Am 30. Juli ^th veröffentlichte das US – Ministerium für innere Sicherheit und Cyber Security Infrastructure Agency (KAG) eine Sicherheitswarnung kleine Flugzeugbesitzer über Sicherheitslücken warnen, die ausgenutzt werden können , um das Flugzeug Telemetrie zu ändern. Das für Cyberangriffe gefährdete Controller Area Network (CAN-Bus) des Flugzeugs verbindet die verschiedenen Avioniksysteme – Steuerungs-, Navigations-, Erfassungs-, Überwachungs-, Kommunikations- und Unterhaltungssysteme -, die einen sicheren Betrieb moderner Flugzeuge ermöglichen. Dazu gehören die Triebwerkstelemetriedaten, Kompass- und Positionsdaten, Fluggeschwindigkeiten und der Anstellwinkel des Flugzeugs. All dies könnte gehackt werden, um Piloten und automatisierten Computersystemen, die beim Fliegen des Flugzeugs helfen, falsche Messwerte zu liefern.

Die CISA-Warnung ist nicht hypothetisch, und die Folgen von Untätigkeit könnten sich als tödlich erweisen. Flugzeugsysteme wurden bereits kompromittiert. Im September 2016 gab ein US-Regierungsbeamter bekannt, dass er und sein Team von IT-Experten ein Passagierflugzeug der Boeing 757, das sich auf einer Landebahn in New Jersey befand, erfolgreich aus der Ferne gehackt hatten und die Kontrolle über dessen Flugfunktionen übernehmen konnten. Im Jahr zuvor hatte ein Hacker angeblich Sicherheitslücken im IFE-System (In Flight Entertainment) ausgenutzt, um die Kontrolle über die Flugfunktionen zu übernehmen und die Flugzeugtriebwerke zum Klettern zu bringen.

Der Boeing 757-Angriff wurde über das In-Flight Entertainment-WLAN-Netzwerk durchgeführt.

Ein Forscher des Sicherheitsanalyse- und Automatisierungsanbieters Rapid7 schrieb kürzlich in einem Blog über die Sicherheit von CAN-Bus-Avioniksystemen und diskutierte die Herausforderung auf der diesjährigen DEFCON-Sicherheitskonferenz. Er erklärte: «Ich denke, ein Teil des Grundes [der Avionik-Sektor ist in Bezug auf die Netzwerksicherheit in Bezug auf den CAN-Bus im Rückstand] ist das starke Vertrauen in die physische Sicherheit von Flugzeugen. Genau wie Football-Helme das Risiko eines Gehirns tatsächlich erhöhen können.» Verletzungen, kann die erhöhte wahrgenommene physische Sicherheit von Flugzeugen paradoxerweise machen sie anfälliger für Cyberangriffe, nicht weniger. «

Ein falsches Gefühl der [physischen] Sicherheit

In der CISA-Warnung des DHS heißt es: «Ein Angreifer mit physischem Zugang zum Flugzeug könnte ein Gerät an einen Avionik-CAN-Bus anschließen, über das falsche Daten eingespeist werden können, was zu falschen Messwerten in der Avionikausrüstung führt.» Sicherheitslücken können den Piloten falsche Messwerte liefern und zu Abstürzen oder anderen Luftereignissen mit kleinen Flugzeugen führen.Angreifer mit CAN-Bus-Zugriff können Motortelemetriedaten, Kompass- und Einstellungsdaten, Flughöhe und Fluggeschwindigkeit ändern.

Nicht alle dieser Angriffe erforderten physischen Zugriff.

Diese Risiken sollten als Weckruf für alle in der Fertigung dienen. Alle Geräte, Systeme oder Organisationen, die den Betrieb eines Systems steuern, sind gefährdet, und die Bedrohungen können von internen oder externen Quellen ausgehen. Für OEMs, ihre Lieferketten und Unternehmen ist es entscheidend, das Sicherheits- und Identitätsmanagement auf Geräteebene einzubeziehen und ihre Sicherheitsfunktionen kontinuierlich zu verbessern, um Sicherheitslücken zu schließen.

Sicherheitslösungen für Avionikgeräte

In heutigen Flugzeugen sind Dutzende von Subsystemen miteinander verbunden, die wichtige Telemetrie- und Steuerdaten miteinander übertragen. Derzeit haben erstklassige Zulieferer und OEMs in der Luftfahrt Sicherheitstechnologien wie Secure Boot, sichere Kommunikation und eingebettete Firewalls nicht umfassend auf ihren Geräten implementiert und sind daher anfällig für Hackerangriffe. Während OEMs begonnen haben, diese Probleme anzugehen, ist noch viel mehr zu tun.

Sectigo bietet Lösungen, mit denen OEMs, ihre Lieferketten und Unternehmen die Vorteile der PKI- und Embedded-Sicherheitstechnologie für verbundene Geräte voll ausschöpfen können. Unsere branchenweit erste durchgängige IoT-Plattform, die durch die Akquisition von Icon Labs , einem Anbieter von Sicherheitslösungen für Embedded-OEMs und Hersteller von IoT-Geräten, ermöglicht wurde, kann zur Ausstellung und Erneuerung von Zertifikaten mit einem einzigen Vertrauensmodell verwendet werden, das interoperabel ist Jedes Ausgabemodell und für alle unterstützten Geräte, Betriebssysteme, Protokolle und Chipsätze.

Ähnlich wie die Automobilindustrie hat der Luftverkehrssektor eine sehr komplexe Lieferkette, und die Implementierung privater PKI und eingebetteter Sicherheit führt zu Interoperabilitätsproblemen. Angesichts der Tatsache, dass führende Avionikhersteller Hunderte von SKUs pro Jahr einführen, ist es komplex, umständlich und letztendlich unhaltbar, Hunderte verschiedener sicherer Stiefel in einem einzigen Flugzeug zu führen. Die Verwendung einer einzelnen homogenen sicheren Startimplementierung vereinfacht das Modell erheblich.

Eine speziell für das IoT entwickelte PKI, wie der Sectigo IoT Manager , ermöglicht eine starke Authentifizierung und sichere Kommunikation zwischen Geräten in der Flugzeugzelle. Die Verwendung der PKI-basierten Authentifizierung verhindert die Kommunikation von nicht autorisierten Komponenten oder Geräten und verhindert eine Vielzahl von Angriffen.

Die eingebettete Firewall-Technologie bietet eine zusätzliche kritische Sicherheitsschicht für diese Systeme. Dies gilt insbesondere für Angriffe wie die Boeing 757 über das Infotainment-WLAN-Netzwerk der Fluggesellschaft. Eine eingebettete Firewall unterstützt Filterregeln, um den Zugriff des Wi-Fi-Netzwerks auf das Steuerungsnetzwerk zu verhindern.

Die eingebettete Firewall von Icon Labs wurde in Flugzeug- und Automobilsystemen eingesetzt, um solche Angriffe abzuwehren. In beiden Fällen befindet sich unsere eingebettete Firewall auf einem Gateway-Gerät im Fahrzeug oder Flugzeug, um einen unbefugten Zugriff von externen Netzwerken oder Geräten auf das Steuerungsnetzwerk oder vom Infotainment-Netzwerk auf das Steuerungsnetzwerk zu verhindern. Wir sehen weiterhin Interesse an diesem Bereich, was darauf hindeutet, dass die Hersteller anfangen zu handeln.

Vom Cockpit zum Kontrollturm

Das Sichern angeschlossener Geräte in der Luftfahrt ist nicht auf Flugzeuge beschränkt. Die Branche benötigt eine sichere Kommunikation zwischen allen Teilen des Asphalts, von Cockpits und Kontrolltürmen bis hin zur Bereitstellung von Fahrzeugen und Sicherheitspersonal. Aus diesem Grund bietet Sectigo eine preisgekrönteKo-Wurzel des AeroMACS-Konsortiums, das sich mit der gesamten Breitbandkommunikation an Flughäfen auf der ganzen Welt befasst und nach Sicherheit ruft, indem PKI-Zertifikate für Flugzeuge, Catering-LKWs und alles andere auf dem Asphalt eingesetzt werden .

