Die Anzahl der vernetzten Geräte steigt und die Entwicklung von Quantencomputern geht rasant voran. Deshalb benötigen Unternehmen einen flexiblen Ansatz für die Kryptografie, um ihre Geräte und Anwendungen sowohl kurz- als auch langfristig effektiv zu schützen. In diesem Blogbeitrag geht es darum, wie Sie die Krypto-Flexibilität Ihres Unternehmens steigern können.

Die Verbesserung der geschäftlichen Flexibilität gehört zu den Zielen vieler Unternehmen. Die Fähigkeit, schnell auf neue Marktbedingungen zu reagieren, ist ein wichtiger Wettbewerbsvorteil und kann unnötige Verluste verhindern. Aktuelle Daten gehören zum wichtigsten Kapital eines Unternehmens. Deshalb ist die Arbeit des Informationssicherheits-Teams geschäftskritisch: Es ist für die Bereitstellung sicherer Verbindungen zwischen IT-Systemen und allen externen Geräten verantwortlich. Aus demselben Grund gehört es zu den Best Practices, Daten nur verschlüsselt zu übertragen, sowohl zwischen internen Systemen als auch auf dem Weg nach außen. Angesichts der ständig steigenden Anzahl und Vielfalt vernetzter Geräte bedeutet das auch, dass die „Krypto-Flexibilität“ inzwischen zu einem wichtigen Aspekt der geschäftlichen Flexibilität geworden ist.

Viele Sicherheitsverantwortliche wissen allerdings nicht einmal genau, wo in ihrer Infrastruktur überall Daten verschlüsselt werden. Die meisten Sicherheitsverantwortlichen unterhalten bereits ein Inventar aller verwendeten Software. Ein ähnliches Inventar sollte es auch für vernetzte Geräte geben.

Zu den derzeit meistgenutzten kryptografischen Hilfsmitteln gehören TLS/SSL-Zertifikate. Sie ermöglichen den Aufbau sicherer Verbindungen zwischen Browsern, Servern und einer ständig steigenden Anzahl von Geräten und Anwendungen.

TLS nutzt sowohl asymmetrische als auch symmetrische Verschlüsselung. Dazu ist eine Public Key Infrastructure (PKI) erforderlich, d. h. eine Infrastruktur aus Mitarbeitern, Hardware, Software, Richtlinien und Prozeduren für das Ausstellen, Verwalten, Verteilen, Nutzen, Speichern und Widerrufen digitaler Zertifikate. Ein weiterer wichtiger Bestandteil der PKI sind die Zertifizierungsstellen (Certificate Authorities, CA), die Schlüssel generieren und an bestimmte Nutzer vergeben. Die PKI setzt beide Verschlüsselungsarten ein: Das TLS-Zertifikat, das von Servern für die TLS-Kommunikation genutzt wird, enthält ein asymmetrisches Schlüsselpaar: einen öffentlichen und einen privaten. Doch der Sitzungsschlüssel, den Server und Browser beim TLS-Handshake gemeinsam generieren, ist symmetrisch.

Krypto-Flexibilität setzt voraus, dass genau bekannt ist, wo im Unternehmen Kryptografie verwendet wird, welche Protokolle, Bibliotheken, Algorithmen, Zertifikate usw. jeweils im Einsatz sind und wie sie genutzt werden. Krypto-Flexibilität bedeutet, dass auftretende Probleme rasch erkannt und behoben und veraltete kryptografische Verfahren nahtlos und automatisch durch neuere ersetzt werden können.

Echte Krypto-Flexibilität geht also weit über die Möglichkeit hinaus, für verschiedene Anwendungsbereiche (z. B. Hashing, Signieren, Verschlüsseln) unterschiedliche Algorithmen zu nutzen oder in einem Anwendungsbereich mehrere Algorithmen (wie SHA-1 und SHA-256) zur Auswahl zu haben.

Ich möchte den Unterschied an einem kurzen Beispiel erläutern: SHA-2 ist, ebenso wie sein Vorgänger SHA-1, anfällig für Kollisionsangriffe. (Bei SHA-2 erfordern sie aufgrund der längeren Hashes allerdings erheblich mehr Aufwand.) Deshalb wird empfohlen, SHA-1 und SHA-2 durch SHA-3 zu ersetzen. Das ist jedoch leichter gesagt als getan, weil es bisher kaum Hardware- und Softwareprodukte gibt, die SHA-3 unterstützen.

