Warum Certificate Transparency Logs Ihre beste PKI-Verteidigung sind

PKI-Zertifikate lassen die Welt sich drehen, aber sie haben einen gravierenden Nachteil: Sie laufen ab, und wenn sie das tun, verursachen sie Geschäftsunterbrechungen und führen zu einem Verlust des Kundenvertrauens. Unzählige Stunden wurden mit der Installation, Überwachung und Rotation von Zertifikaten verbracht, um das Internet am Laufen zu halten.

Dieses Problem ablaufender Zertifikate in der Produktion, die zu Ausfallzeiten führen, plagt die IT-Welt seit dem ersten Tag. Es überrascht daher etwas, dass wir fast drei Jahrzehnte später immer noch darüber sprechen. In den letzten Jahren gab es außerdem einen starken Vorstoß, die Gültigkeitsdauer von Zertifikaten aus Sicherheitsgründen zu verkürzen, was eine häufigere Rotation erforderlich macht. Mehr Arbeit? Zum Glück haben wir parallel dazu unsere Automatisierungsfähigkeiten verbessert, aber bis diese flächendeckend sind, liegt noch ein weiter Weg vor uns.

Um zu verstehen, warum das Ablaufen von Zertifikaten immer noch ein Problem darstellt, müssen wir uns vielleicht die traditionellen Überwachungstools ansehen. Ein Neuling in diesem Bereich wird auf drei Arten von Lösungen stoßen. Vom Einfachen zum Komplexen sind das:

• Selbst entwickelte Skripte; viele Organisationen fangen so an. Nachdem ihr erstes oder zweites Zertifikat in der Produktion abgelaufen ist, schreiben sie ein schnelles Skript, um die auf ihren Websites installierten Zertifikate kontinuierlich abzurufen und zu prüfen.
• Observability-Plattformen; da alle Unternehmen Observability benötigen, ist es nur natürlich, die Zertifikatsüberwachung als Funktion in diese Plattformen zu integrieren.
• Certificate Lifecycle Management (CLM)-Produkte; am oberen Ende des Spektrums haben wir CLM-Plattformen, die dafür ausgelegt sind, den gesamten Zertifikatslebenszyklus einschließlich der Erneuerung zu steuern und zu automatisieren. Der Gedanke dabei ist, dass umfassende Automatisierung das Problem verpasster Erneuerungen vermeidet.

Mit jedem dieser Ansätze sind unterschiedliche Herausforderungen verbunden. Selbst entwickelte Lösungen lassen sich schnell zusammenbasteln, unterschätzen aber die Komplexität von PKI und den Zeitaufwand für die Entwicklung einer robusten Lösung erheblich. Bei Observability-Plattformen ist die Situation besser, aber ihr generischer Überwachungsansatz lässt im PKI-Bereich immer noch viel zu wünschen übrig. CLM-Produkte haben dieses Problem nicht, sind aber bekanntermaßen schwer flächendeckend genug in einer Organisation einzuführen, um das Problem vollständig zu lösen.

Allgemeiner betrachtet erfordert eine umfassende Lösung des Problems, dieses aus einer neuen Perspektive zu betrachten. Wir haben festgestellt, dass es 4 notwendige Faktoren gibt:

• Expertise; auf den ersten Blick scheint die Erkennung ablaufender Zertifikate einfach, ist es aber wirklich nicht. Kratzt man an der Oberfläche, entdeckt man eine enorme Komplexität, die möglicherweise jahrelanges Wissen und Erfahrung erfordert, um sie zu entwirren. Es gibt zahlreiche Sonderfälle zu beachten. Zum Beispiel laufen Zertifikate nominell zum vorgesehenen Zeitpunkt ab, aber in der Praxis gab es viele vorzeitige Widerrufe, entweder aufgrund tatsächlicher Probleme oder durch große Nutzeragenten aufgrund von Verstößen der CAs erzwungen. Obwohl wir normalerweise über das Ablaufen von Zertifikaten sprechen, wollen wir eigentlich, dass unsere Zertifikate funktionieren, was bedeutet, dass wir auch andere Arten von Fehlern überwachen müssen. Beispiele sind Fehlkonfigurationen der Zertifikatskette, Certificate-Transparency-Kompatibilität, TLS-Fehlkonfigurationen und so weiter.
• Abdeckung; sobald man mit ausreichendem Wissen ausgestattet ist, stellt sich als Nächstes die Frage, ob man alle Standorte, an denen Zertifikate eingesetzt werden, beobachten kann. Und genau hier scheitern selbst die besten traditionellen Lösungen, weil sie alle eine manuelle Konfiguration erfordern. Damit diese Tools effektiv sind, müssen Sie ihnen mitteilen, wo sich Ihre Zertifikate befinden. In modernen Unternehmen weiß das niemand. Zertifikate in Tabellenkalkulationen zu verfolgen, funktioniert in der heutigen Welt nicht mehr, in der sich die Infrastruktur jede Sekunde des Tages ändert.
• Überwachung von Drittanbietern; dieser Aspekt betrifft eigentlich auch die Abdeckung, jedoch aus einer anderen Perspektive. Heutzutage ist es sehr selten, dass ein Unternehmen seine Infrastruktur vollständig unter Kontrolle hat. Im Gegenteil, selbst die kleinsten Unternehmen arbeiten mit Dutzenden von Anbietern und deren Zertifikaten zusammen.