Zukunftssicher mit Crypto Agility

Es ist erwähnenswert, dass die Luftfahrt auch durch die Dauer ihrer Komponenten in einzigartiger Weise herausgefordert wird. Im Gegensatz zu Geräten, die für eine Lebensdauer von Monaten oder Jahren ausgelegt sind, sind Flugzeuge für eine Lebensdauer von Jahrzehnten ausgelegt. Fortschritte im Bereich des Quantencomputers, von denen viele Experten glauben, dass sie unmittelbar bevorstehen, könnten die heutigen kryptografischen Standards überflüssig machen. Luftfahrtzulieferer müssen auf diese kommende „Krypto-Apokalypse“ vorbereitet sein und die Sicherheit ihrer Geräte vor Ort aktualisieren, während die Geräte in Betrieb sind. Die drahtlosen Update-Funktionen von Sectigo bieten die kryptografische Flexibilität, um sich vor dieser bevorstehenden Krypto-Apokalypse zu schützen (siehe den zugehörigen Podcast zu den Ursachen ).

Das Ökosystem muss schnell arbeiten. Hersteller müssen die CAN-Busse in ihrer bestehenden und zukünftigen Flotte sichern – egal ob diese Flugzeuge auf umzäunten Asphalten oder in Flugzeughangars im Leerlauf sind. In der Zwischenzeit rät CISA, dass Flugzeugbesitzer den Zugang zu Flugzeugkomponenten der Avionik «nach besten Kräften» einschränken und die Passagiere hoffen lassen, dass die Sicherheit bald über ihre TSA-Erfahrungen hinausgeht.

Heute haben wir neue Forschungsergebnisse vom Cyber ​​Forensics Innovation (CyFI) Lab von Georgia Techzum Thema Extended Validation (EV) SSL und kriminelle Online-Akteure gesehen. Das CyFI-Labor sammelte die Domänennamen von 2,6 Millionen EV-Zertifikaten aus dem Jahr 2010 und verglich sie mit einer Reihe von Quellen, die bekannte oder vermutete schlechte Akteure identifizierten. Diese Quellen enthielten Domains, die im Zusammenhang stehen mit:

• Unterirdische Marktplätze und Foren
• Schlechte IP-Blacklists
• Malware

Diese Untersuchung, die durch einen finanziellen Beitrag von Sectigo ermöglicht wurde, ergab, dass 99,99% der Domains mit EV-Zertifikaten keine Assoziation mit den oben identifizierten Domains mit schlechten Akteuren aufweisen. In seinem Forschungsbericht sagt das Forschungsteam:

„Die Wahrscheinlichkeit, dass ein EV-SSL-Zertifikat mit fehlerhaften Domains in Verbindung gebracht wird, beträgt weniger als 0,00013 oder weniger als 0,013%. Das bedeutet, dass EV-SSL-Zertifikate höchstwahrscheinlich nicht mit Domains verknüpft sind, die mit Untergrundforen und -marktplätzen oder Malware- / Cybercrime-Aktivitäten in Verbindung stehen. “

Da einige Malware-Programme aus funktionalen Gründen beliebte Websites anpingen, die von der Malware-Aktivität völlig unabhängig und unschuldig sind, kann diese Zahl im Hinblick auf den Grad der Sicherheit, den ein EV-Zertifikat bietet, pessimistisch sein. Die von CyFI gefundene Malware-Liste enthält beispielsweise Domänen von Apple, Symantec, Comodo und Citrix. Es ist sehr unwahrscheinlich, dass diese Unternehmen schlechte Schauspieler sind, sondern dass die Malware-Autoren diese Websites aus anderen Gründen vollständig berühren.

Unter den 2,6 Millionen bewerteten EV-Domains entdeckte CyFI insgesamt drei Domains mit EV-Zertifikaten, die Cyber-Akteuren zugeordnet sind, die auf unterirdischen Marktplätzen und Foren aktiv verfolgt werden, sowie sieben Cyber-Akteuren, die mit ihnen verbunden sind. Die Beschreibung enthält Details zu diesen Domänen und Akteuren.

Das Forschungsteam schreibt: „Wir haben festgestellt, dass die Wahrscheinlichkeit, dass eine Domain mit einem EV-Zertifikat missbraucht oder mit Cyberkriminalität in Verbindung gebracht wird, vernachlässigbar ist Mit Internetkriminalität oder Missbrauch. “Der Abschnitt mit der Zusammenfassung des Papiers fügt hinzu:„ Wir kommen zu dem Schluss, dass EV-Zertifikate in hohem Maße auf legitime Domains hinweisen, die von legitimen Unternehmen registriert wurden. Daher profitieren Benutzer davon, wenn sie die Sicherheitsindikatoren des Browsers als Leitfaden für das Vertrauen in Domänen mit EV-SSL-Zertifikaten bemerken und verwenden. “

Das CyFI-Team hat vorgeschlagen, weitere Untersuchungen zu diesem Thema durchzuführen, einschließlich der Unterschiede zwischen Domänen, die von Cyber-Akteuren eingerichtet wurden und deren Eigentümer sind, und solchen, die aufgrund von Missbrauch kompromittiert wurden. CyFI möchte auch untersuchen, wie Browser diese Informationen besser nutzen können, um dem Endbenutzer den Grad der bekannten Legitimität für eine bestimmte Site auf eine Weise mitzuteilen, die eine sicherere Entscheidungsfindung ermöglicht.

Sectigo möchte das CyFI und alle anderen akademischen und White Hat-Forscher ermutigen, sich weiterhin mit diesem Thema zu befassen. Das Unternehmen arbeitet nachdrücklich mit White Hat zusammen, um einen entscheidenden Beitrag zur allgemeinen Internetsicherheit zu leisten. Wir ermutigen jeden White Hat, der mit Secorio zusammenarbeiten möchte, potenzielle Exploits in unserer globalen PKI-Infrastruktur zu identifizieren und zu beheben, sich an uns zu wenden. Sie können uns persönlich kontaktieren – wir werden im Anschluss in Zusammenarbeit mit Sectigo mit Ihnen die wichtigsten Punkte für eine Zusammenarbeit erarbeiten.

Wie sichere ich meine WordPress-Site mit SSL in 5 einfachen Schritten?

WordPress bemüht sich, ihre Benutzer zu schützen. Schließlich sind sie ein Unternehmen, das von seinen eigenen Kunden profitiert. Sie werden ihr Bestes geben, indem sie ihre Kunden vor Online-Angriffen schützen. Es gibt jedoch Faktoren, die möglicherweise zu einem Sicherheitsfehler der Website führen, wie beispielsweise menschliches Versagen.

Von einem Benutzer der WordPress-Website wird erwartet, dass er seine eigene Website anpasst. Dies ist eine großartige Gelegenheit, Ihren eigenen Schutz und Ihre Erfahrung mit WordPress zu personalisieren. Es kann jedoch auch zu einer Sicherheitsanfälligkeit werden, wenn Sie stärkere Sicherheitseinstellungen übersehen.

Absicherung Ihrer Website

Da es beim Verwalten einer WordPress-Website menschliche Nachteile gibt, sollten Sie bei der Arbeit einige Dinge beachten. Lassen Sie niemals menschliche Fehler zu Ihrer eigenen Schwachstelle werden.