Echte Krypto-Flexibilität würde erfordern, dass die Infrastruktur überall dort, wo jetzt SHA-1 oder SHA-2 genutzt wird, SHA-3 unterstützt, damit es beim automatischen Upgrade keine Probleme gibt. Das ist derzeit jedoch kaum möglich. Wenn ein kryptografischer Algorithmus durch einen anderen abgelöst wird, erfolgt das meist internetweit. Unternehmen müssen also mit allen Anbietern zusammenarbeiten, deren Lösungen sie nutzen, um nicht den Anschluss zu verlieren.

Einige Best Practices für die Krypto-Flexibilität:

• Erstellen Sie klare Richtlinien und informieren Sie alle betroffenen Parteien.
• Erstellen Sie ein Inventar aller kryptografischen Ressourcen.
• Identifizieren Sie kryptografische Schwachstellen (in Ihrem eigenen Unternehmen und bei den Herstellern der Hard- und Software, die Sie in Ihrem Unternehmen nutzen).
• Schaffen Sie die Voraussetzungen für das Testen neuer kryptografischer Algorithmen.
• Schaffen Sie die Voraussetzungen für das schnelle Ersetzen anfälliger Schlüssel und Zertifikate.
• Halten Sie fest, wer der Eigentümer/Verantwortliche für jede Ressource ist und halten Sie diese Informationen auf dem aktuellen Stand.
• Automatisieren Sie die Verwaltung.
• Automatisieren Sie die Benachrichtigung über fällige Erneuerungen.

Die ersten Schritte in Richtung Krypto-Flexibilität sind das Erstellen klarer Richtlinien, die auf den Best Practices für TLS basieren, und das Informieren aller betroffenen Parteien über diese Richtlinien. (Ihr Ansprechpartner bei DigiCert schickt Ihnen auf Anfrage gern Informationen zu Best Practices für TLS.) Im nächsten Schritt sollten Sie ein Inventar aller kryptografischen Ressourcen anlegen. Eine moderne Plattform für die Zertifikatsverwaltung mit einer Funktion für die Zertifikatsuche kann Ihnen diese Aufgabe wesentlich erleichtern. (Ein Beispiel hierfür ist die Zertifikatsuche in CertCentral.) Nach dieser Inventur sollten Sie einen guten Überblick über Ihre kryptografischen Ressourcen haben. Das gibt Ihnen die Freiheit, neue Algorithmen zu testen, sobald sie verfügbar sind, und anfällige Schlüssel zu ersetzen, ohne befürchten zu müssen, dass Sie Ihr Unternehmen damit neuen Gefahren aussetzen oder kritische Ressourcen ungeschützt lassen.

Wenn Sie alle kryptografischen Ressourcen im Blick und unter Kontrolle haben und bei Bedarf ersetzen können, sollten Sie sich im nächsten Schritt auf den Erhalt Ihrer neu gewonnenen Krypto-Flexibilität konzentrieren. Dazu sollten Sie dafür sorgen, dass die richtigen Mitarbeiter oder Abteilungen die Verantwortung für ihre jeweiligen kryptografischen Ressourcen übernehmen bzw. behalten und dass das Überwachen und Erneuern von Ressourcen wie TLS-Zertifikaten so weit wie möglich automatisiert wird, damit es auch läuft, wenn niemand Zeit hat, sich darum zu kümmern.

Echte Krypto-Flexibilität setzt voraus, dass alle Hardware-Anbieter, deren Produkte Sie nutzen, ihre Geräte zeitnah aktualisieren können. Die langfristige Krypto-Flexibilität eines Unternehmens hängt also unter anderem davon ab, wie ernst seine Hardware-Anbieter die Sicherheit nehmen. Wenn einer Ihrer Anbieter Sie in der Vergangenheit in dieser Hinsicht enttäuscht hat, kann das auch in Zukunft ein Risiko sein. Anbieter, die regelmäßig Updates veröffentlichen, Ihnen mitteilen, welche kryptografischen Verfahren sie nutzen und die neuesten Algorithmen unterstützen, tragen hingegen wesentlich zur Risikominimierung und zur Verbesserung Ihrer Krypto-Flexibilität bei. So können Sie schneller auf Bedrohungen in diesem Bereich reagieren und Schäden vermeiden oder zumindest begrenzen.