Traditionelle Ansätze scheitern, weil sie nicht darauf ausgelegt sind, das Problem vollständig zu lösen.

Certificate Transparency (CT) ist eine relativ neue Ergänzung des PKI-Ökosystems. Nach der verpflichtenden Einführung durch Chrome im Jahr 2018 wurde CT entwickelt, um die Prüfung des Verhaltens verschiedener Zertifizierungsstellen (CAs) bei der Ausstellung von Zertifikaten zu unterstützen. Vor CT hatten wir keinen Einblick in die Ausstellungspraktiken der CAs. Dies führte zu einer Vielzahl von Problemen, bei denen CAs gehackt wurden und die Angreifer Zertifikate für einige der beliebtesten Websites der Welt ausstellten. Der berüchtigtste solche Vorfall war die vollständige Kompromittierung und Ausnutzung einer niederländischen CA namens DigiNotar im Jahr 2011.

Mit CT erhalten wir eine zuverlässige öffentliche Aufzeichnung jedes weltweit ausgestellten Website-Zertifikats. Renommierte Unternehmen können CT überwachen, um sicherzustellen, dass alle für ihre Domains ausgestellten Zertifikate legitim sind.

CT ist auch im Kontext der Zertifikatsüberwachung von unschätzbarem Wert, denn wenn wir CT überwachen, entdecken wir die darin enthaltenen Domains und Subdomains, und damit sind wir in der Lage, die Mehrheit der eingesetzten Standorte zu ermitteln. Dadurch erreichen wir eine deutlich bessere Abdeckung. Und, noch wichtiger, wir entfernen die Notwendigkeit, überhaupt irgendetwas manuell zu konfigurieren.

Ein Tool, das den öffentlichen Zertifikatsstream von CT konsumiert, kann kontinuierlich nach fehlerhaft ausgestellten Zertifikaten suchen und gleichzeitig das Unternehmens-Asset-Inventar aktualisieren, um zu einer umfassenden Überwachung der korrekten Bereitstellung beizutragen. Obwohl technisch möglich, ist es für die meisten Organisationen aufgrund der großen Datenmenge nicht praktikabel, CT direkt zu überwachen. Um die eigenen Zertifikate zu finden, ist es notwendig, den gesamten Zertifikatsstream in Echtzeit zu konsumieren, was Hunderte von Ereignissen pro Sekunde bedeutet.

Bei Red Sift bestand unser Ansatz darin, von Grund auf eine dedizierte Lösung zur Zertifikatsüberwachung zu entwickeln, die darauf ausgerichtet ist, dieses Problem auf die bestmögliche Weise zu lösen. Unsere zentrale Design-Entscheidung war es, PKI-Expertise mit der Perspektive eines unabhängigen Prüfers zu kombinieren. Dies ermöglicht schnelle und einfache Einführungen parallel zu bestehenden Tools, wie etwa komplexeren Certificate-Lifecycle-Management-Plattformen. Da wir uns ausschließlich auf die Überwachung konzentrieren, haben wir keine konkurrierenden Prioritäten und können auch nichts kaputt machen.

Die nächste zu lösende Herausforderung ist die Erkennung aller Zertifikate und aller Installationsstandorte. Um dabei zu helfen, überwachen wir Certificate Transparency bereits seit 2017, verarbeiten viele Milliarden Zertifikate und bauen unsere Discovery-Datenspeicher auf. Im Wesentlichen wissen wir bereits, wie wir alle Zertifikate unserer Kunden finden können, bevor wir überhaupt eine einzige Überwachungs-Netzwerkanfrage stellen.

Allerdings ist CT nur einer der Ausgangspunkte für die Erkennung. Wir unterhalten mehrere Discovery-Datenbanken, die sich auf alle Schlüsselaspekte der globalen Infrastruktur konzentrieren. Zusätzlich verbinden wir uns auch direkt mit CAs, um sicherzustellen, dass wir alle Informationen sammeln, die unsere Kunden an einem Ort haben möchten.

Auf der Überwachungsseite nutzen wir die Breite unserer Überwachungsfähigkeiten, bei denen wir eine Vielzahl von Netzwerk- und Sicherheitsstandards prüfen. Das hilft uns, die Verbindungen zwischen Diensten und die Abhängigkeit von Drittanbieterdiensten zu identifizieren. Wir gehen alle identifizierten Ausfallpunkte an. Denn wenn das Zertifikat Ihres Anbieters ausfällt, geht Ihre Website offline — daher überwachen wir alle Drittanbieter-Zertifikate, um sicherzugehen.

Erfahren Sie hier mehr über Red Sift Certificates.