• Halten Sie WordPress Core auf dem neuesten Stand: Wenn WordPress Sicherheitsupdates veröffentlicht, können Sie mit WP Engine sicherstellen, dass Ihre Site diese erhält. Wenn immer möglich, empfehlen wir, diese Updates nicht zu verschieben. Wenn WordPress Core-Updates veröffentlicht werden, empfiehlt es sich, die Updates auf Ihrer Staging-Site zu testen. Anschließend können Sie das Update auf Ihrer Live-Website erstellen, sobald Sie alle Funktionen bestätigt haben.

• Aktualisieren Sie Ihre Plugins und Designs immer: Plugins und Designautoren veröffentlichen häufig Sicherheitsupdates. Diese Updates können auch dazu beitragen, das Plugin so zu optimieren, dass es gut mit den aktuellen Versionen von WordPress zusammenarbeitet. Es ist wichtig, sich über diese Plugin- und Design-Updates auf dem Laufenden zu halten. Veraltete Software ist die häufigste Ursache für Malware oder Infektionen auf Websites, da deren Sicherheitsfunktionen nach Ablauf der Gültigkeitsdauer verloren gehen.

• Melden Sie sich niemals auf einem öffentlichen Computer bei WordPress an: Wenn Sie sich von einem öffentlichen Computer aus bei Ihrer Website anmelden, sind Ihre Administratoranmeldeinformationen möglicherweise für andere Benutzer anfällig, die denselben Computer verwenden, oder für andere Benutzer im Netzwerk.

• Anmeldung bei der Zwei-Faktor-Authentifizierung: Die Implementierung der Zwei-Faktor-Authentifizierung (2FA) zum Anmelden ist eine der einfachsten, aber effektivsten Methoden, um Brute-Force-Angriffe zu verhindern. Sie arbeiten so, dass sie eine zusätzliche Ebene der Anmeldesicherheit hinzufügen, indem sie einen zusätzlichen ID-Nachweis anfordern, beispielsweise einen von Handys generierten Code oder geheime Fragen. Das WP Google Authentication-Plugin ist ein gutes Beispiel für ein 2FA-Plugin, das leicht installiert werden kann, um das Login Ihrer Site zu sichern.

• Admin-Benutzer regelmäßig überprüfen: Es ist empfehlenswert, die Benutzer gelegentlich für Ihren WP-Admin-Bereich und für SFTP (im Benutzerportal) zu überprüfen, um sicherzustellen, dass nur die Benutzer zugelassen werden, die noch Zugriff benötigen. Dies ist auch ein guter Schritt, um sicherzustellen, dass die Benutzer Ihrer Website nur die erforderliche Zugriffsebene erhalten (Autor, Herausgeber, Administrator usw.).

Secorio bietet viele Sicherheitsfunktionen

Es gibt viele Optionen, die online verfügbar sind, aber Secorio bietet in Zusammenarbeit mit Code Guard die effizientesten Funktionen für Unternehmen. Es verfügt über viele andere Funktionen, die dazu beitragen, dass Ihre Website stärker bleibt als andere Sicherheitstools. Hierbei handelt es sich um das Tool zum Überprüfen der Website, das eine Web Application Firewall (WAF) kombiniert, die über ein Secure Content Delivery Network (CDN) bereitgestellt wird. Es handelt sich um ein voll funktionsfähiges Tool für die Website-Sicherheitsüberprüfung des rund um die Uhr besetzten Cyber ​​Security Operation Center (CSOC) zertifizierter Sicherheitsanalysten. Es wird von einem Security Information and Event Management (SIEM) unterstützt, das Daten von über 85 Millionen Endpunkten zur Erkennung nutzt Bedrohungen abmildern, bevor sie auftreten.

Mit Code Guard von Secorio konnte ich die versteckte Malware auf unserer Firmenwebseite innert wenigen Minuten eliminieren. Dank Code Guard habe ich jetzt nebst stetiger Malware Überwachung auch eine einfache und zuverlässige Möglichkeit des Website-Backup-Services.

Christian Müller
Web Developer

Um die Firewall-Funktion der Webanwendung zu verstärken, finden Sie hier weitere Funktionen, die Code Guard auf seinen Ebenen hat.

Cyber ​​Security Operations Center (CSOC)
Ihr Team von zertifizierten Cybersecurity-Experten, die rund um die Uhr verfügbar sind und rund um die Uhr Überwachungs- und Reparaturdienste bereitstellen.

Sicherheitsinformations- und Veranstaltungsmanagement (SIEM)
Die Website-Sicherheit für meine Website bietet eine erweiterte Intelligenz, die aktuelle Ereignisse und Daten von 85 Millionen Endpunkten und 100 Millionen Domains nutzt.

Secure Content Delivery Network (CDN)
Die Website-Sicherheit für meine Website verfügt über ein globales System verteilter Server, die die Leistung von Websites und Webanwendungen steigern.

PCI-Scanning
Die Website-Sicherheit für meine Website ist mit PCI-Scanning ausgestattet und ermöglicht Händlern und Service-Providern die Einhaltung der PCI DSS-Richtlinien.

Überwachung und Beseitigung von Malware
Die Website-Sicherheit für meine Website identifiziert Malware, stellt die Tools und Methoden zum Entfernen bereit und hilft, zukünftige Malware-Angriffe zu verhindern.

Zu allen Vorteilen des kostenlosen Code Guard-Schutzes erhalten Sie den ersten Test kostenlos! Keine Kreditkarten nötig. Unsere Produkte sind für interessierte Online-Unternehmer geeignet, um die Sicherheit ihrer Websites als Dienstleistung zu erhöhen. Secorio Code Guard enthält einzigartige, ausgefeilte Websicherheitsfunktionen als Servicefunktionen, die in anderen Websicherheitssystemen nicht als Servicetools verfügbar sind.

Wie jeder weiß, der an der Leitung einer Gesundheitsorganisation beteiligt ist, geht es bei der Gesundheitsversorgung um mehr als um die Diagnose von Patienten und das Üben eines positiven Verhaltens am Krankenbett. Im Kern ist ein Großteil der Arbeit im Gesundheitswesen in der Kommunikation verwurzelt. Krankenschwestern kommunizieren mit Patienten und ihren Familien, Ärzte kommunizieren mit Spezialisten, Administratoren kommunizieren mit Versicherungsspezialisten, Versicherungsunternehmen kommunizieren mit Apotheken, und all diese unterschiedlichen Personen kommunizieren miteinander.

Es sollte also nicht so schockierend sein, dass die E-Mail-Sicherheit in der Gesundheitsbranche ein wichtiges Anliegen ist. Secorio hat ausführlich über die Bedrohungen geschrieben, denen Unternehmen per E-Mail ausgesetzt sind, z. B. gezielte Spear-Phishing-Angriffe , mit denen Mitarbeiter dazu verleitet werden sollen, vertrauliche Informationen oder sogar Geld preiszugeben . Mein Kollege Tim Callan schrieb auch über S/MIME und wie seine zertifikatbasierte Authentifizierungstechnologie dazu beitragen kann, das Risiko von E-Mail-basierten Angriffen zu verringern und vertrauliche Informationen unter Verschluss zu halten.

Im Gesundheitswesen steht mehr auf dem Spiel als in vielen anderen Branchen. Die Informationen, die geschützt werden müssen, müssen nicht nur aus ethischen Gründen, sondern auch aus rechtlichen Gründen geschützt werden. Das Gesetz über die Portabilität und Rechenschaftspflicht von Krankenversicherungen von 1996 (HIPAA) legt feste Grundregeln für den Schutz der Privatsphäre von Patienten fest, und es ist Sache der Gesundheitsbranche, geeignete Maßnahmen zur Einhaltung dieser Vorschriften zu treffen.