Die Anbieter, deren Hard- und Software (oder sonstige Lösungen) Sie nutzen, Ihre Geschäftspartner und alle anderen Serviceanbieter sollten Ihnen klar mitteilen können, wie sie Sie bei der Verbesserung und Aufrechterhaltung der Krypto-Flexibilität unterstützen werden. Machen Sie es sich zum Prinzip, nur mit Anbietern zusammenzuarbeiten, die die besten aktuell verfügbaren kryptografischen Verfahren nutzen und nicht zu lange warten, bevor sie neue Standards und Algorithmen unterstützen. Software- und Firmware-Upgrades sollten in vernünftigen Abständen verfügbar und mit vertretbarem Aufwand möglich sein. Damit schaffen Sie die Voraussetzungen für die Ablösung veralteter Verfahren, die zu Sicherheitsrisiken für Ihr Unternehmen werden könnten. Dieselben Prinzipien sollten für per Fernzugriff aktualisierte Software gelten. Wenn Sie die oben beschriebenen Maßnahmen durchgeführt haben, um sich einen umfassenden Überblick und die Kontrolle über Ihre kryptografischen Ressourcen zu verschaffen und deren Verwaltung so weit wie möglich zu automatisieren, sollten Software-Updates per Fernzugriff keine Probleme verursachen.

Und schließlich sollten Sie beginnen, zumindest darüber nachzudenken, welche Auswirkungen die Quanteninformatik in nicht allzu ferner Zukunft auf Ihre IT-Infrastruktur haben wird. Mit Quantentechnologie ausgestattete Computer und IoT-Geräte werden Berechnungen wesentlich schneller ausführen können, als das derzeit möglich ist. Dadurch werden völlig neue Ansätze in praktisch allen Bereichen möglich, von der Krebsforschung bis zur Verkehrssteuerung in Innenstädten. Doch bevor wir davon profitieren können, müssen wir die Herausforderungen bezüglich der IoT-Sicherheit bewältigen, die durch Quantencomputer entstehen.

Derzeit nutzen wir RSA- und ECC-Verschlüsselung, um die Vertraulichkeit, Integrität und Authentizität des Datenverkehrs zwischen vernetzten Geräten aufrechtzuerhalten. Webbrowser nutzen RSA und ECC außerdem auch zur Signaturprüfung beim Aufbau sicherer Verbindungen, zum Signieren von Nachrichten und zur Prüfung dieser Signaturen. NIST und andere Sicherheitsgremien der Branche gehen davon aus, dass es in weniger als zehn Jahren Quantencomputer geben wird, die leistungsstark genug sind, um RSA-Verschlüsselung zu knacken.

Die Vorteile und Risiken der Quanteninformatik werden in nahezu allen Branchen spürbar sein, unter anderem im Finanzdienstleistungssektor, im Gesundheitswesen, in der Energieversorgung und der Fertigung. Vermutlich wird es noch mindestens fünf bis zehn Jahre dauern, bis es praxistaugliche IT-Systeme mit Quantentechnologie gibt. Dennoch sollten Sie schon jetzt beginnen, die Krypto-Flexibilität Ihres Unternehmens zu verbessern.

Einige Empfehlungen zum Abschluss:

• Es gibt bereits kryptografische Verfahren, mit denen per Fernzugriff eingespielte Software-Updates geschützt werden können. (Hash-basierte Signaturen sind ein Beispiel.) Diese sollten ab sofort genutzt werden.
• Damit schaffen Sie die Voraussetzungen für die Installation von NIST-geprüfter Software zum Schutz vor Angriffen mit Quantencomputern, sobald diese verfügbar wird.
• Wenn Sie die Krypto-Flexibilität Ihres Unternehmens verbessern, bereiten Sie es nicht nur auf die Installation von Sicherheitsalgorithmen für das Quantenzeitalter vor, sondern auch auf andere, noch nicht vorhersehbare zukünftige Herausforderungen.