanagementsysteme eingesetzt werden, können diese mit dieser Maßnahme schnell auf Vollständigkeit überprüft und über diesen unabhängigen Weg bestätigt werden. Von dem Resultat dieser Vollständigkeitsanalyse ergeben sich die folgenden Handlungen wie z.b. Risikoanalyse und Vertrauenskettenanalyse. Im Anschluß daran erfolgt das Management der Policies und der bisher unbekannten Zertifikate, mit einer anschließenden Durchsetzung dieser Policies auf den Clients. Für weitere Informationen steht die Homepage des Herstellers unter in Deutsch und unter in Englisch zur Verfügung. Hersteller und weiterer Kontakt: Data- Warehouse GmbH, Beethovenstr. 33, Ottobrunn, Tel: +49 (0) ,

3 Darstellung des Zertifikatmanagementprozess mit Cert n Key

4 Darstellung der möglichen Speicherorte und Zertifikate in einem Computernetzwerk.

5 Analyseumgebung nach erfolgtem Scan mit Cert n Key

6 Beispielauswertung von Cert n Key mit Dashboard-Grafiken