Die Art der Informationen, um die es geht, macht die Gesundheitsbranche zu einem wichtigen Ziel für Angreifer. Die persönlichen Gesundheitsinformationen (Personal Health Information, PHI) der Patienten müssen häufig per E-Mail übermittelt werden, und die HIPAA-Anforderungen erfordern den Schutz der PHI mithilfe digitaler Zertifikate, damit die Gesundheitseinrichtungen die Privatsphäre der Patienten wirksam schützen können. E-Mails, die über die Firewall hinaus gesendet werden, müssen durchgängig verschlüsselt sein: Sie müssen auf dem sendenden Mailserver, auf dem empfangenden Mailserver und während der Übertragung verschlüsselt sein. Durch diese Verschlüsselungsstufe wird sichergestellt, dass nur der Absender und der Empfänger der E-Mail den Inhalt anzeigen können. Dies bedeutet, dass auch der Betreiber des Servers oder der bösartigen Software innerhalb der etablierten E-Mail-Steuerelemente den Inhalt sehen kann. Es funktioniert sogar mit Mailservern, die in Cloud-Diensten von Drittanbietern ausgeführt werden.

Die Verschlüsselung mag kompliziert klingen, aber die S/MIME-Technologie bietet eine umfassende E-Mail-Sicherheitslösung, die jeden dieser Punkte adressiert – und in einer Branche, in der regelmäßig persönliche Daten, Gesundheitsdaten sowie Versicherungs- und Zahlungsinformationen per E-Mail übermittelt werden müssen, ist dies nicht der Fall Es ist nicht schwer zu verstehen, warum diese Schutzmaßnahmen wichtig sind. Durch die organisationsweite Bereitstellung von E-Mail-Zertifikaten bietet S/MIME genau die von HIPAA vorgeschriebenen Sicherheitsvorkehrungen in einem kostengünstigen und benutzerfreundlichen Paket.

Die Verwendung von S/MIME zum Verschlüsseln von E-Mails ermöglicht es Fachleuten, die Anforderungen an die Aufbewahrung von E-Mails von HIPAA zu erfüllen, ohne die Sicherheitsanforderungen zu beeinträchtigen. Da der E-Mail-Inhalt vor der Archivierung verschlüsselt wird, bleibt PHI unabhängig von seiner Speicherung vor der Weitergabe geschützt. Kritisch bleibt die Suche nach Header-Informationen in der Anwendung möglich, sodass die S/MIME-Verschlüsselung sowohl für die sichere Speicherung als auch für den einfachen Abruf von Informationen perfekt ist.

Vorschriften wie HIPAA können einschüchternd sein, aber dank der Einfachheit der S/MIME-Technologie, die Gesundheitsorganisationen heute zur Verfügung steht, kann die Einhaltung sehr einfach sein. S/MIME bietet zuverlässige End-to-End-Verschlüsselung und unkomplizierte Protokolle zum Archivieren und Abrufen von Informationen und ermöglicht diesen Organisationen, PHI zu schützen und ihre eigenen E-Mails vor externen Bedrohungen zu schützen.

Wenn Sie über eine Website verfügen, die einen Service für Kunden außerhalb Ihres Unternehmens bereitstellt, verfügt diese möglicherweise über ein digitales Zertifikat, das öffentlich verwurzelt ist. Dies bedeutet, dass die Vertrauenskette zu einem Stammzertifikat führt, das von einer bekannten Zertifizierungsstelle (Certificate Authority, CA) ausgestellt wurde, die bereits von den Browsern Ihrer Benutzer und anderen wichtigen Anwendungstechnologien (z. B. Java) als vertrauenswürdig eingestuft wurde. Durch die Nutzung eines öffentlichen Stamms können Sie sofort ein universelles Vertrauen in Ihre gesamte Benutzerbasis erreichen.

Möglicherweise verfügen Sie auch über eine Reihe anderer Server, die nicht extern ausgerichtet sind und keine öffentlich gerooteten Zertifikate benötigen. Diese Server benötigen jedoch möglicherweise noch Authentifizierung, Signierung und Funktionen, um eine sichere TLS-Sitzung mit anderen internen Servern oder Anwendungen einzurichten. Der Stamm des Vertrauens für diese Server wäre eine private Zertifizierungsstelle (CA). Eine eigene Zertifizierungsstelle, die Teil des Cloud-basierten Sectigo Private PKI- Angebots ist.

Mit unserer privaten PKI-Lösung können Sie die Zertifikate für Ihre Server, Geräte und Benutzer kennzeichnen. Da der Zweck dieser Zertifizierungsstelle darin besteht, nur Ihrem Unternehmen zu dienen, bietet sie eine genauere Kontrolle, wenn diese PKI-Infrastruktur für die interne Benutzerauthentifizierung verwendet wird. Aus diesem Grund ist Private PKI bei der Bereitstellung in der Unternehmens-IT sowie in cloud-nativen DevOps- und Internet of Things-Umgebungen (IoT) äußerst beliebt.

Drei Bereitstellungsszenarien

Sie müssen drei Bereitstellungsarchitekturen berücksichtigen, um Sectigo Private PKI verwenden zu können: 

1. Sectigo hostet die private Stammzertifizierungsstelle sowie die ausstellende (n) Zertifizierungsstelle (n) für Sie in der Cloud.
2. Ihre Organisation hostet die private Stammzertifizierungsstelle Ihrer Wahl und Sectigo hostet die ausstellende (n) Zertifizierungsstelle (n) für Sie.
3. Oder Sectigo hostet die private Stammzertifizierungsstelle und Ihre Organisation hostet die ausstellenden Zertifizierungsstellen

Viele unserer Kunden bevorzugen Option 1, da alle betrieblichen Aspekte der PKI, einschließlich Hosting, Wartung, Sicherheit und Compliance, von Sectigo übernommen werden. Sie beschaffen und installieren einfach Zertifikate von uns und stellen diese in Ihrer Umgebung bereit. Einige Kunden verfügen möglicherweise bereits über eine private Stammzertifizierungsstelle, oder ihre Unternehmenssicherheitsrichtlinie schreibt vor, dass sich die Stammzertifizierungsstelle in ihrer Umgebung befindet. In diesem Fall kann Sectigo die ausstellenden Zertifizierungsstellen hosten und verwalten, die von ihrer lokalen Stammzertifizierungsstelle signiert werden.

Da der Großteil der Arbeit bei der ausstellenden Zertifizierungsstelle erledigt wird, werden sie von vielen alltäglichen Aufgaben entlastet. In der dritten oben genannten Situation ist möglicherweise eine Zertifizierungsstelle (z. B. Microsoft-Zertifizierungsstelle, HashiCorp Vault PKI-Instanz oder Kubernetes-Zertifizierungsstelle) in Ihrer Umgebung aktiv und in Ihre Anwendungen integriert. Sie können Ihre Sicherheitslage erheblich verbessern, indem Sectigo eine Offline-Stammzertifizierungsstelle mit Schlüsseln hostet, die in einem Hardware Security Module (HSM) in einem nach Industriestandard geprüften Rechenzentrum gespeichert sind, und Ihre vorhandene Zertifizierungsstelle signiert, die dann die ausstellt und verwaltet Endentitätszertifikate für Benutzer und Geräte.

Wir können Sie bei der Auswahl der für Ihre Situation am besten geeigneten Option unterstützen und Sie bei der Implementierung der ausgewählten Bereitstellungsarchitektur unterstützen. Die Abbildungen 1, 2 und 3 zeigen alle drei Szenarien.

