In Shakespeares Hamlet spricht Ophelia folgenden Satz: „Wir wissen, wohl, was wir sind, aber nicht, was wir werden können.“ Das unbekannte Potential der eigenen Zukunft sorgt für eine gewisse Selbstreflexion. Sinnvoll ist es aber auch, sich Gedanken darüber zu machen, wie sich die Technologien entwickeln werden, mit denen wir heute so gut vertraut sind.
Genau das geschieht gerade im Bereich der Public Key Infrastructures (KIs) – einer Technologie, die uns seit Jahrzehnten begleitet und nun als wichtigster Wegbereiter der digitalen Transformation unabdingbar wird.
PKIs
Als grundlegender Baustein für die digitale Kommunikation umfasst eine PKI die Hardware, Software, Policies, Prozesse und Verfahren, die für die Verwaltung digitaler Identitäten erforderlich sind. Ursprünglich wurden PKIs eingeführt, um die Identität von Personen und Webservern zu validieren. Seitdem haben sie sich, de facto, zum Standardmechanismus entwickelt, mit dem vertrauenswürdige Systeme und die Vertrauenswürdigkeit innerhalb von Systemen aufgebaut werden. Ihre Verwendung war die Grundlage für den Erfolg des e-Commerce. Doch die Zahl der vernetzten Geräte und Applikationen, die sicher identifiziert und validiert werden müssen, damit sie in vertrauenswürdigen Ökosystemen funktionieren, ist explosionsartig angestiegen – und damit auch die Nachfrage nach PKIs.
Haupttreiber des Wandels
Das Internet der Dinge (Internet of Things, IoT) wird für verbraucherorientierte Anwendungen genutzt, wie zum Beispiel Mobiltelefone, vernetzte Fahrzeuge, intelligente Verbrauchsmessung und Medizingeräte. Auch bei industriellen Applikationen ist das IoT weit verbreitet, zum Beispiel bei der vorbeugenden Wartung, im Flottenmanagement, als künstliche Intelligenz für Flugzeugtriebwerke oder bei der Optimierung von Stromnetzen. Wie zuvor erwähnt, basiert e-Commerce auf Vertrauen. Man muss sich jedoch einmal die Konsequenzen vor Augen führen, die sich ergeben, wenn wir medizinischen Geräten und Applikationen nicht mehr trauen könnten, oder den Triebwerken der Flugzeuge, in denen wir reisen, oder der Steuerung unserer Elektrizitätsnetze.
Die Liste solcher Applikationen ist schier endlos, und sie alle benötigen PKIs und Berechtigungszertifikate, um zu gewährleisten, dass die Systeme der Kontrolle von berechtigten Benutzern unterstehen und das auch so bleibt. Deswegen werden PKIs bis an ihre Leistungsgrenzen ausgereizt, um die ständig wachsende Zahl an Zertifikaten für die entsprechenden Geräte und Applikationen zu erzeugen.
Das Internet der Dinge
Das IoT ist die am schnellsten wachsende Kraft, die sich auf Planung und Entwicklung von PKIs auswirkt. Die vom Ponemon Institute für nCipher durchgeführte jährliche Studie „Global PKI Trends“ führt folgende Punkte auf:
Es wird zunehmend erkannt, dass die PKI eine wichtige Kernauthentifizierungstechnologie für das IoT darstellt. Der Anteil an Befragten, die das IoT als den wichtigsten Trend für den Einsatz von Applikationen bezeichnen, ist deutlich von 21 Prozent im Jahr 2015 auf 41 Prozent im Jahr 2019 angestiegen.
Datenschutz und gesetzliche Vorgaben
IoT-Geräte sammeln Daten, und viele davon sind mit Personen verknüpft. Diese Daten müssen geschützt werden, um die brancheninternen und gesetzlichen Vorgaben weltweit einzuhalten, wie zum Beispiel die Datenschutzgrundverordnung (DSGVO). Datensicherheit und Einhaltung gesetzlicher Vorgaben sind weitere wichtige Funktionen, bei denen die PKIs den Mechanismus liefern, mit dem der Zugriff auf kritische Geräte und die von ihnen gesammelten Informationen kontrolliert wird.
In der Tat haben die ersten Ergebnisse der Global PKI Trends Study 2019 bereits einige interessante Statistiken bezüglich der Sicherheitszertifizierung für PKIs zu Tage gefördert:
Weltweit anerkannte Sicherheitszertifizierungen gewinnen immer stärker an Bedeutung. Common Criteria EAL4+ galt als wichtigste Sicherheitszertifizierung beim Einsatz von PKI und PKI-basierten Applikationen. Die Studie ergab, dass sich 64 Prozent der Befragten für die Common Criteria und 60 Prozent für FIPS 140-2 entschieden, gefolgt von regionalen Standards, wie zum Beispiel gesetzlichen Vorgaben für digitale Signaturen, mit 25 Prozent.
Best Practices für sichere PKIs
Zum Schutz von privaten Schlüsseln, die für die Zertifikatsausstellung und Signierprozesse verwendet werden, empfehlen Sicherheitsexperten als Best Practice die Verwendung eines Hardware Security-Moduls (HSM). Die Root of Trust im HSM separiert und schützt kritische kryptografische Schlüssel innerhalb einer zertifizierten, geschützten Umgebung, getrennt von der restlichen IT-Infrastruktur, und ermöglicht so die Auditierung und Einhaltung gesetzlicher Vorgaben. Zusätzlich können HSMs, wie zum Beispiel das nach Common Criteria und FIPS zertifizierte nCipher nShield, sensiblen Code schützen, indem er innerhalb sicherer Grenzen ausgeführt wird.
nCipher und seine nFinity-Technologiepartner bieten ihren Kunden die stärksten PKI-Lösungen auf dem Markt. Egal, ob bei Design und Aufbau einer komplett neuen PKI oder bei einer Zustandsbewertung ihrer bestehenden PKI: nCipher sorgt dafür, dass die Anforderungen Ihrer Applikationen an digitale Berechtigungen und Identitäten erfüllt werden, und dass die Sicherheit Ihrer zugrunde liegenden Signaturschlüssel zu jeder Zeit gewährleistet ist.
Ophelia
Ophelia hatte Probleme, sich damit auseinanderzusetzen, was in der Zukunft aus ihr werden könnte. Aktuelle PKI sind zu einer kritischen Infrastruktur für das einst unvorstellbare IoT geworden. Wir müssen daher die heutigen organisatorischen PKI analysieren, um sicherzustellen, dass sie für ihre momentanen Aufgaben auch gerüstet sind. Darüber hinaus müssen wir nach vorne schauen, um zu gewährleisten, dass die PKIs auch morgen noch Vertrauen und Sicherheit schaffen können.
Autor: Juan Asenjo, Director Product, Solutions, and Partner Marketing bei nCipher Security