IT- und DevOps-freundliche private PKI

Für die Authentifizierung von Container zu Container und von Anwendung zu Anwendung sowie für die sichere Kommunikation zwischen ihnen werden Sie wahrscheinlich vertrauenswürdige Zertifikate in Ihrer AWS-, Azure- oder anderen Cloud-Umgebung nutzen. Sectigo Private PKI wird in die gängigsten DevOps-Tools integriert, sodass Sie beim automatisierten Roll-out Ihrer Infrastruktur und Anwendungen Zertifikate von Sectigo Private PKI nahtlos registrieren und deren Lebenszyklus verwalten können. Um sicherzustellen, dass Ihre Software nicht manipuliert wird, sollten Sie außerdem Ihren Container und andere Anwendungen mit Codesignaturen versehen, die auch von derselben PKI-Infrastruktur stammen können.

Mit dem Aufkommen der Cloud-freundlichen Mikrodienstarchitektur können Ihre Dienste kommen und gehen, was ein hohes Volumen und kurzlebige Zertifikate erfordert. Sectigo Private PKI ist in der Lage, Zertifikate mit einem kurzen Lebenszyklus auszustellen und zu verwalten. Unser Lizenzierungsschema unterstützt dieses Geschäftsmodell, um es für Sie kosteneffizient zu gestalten.

Automatisierungsorientierte Lösung

Automatisierung spielt in unserer Architektur eine Schlüsselrolle. Sectigo Private PKI unterstützt Sie bei der End-to-End-Automatisierung der Ausstellung und Installation von Zertifikaten.

Wir unterstützen branchenübliche Protokolle wie die Registrierung über sicheren Transport (EST) und das Simple Certificate Enrollment Protocol (SCEP) und arbeiten an der Integration mit Tools von Drittanbietern, z. B. Kubernetes Cert-Manager, HashiCorp Terraform und Vault, Ansible. Marionette, Koch und andere. In Microsoft Windows-Umgebungen können Sie unsere automatische Registrierungsfunktion nutzen, um Zertifikate von Sectigo Private PKI auszustellen. Für Nicht-Microsoft-Unternehmen können Sie andere unterstützte Tools verwenden, die mit unserer privaten PKI getestet wurden, um Zertifikate für diese zu verwalten.

Dieser aktuelle Blog, „Wenn es um die Automatisierung von SSL-Zertifikaten geht, bietet Sectigo viele Optionen“, enthält nützliche Informationen über die Suite von Automatisierungstools, die Sectigo einsetzt, um die manuelle Arbeit von Administratoren zu reduzieren.

Central Management Console

Unsere Kunden bevorzugen es selten, zu zwei verschiedenen Anbietern zu gehen, um ihre öffentlichen und privaten Zertifikate zu erhalten. Aus diesem Grund haben wir unser System so konzipiert, dass Sie alles von einer zentralen Konsole aus verwalten können, die als Enterprise Certificate Manager bezeichnet wird . Die Erfahrung des Administrators ist unabhängig von der Art der von Ihnen verwalteten Zertifikate gleich. Alle Ihre Zertifikate werden in der zentralen Konsole mit ihrem Status und Ablaufdatum angezeigt. Certificate Manager kann alle Ihre Zertifikate erkennen, auch wenn sie nicht von Sectigo / Comodo stammen, und darüber Berichte erstellen.

Wir haben weitere aufregende Pläne, um Ihnen einen umfassenden Überblick über Ihre privaten PKI-, öffentlichen SSL- und Unternehmens-IoT-Zertifikate zu verschaffen. Kontaktieren Sie uns für weitere Informationen.

Wir haben bereits erwähnt, wie Extended Validation (EV) SSL eine wichtige und wirksame Komponente im Kampf des Online-Geschäfts gegen Phishing darstellt . Diese Zertifikate sind jedoch nur von Bedeutung, wenn sie von Websites verwendet werden.

Es lohnt sich also, einen Blick darauf zu werfen, warum Websites EV-SSL-Zertifikate verwenden . Es ist allgemein bekannt, dass diese Zertifikate in Bezug auf Budget und Implementierungszeit teurer sind als Domain Validation (DV) -ZertifikateWenn also ein IT-Team keinen guten Grund hat, sich für EV zu entscheiden, sollten wir von ihm erwarten, dass er ein wenig Geld und Zeit spart. Obwohl die Kosten und die Unannehmlichkeiten von Elektrofahrzeugen im Vergleich zu anderen Teilen des Sicherheitsstapels unbedeutend sind, sind die Mitarbeiter grundsätzlich effizienz- und budgetorientiert. Wenn es keinen Grund gibt, etwas anderes zu tun, entscheiden sie sich für die billigste und einfachste Lösung.

Vorteile von EV SSL

Wenn wir von Vorteilen sprechen, ist es wichtig, sich daran zu erinnern, dass die Authentifizierung nicht für die zu authentifizierende Entität gilt. Lesen Sie das noch einmal und denken Sie einen Moment darüber nach: Die Authentifizierung gilt nicht für die zu authentifizierende Entität. 

Eher ist es für alle anderen. Nehmen wir als Beispiel einen Personalausweis wie einen Führerschein oder einen Reisepass. Wenn Sie zum Flughafen gehen, müssen Sie einen amtlichen Ausweis mit sich führen. Das liegt nicht daran, dass Sie Zweifel an Ihrer eigenen Identität haben. Vielmehr tragen Sie Ihren Reisepass bei sich, da die TSA und die Zollbeamten am Flughafen diesen benötigen. Dein Reisepass ist nichts für dich; es ist für sie.

Warum tragen Sie Ihren Reisepass auf Reisen? Weil sie dich sonst nicht ins Flugzeug lassen. Mit anderen Worten, in das System ist eine Motivation für die Authentifizierung von Personen eingebaut. Wenn wir fliegen wollen, müssen wir authentifiziert sein. Unsere Motivation ist es, nicht auf unsere eigene Identität zu vertrauen. Wir alle wissen, wer wir sind. Es ist vielmehr unsere Motivation, im Flugzeug erlaubt zu sein. 

Gleiches gilt für die Authentifizierung von Online-Sites und -Diensten. IT-Profis werden ihre Zeit und Mühe nicht darauf verwenden, sich selbst als echt zu bezeichnen, weil sie das bereits wissen. Um in Authentifizierung zu investieren, brauchen sie einen Motivator. Lassen Sie uns einige der möglichen Motivatoren untersuchen.

EV ist sicherer

Eine mögliche Motivation besteht einfach darin, ein sichereres Erlebnis anzubieten. Mit EV SSL erhaltenWebsite-Besucher mehr Informationen, um echte von gefälschten Websites zu unterscheiden, was den Erfolg von Social-Engineering-Angriffen untergräbt. In einer idealen Welt, die alle Motivation wäre, würde jeder EV SSL verwenden müssen. 

Genau aus diesem Grund setzen viele Unternehmen EV ein. Manchmal liegt es nur daran, dass sie glauben, dass der Schutz der Website-Besucher ein guter Kundenservice ist, und das ist Grund genug. Manchmal liegt es daran, dass sie selbst potenzielle Opfer von Spear-Phishing-Angriffen sind, die sich gegen ihre eigenen Mitarbeiter, Lieferanten, Lieferanten oder andere Ökosystempartner richten. Manchmal liegt es daran, dass sie versuchen, die Kosten für die Kontoübernahme oder andere Serviceprobleme aufgrund von Angriffen zu minimieren.

Online-Finanzdienstleistungen, die von Zahlungen an Banken über Kreditkarten bis hin zu Wertpapiergeschäften reichen, eignen sich verdammt gut für die Verwendung von EV SSL. Dies liegt daran, dass sie möglicherweise auf der Hut sind, um Kunden gesund zu machen, wenn sie dieser Art von Angriff zum Opfer fallen. Daher sind diese Online-Finanzdienstleistungen direkt von der Gewinn- und Verlustrechnung motiviert, diese Problemklasse zu minimieren.

Leider ist es keine ideale Welt. Viele Online-Unternehmen scheinen die Frage, wie sich der Schutz der Kunden vor Kriminellen lohnt, nicht geklärt zu haben. Einzelhändler, Social-Media-Sites und viele andere Online-Unternehmen spüren keine akuten Auswirkungen der Viktimisierung eines Kunden durch Phisher. Gestohlene Kreditkartendaten werden für alle möglichen Zwecke verwendet und werden möglicherweise nie an den Händler zurückgegeben, der den Diebstahl ursprünglich zugelassen hat. Und während der Kunde durch den Kreditkartendiebstahl belästigt wird, ist es sehr unwahrscheinlich, dass jemals die Schuld auf diesen Einzelhändler fällt.

Das Gleiche gilt für viele andere Websites, bei denen die primäre Phishing-Aktivität darin besteht, Anmeldeinformationen zu stehlen, nicht dieses bestimmte Konto zu übernehmen, sondern andere wertvollere Websites (insbesondere im Finanzsektor) auf ähnliche Namen- / Kennwortkombinationen zu überprüfen. Wenn auf einer schlampigen Website Ihre Anmeldeinformationen von einem Phisher gestohlen werden, der diese Informationen verwendet, um Zugriff auf Ihr Bankkonto zu erhalten, ist die Website niemals direkt von dieser Schlamperei betroffen.

Während die Sicherheitsvorteile von EV für sich allein motivierend sind, profitieren viele wichtige Phishing-Ziele nicht direkt von der verbesserten Sicherheit, die EV bietet. Und das schafft ein gigantisches Gefangenendilemma im Web. Während wir alle besser dran wären, wenn alle Sites EV verwenden würden, sparen viele einzelne Sites, die EV überspringen, Geld und Unannehmlichkeiten, ohne echte Nachteile zu erleiden. Deshalb tun es viele, und wir alle leiden darunter. 

Um eine breite Akzeptanz von Elektrofahrzeugen zu erreichen, brauchen wir daher mehr Motivatoren als nur Sicherheit.

EV hilft bei der Einhaltung

Ein weiterer potenzieller Motivator für eine Untergruppe von Websites ist die Compliance. Viele wichtige Compliance-Standards wie PCI-DSS und HIPAA / HITECH verlangen, dass Websites Maßnahmen ergreifen, um ihre Kunden vor dem Verlust vertraulicher Informationen wie Kreditkartennummern, PII, PHI und dergleichen zu schützen. Da EV einen stärkeren Schutz gegen diese Art von Diebstahl bietet als ein OV- oder DV-Zertifikat, stellen viele Sicherheits- und Governance-Abteilungen fest, dass EV der beste Weg ist, um eine erfolgreiche Überprüfbarkeit dieser Standards sicherzustellen.

Es kommt vor, dass die Überschneidungen zwischen Unternehmen, die stark durch Compliance motiviert sind, und Unternehmen, die stark durch Sicherheit motiviert sind, um ihrer selbst willen, sehr groß sind. Finanzielle Anwendungsfälle fallen fest in diese beiden Lager, daher fügen wir auf diese Weise nicht viele Websites hinzu. Der Hauptvorteil hierbei ist, dass Gesundheitswesen und Pharmaunternehmen strenge HIPAA / HITECH-Konformitätsanforderungen haben und besser als durchschnittliche Benutzer von EV SSL sind. 

Auch hier ist der Fußabdruck von Websites, die dazu motiviert sind, ihre authentifizierten Daten zu präsentieren, noch lange nicht allgegenwärtig. Viele Websites benötigen einen zusätzlichen Motivator.

EV erhöht die Site-Transaktionen und -Nutzung

Das Geschäft ist äußerst pragmatisch. Jeder Unternehmensstandort existiert mit einem bestimmten Endziel. Wenn das Unternehmen ein Online-Händler oder ein SaaS-Unternehmen ist, liegt das Ziel auf der Hand. Sie sind hier, um Waren und Dienstleistungen zu verkaufen oder zu liefern. Aber jeder Unternehmensstandort hat ein Ziel. Andernfalls würde das Unternehmen das Geld, die Mitarbeiterzeit und den Fokus nicht investieren, um es zu erstellen und zu pflegen. 

Diese Ziele können sein:

• Verkauf von Waren oder Dienstleistungen
• Bereitstellung von Online-Diensten
• Verbesserter Kundenservice (z. B. Aktivierung der Online-Überprüfung Ihres Telefons oder Ihrer Kreditkartenabrechnung)
• Höhere Service-Effizienz (z. B. Aktivieren des Online-Self-Service, anstatt mit einem menschlichen Vertreter in einer Telefonbank zu sprechen)
• Neue Serviceanmeldungen
• Lead-Generierung
• Verbrauch von Werbemitteln
• Herunterladen von Assets oder Anwendungen
• «Klebrigkeit» für eine Dienstleistung, ein Produkt oder eine Beziehung
• Marktbildung für Produkte und Marken

Für jedes dieser Ziele können wir den wirtschaftlichen Wert berechnen. Wenn Sie beispielsweise einen überlegenen Kundenservice ermöglichen, erhöhen Sie die Kundenzufriedenheit und die Net Promoter Scores. Dies wiederum führt zu Verbesserungen bei der Erneuerung, einem erweiterten Anteil an Brieftaschen und Mundpropaganda. Höhere Serviceeffizienz ermöglicht die Bereitstellung des gleichen Servicelevels für die gleiche Anzahl von Kunden zu geringeren Kosten. Durch die Verbesserung der Lead-Generierung können die Kosten pro Lead gesenkt und der Umsatz gesteigert werden. Durch die zunehmende Nutzung werbebasierter Websites können mehr Anzeigenblöcke verkauft werden. Und so weiter.

In jedem Fall ist eine Verbesserung der Leistung in Bezug auf dieses Ziel für das Unternehmen direkt vorteilhaft. Und der Sicherheitsindikator der grünen Adressleiste, einschließlich des Firmennamens in Grün, muss in jedem Fall genau das tun. Durch die Verbesserung des Nutzervertrauens wird die Nutzung der Website und die Neigung zur Teilnahme an Transaktionen erhöht, was wiederum alle oben genannten Ziele bestimmt. 

Während die ROI-Berechnung für jeden dieser Anwendungsfälle unterschiedlich ist, weil der Aufwand und das Budget für das Erhalten von EV-SSL-Zertifikaten trivial gering sind, ist der erwartete Return on Investment (ROI) enorm. Für nur ein paar hundert Dollar pro Jahr und ein oder zwei zusätzliche Tage, die auf die Ausstellung eines Zertifikats warten, ist jede messbare Veränderung der Online-Geschäfts-KPIs mehr als gerechtfertigt.

EV verbessert die Online-Markenpräsenz

Ein etwas subtilerer Punkt im Sinne einer erhöhten Nutzung der Website ist der Eindruck, den eine Website bei ihren Besuchern hinterlässt. Durch das Anzeigen eines sichtbaren Sicherheitsindikators signalisiert ein Unternehmen seinen Site-Besuchern mehrere wichtige Fakten. Diese Fakten beinhalten:

• Dieses Unternehmen investiert in erstklassige Sicherheit.
• Dieses Geschäft kümmert sich um das Wohl der Kunden.
• Dieses Geschäft ist operativ wirksam.
• Das Geschäft mit dieser Firma ist angenehm und sorglos.

Das Signalisieren dieser Nachrichten während eines Online-Erlebnisses hat einen Halo-Effekt auf die Gesamtwahrnehmung der Marke. Angesichts der sehr großen Investitionen vieler Unternehmen in die Erstellung dieser Markenimpressionen ist EV erneut eine äußerst einfache und kostengünstige Möglichkeit, zu diesen Bemühungen beizutragen.

Diese Vorteile hängen von den Konventionen der Browser-Oberfläche ab

Alle diese Vorteile hängen vom Vorhandensein einer visuellen Anzeige im Browser ab.

• Um Phishing zu bekämpfen, muss ein EV-Zertifikat echte Websites visuell von gefälschten unterscheiden.
• Um zu den Compliance-Anforderungen beizutragen, müssen EV-Zertifikate als solche erkennbar sein, damit sie Phishing bekämpfen können.
• Um die Transaktionen und die Nutzung der Website zu erhöhen, müssen EV-Zertifikate für Benutzer auf eine Weise sichtbar sein, die den Konventionen einer sichereren Erfahrung entspricht.
• Um zu einem positiven Markeneindruck beizutragen, müssen EV-Zertifikate den Nutzern ein positives Signal geben.

Browserhersteller haben die Möglichkeit, die Effektivität von EV zu steigern, indem sichergestellt wird, dass der Unterschied zwischen EV- und Nicht-EV-Zertifikaten klar erkennbar ist und Unternehmensnamen und andere Identitätsinformationen für den Benutzer leicht erkennbar sind. Oder Browser können die Informationen zu EV-Zertifikaten verringern oder verbergen und von diesen Vorteilen profitieren. Um die Sicherheit für die Benutzer und das Internet insgesamt zu verbessern, müssen die Browserhersteller den ersten Weg wählen und den Benutzern helfen, sich vor Online-Fälschungen der Sites, denen sie vertrauen, zu schützen.

Unternehmen in allen Branchen sind auf E-Mail als unverzichtbare Kommunikationsmethode angewiesen, die Kunden, Kunden, Mitarbeitern, Partnern, Anbietern und mehr bei der Interaktion hilft. Da täglich private und vertrauliche Informationen per E-Mail übermittelt werden, sollte es keine Überraschung sein, dass E-Mail-Verschlüsselungstools wie S/MIME zu einem wichtigen Bestandteil der Unternehmenssicherheit geworden sind.

Die Verwendung von Verschlüsselung und digitalen Signaturen bleibt der beste Weg, um die Integrität und den Datenschutz der E-Mail-Kommunikation zu gewährleisten. Mithilfe von Tools wie S/MIME kann der Benutzer überprüfen, ob die E-Mail tatsächlich vom vermeintlichen Absender stammt, ob der Inhalt der E-Mail – oder darin enthaltene Anhänge – auf irgendeine Weise geändert wurde, und mit der Gewissheit fortfahren, dass niemand darauf reagiert ein anderer als der vorgesehene Empfänger könnte die E-Mail gelesen haben.

Diese Funktionen sind wichtige Waffen im Kampf gegen den Betrug durch geschäftliche E-Mail-Kompromisse. Digitale Zertifikate spielen auch eine entscheidende Rolle, wenn es darum geht, Unternehmen dabei zu unterstützen, gesetzliche Anforderungen wie die strengen GDPR-Anforderungen weltweit einzuhalten dass in Europa tätige Organisationen sich treffen müssen. S/MIME bietet eine elegante Lösung: Durch die Verwendung von S/MIME für diese Art der Verschlüsselung können sowohl Absender als auch Empfänger ihre vorhandenen S/MIME-fähigen E-Mail-Anwendungen nutzen, während andere Lösungen wahrscheinlich eine neue, separate E-Mail-Anwendung oder deren Verwendung erfordern würden eines umständlichen Webportals, bei dem der Empfänger die riskante Operation ausführen muss, um auf einen Link in einer E-Mail zu klicken. S /MIME steht für E-Mail-Sicherheit leicht gemacht. S/MIME stellt sicher, dass die E-Mail auf den Absender- und Empfänger-Mailservern verschlüsselt ist. Eine wichtige Verteidigungsstufe, insbesondere wenn sich der Mailserver in der Cloud befindet.

Die Kosten, die entstehen, wenn die Bereitstellung NICHT automatisiert wird

Die automatische Zertifikatsverwaltung ist zwar keine Voraussetzung für S/MIME , wird jedoch dringend empfohlen. Wenn Sie es Ihren Mitarbeitern ermöglichen, sich die Last der Zertifikatsverwaltung zu teilen, sparen Sie möglicherweise kurzfristig etwas Geld, aber auf lange Sicht werden mit ziemlicher Sicherheit Probleme auftauchen. Ein Secorio-Kunde beschrieb die Erfahrung des Verzichts auf die automatische Zertifikatsverwaltung:

„Wir haben vor vier Monaten das sichere E-Mail-Zertifikat für unsere Endbenutzer bereitgestellt und [waren] mit Schwierigkeiten bei der Bereitstellung konfrontiert. Obwohl wir eine schrittweise Anleitung für Endbenutzer zum Herunterladen und Installieren ihres eigenen Zertifikats erstellt haben, gingen zahlreiche Supportanfragen ein, um das Setup durchzuführen. “

Die mit der manuellen Zertifikatverwaltung verbundenen Schwierigkeiten veranlassten diesen Kunden, bei Sectigo nach einer Zero-Touch-Lösung zu suchen, die schliesslich die automatische Zertifikatverwaltung und -installation in ihre Lösung einbezog. In den meisten Fällen kostet das Einrichten dieser Automatisierung weniger als ein einziger Supportanruf – und spart den Mitarbeitern wertvolle Zeit, da sie ihre S/MIME-Zertifikate nicht mehr manuell verwalten müssen.

Bemerkenswert sind auch die Kosten für verlorene Mitarbeiterproduktivität. Zum Beispiel, wenn ein Junior-Anwalt in einer Anwaltskanzlei (der Klienten EUR 200 pro Stunde in Rechnung stellt) mindestens eine halbe Stunde Zeit damit verbringt, ein digitales Zertifikat auf ihrem iPhone zu installieren, und der Support (bezahlt EUR 100 pro Stunde) denselben Betrag benötigt Um eine unvollständige oder verwirrte Installation zu beheben, hat das Unternehmen EUR 270 ausgegeben, um nur ein digitales Zertifikat bereitzustellen – mehr als das Fünffache der Kosten eines Zero-Touch-S/MIME-Zertifikats, das dem Benutzer automatisch bereitgestellt werden konnte.

Schmerzhafte Probleme vermeiden

Ohne Automatisierung steigt das Risiko einer Exposition durch menschliches Versagen sprunghaft an. Wie hilft Automatisierung? Im Folgenden sind einige der häufigsten Probleme aufgeführt, die durch die manuelle Zertifikatverwaltung verursacht werden. Die meisten (wenn nicht alle) Probleme können mit einer effektiven Automatisierung behoben werden:

• Fehler beim Veröffentlichen eines neuen Zertifikats. Wenn kein neues Zertifikat in der globalen Adressliste des Unternehmens veröffentlicht wird, können Absender von Outlook- und ActiveSync-Mailanwendungen das für die Verschlüsselung für den Empfänger erforderliche Zertifikat nicht finden. Der Mitarbeiter verbringt entweder viel Zeit damit, herauszufinden, wie sein Zertifikat veröffentlicht werden soll, oder die Absender verwenden keine Verschlüsselung.
• Fehler beim Verwenden der globalen Adressliste. Wenn die globale Adressliste nicht verwendet wird, müssen die Mitarbeiter untereinander signierte E-Mails senden, damit der Absender das Zertifikat des Empfängers extrahieren kann. Dies schränkt die Wirksamkeit ein, da eine verschlüsselte E-Mail erst gesendet werden kann, wenn der Empfänger auf die E-Mail geantwortet hat. Dies funktioniert so lange, bis der Empfänger sein Zertifikat erneuert und der Absender über ein älteres, abgelaufenes Zertifikat verfügt. Sobald die Ursache des Problems identifiziert ist, muss eine neue signierte E-Mail an alle Personen gesendet werden, mit denen der Absender kommunizieren möchte.
• Probleme mit dem Self-Service-Webportal. Ohne Automatisierung muss jeder Mitarbeiter, der ein S/MIME-Zertifikat benötigt, ein Self-Service-Webportal besuchen. Dort müssen sie unter Verwendung eines gemeinsamen Geheimnisses, das sie selbst identifizieren, durch 5-10 Bildschirme klicken, den privaten Schlüssel und das Zertifikat in einer PKCS # 12-Datei herunterladen und die Datei öffnen, um das Zertifikat auf ihren Desktop zu importieren. Sie müssen dann Outlook manuell konfigurieren, um das neu installierte Zertifikat zu verwenden.
• Ineffektiver privater Schlüsselspeicher. Der Mitarbeiter muss seinen privaten Verschlüsselungsschlüssel manuell sichern. Auf diese Weise können E-Mails oder Dateien weiter entschlüsselt werden, falls der private Schlüssel versehentlich zerstört wird. Daraus können zwei Arten von Support-Problemen resultieren:
  • Der Mitarbeiter vergisst, den Schlüssel zu sichern, und kann nicht mehr auf seine früheren E-Mails zugreifen, wenn der private Schlüssel zerstört wird.
  • Der Mitarbeiter sichert den privaten Schlüssel auf einem USB-Laufwerk, gemischt mit anderen Datendateien. Ihr privater Schlüssel kann dann einem Angreifer zur Verfügung gestellt werden, der die Verschlüsselung erzwingen kann, die den privaten Schlüssel vor Diebstahl schützt.

Einige Anbieter geben an, ein Backup des Verschlüsselungsschlüssels anzubieten. Der Kunde muss es jedoch vor Ort implementieren, wobei zusätzliche versteckte Kosten anfallen.

• Probleme bei der Installation von Mobilgeräten. Viele Mitarbeiter haben Probleme, den privaten Schlüssel und das Zertifikat aus Outlook zu exportieren, wenn sie ein mobiles Gerät einrichten. Sie müssen die Datei mit dem privaten Schlüssel und dem Zertifikat auf ihr Mobilgerät übertragen. Die Mitarbeiter müssen dann den privaten Schlüssel und das Zertifikat in die E-Mail-Anwendung importieren, was sich aufgrund der unterschiedlichen Methoden, die für verschiedene E-Mail-Anwendungen erforderlich sind, als problematisch erweisen kann. Sobald der private Schlüssel und das Zertifikat auf dem mobilen Gerät installiert sind, haben viele Mitarbeiter Probleme, die E-Mail-Anwendung für die Verwendung des neu installierten Zertifikats zu konfigurieren.
• Schlechtes Erneuerungsmanagement. Wenn das Zertifikat in 1-3 Jahren abläuft, muss der Mitarbeiter das Zertifikat für jedes Gerät vor Ablauf erneuern. Andernfalls erhalten alle E-Mail-Empfänger eine Benachrichtigung, dass die digitale Signatur ungültig ist, wodurch die Kommunikation unterbrochen wird. Schlimmer noch, die Empfänger ignorieren die Fehler eines abgelaufenen Zertifikats, wodurch die Lösung ineffektiv wird.
• Entschlüsseln älterer E-Mails. Bei der Erneuerung von Zertifikaten muss auf die auf dem Mailserver gespeicherten E-Mails mit unterschiedlichen Schlüsseln zugegriffen werden. Ohne Automatisierung müssen Mitarbeiter manuell überprüfen, ob der gesamte Schlüsselverlauf verfügbar ist. Andernfalls können sie die älteren E-Mails nicht entschlüsseln. Dies führt zu Helpdesk-Anrufen – oder, noch schlimmer, dazu, dass einige E-Mails, die mit einem verlorenen Schlüssel zusammenhängen, nicht entschlüsselt werden können.

Diese Probleme können für Benutzer frustrierend sein und veranschaulichen deutlich, wie sich eine ineffektive Zertifikatverwaltung negativ auf die Sicherheit und Zuverlässigkeit der Kommunikation eines Unternehmens auswirken kann.

S/MIME ist ein wichtiges und benutzerfreundliches E-Mail-Verschlüsselungstool. Durch das Hinzufügen von Zero-Touch-S/MIME wird die Installation und Erneuerung der vielen Zertifikate in einer Organisation einfacher und kostengünstiger als je zuvor .

Weitere Informationen finden Sie im Sectigo Zero-Touch Deployment S/MIME- Produktvideo.

2016 hat die Europäische Union das wirksamste Datenschutzmandat seit Jahrzehnten verabschiedet und damit einen veralteten Satz von Richtlinien ersetzt, der zuletzt 1995 aktualisiert wurde. Seit seinem Inkrafttreten im Mai 2018 hat die Allgemeine Datenschutzverordnung (DSGVO) weltweit Wellen geschlagen und Unternehmen haben in den letzten Jahren versucht zu verstehen, was dies bedeutet, wie die Konformität gewährleistet werden kann und wie sich dies auf ihre Abläufe auswirken kann.

Die DSGVO ist derzeit in der gesamten EU als Recht anerkannt, und Unternehmen, die dort Geschäfte tätigen möchten, benötigen ein umfassendes Verständnis dessen, was damit verbunden ist. Die Verordnung zielt im Kern darauf ab, die Datenschutzgesetze in der gesamten Region zu harmonisieren, die Daten der EU-Bürger zu schützen und die Herangehensweise von Organisationen in der gesamten Region an den Datenschutz umzugestalten. Befürworter der DSGVO bezeichnen sie als «die wichtigste Änderung der Datenschutzbestimmungen in den letzten 20 Jahren» und stellen fest, dass «die Art und Weise, wie Daten in allen Sektoren verarbeitet werden, von der Gesundheitsfürsorge bis zum Bankwesen und darüber hinaus, grundlegend verändert wird».

Diese Beschreibung lässt GDPR erschreckend umfangreich klingen – und in vielerlei Hinsicht ist es das auch. Dieser umfassende Ansatz zur Datensicherheit bedeutet, dass im Gegensatz zu HIPAA oder DFARS, die nur bestimmte Branchen betreffen, die DSGVO-Bestimmungen von jeder Organisation eingehalten werden müssen, die innerhalb der EU und des Europäischen Wirtschaftsraums tätig ist. Die Regulierung ist weitreichend, ihr Wirkungsbereich massiv.

In anderer Hinsicht sind die Bestimmungen, die im Rahmen der DSGVO durchgesetzt werden, sowohl einfach als auch unkompliziert. Ähnlich wie bei den anderen Vorschriften in den USA, die in geringerem Umfang in Kraft sind, verlangt die DSGVO für alle IT-Geschäftsprozesse, in denen personenbezogene Daten zum Einsatz kommen, lediglich einen Datenschutz „von Haus aus und standardmäßig“. Die Verordnung sieht vor, dass für die Verarbeitung personenbezogener Daten Verantwortliche „geeignete technische und organisatorische Maßnahmen“ treffen müssen, um den Schutz dieser Daten zu gewährleisten – mit erheblichen Strafen bei Verstößen gegen das Gesetz.

Und machen Sie keinen Fehler: Die Strafen sind schwerwiegend. Nach der DSGVO können die Strafen für den Verlust, die Änderung oder die unbefugte Offenlegung von Daten bis zu 4% des weltweiten Jahresumsatzes oder 20 Mio. EUR betragen – je nachdem, welcher Betrag höher ist. Dies ist eine große Veränderung für jedes Unternehmen und unterstreicht die Bedeutung der Einhaltung der DSGVO-Regeln.

Also, was bedeutet das? Nicht zuletzt bedeutet dies, dass die Verschlüsselung von E-Mails eine sehr, sehr gute Idee ist. Seit dem Inkrafttreten der DSGVO wird die Verschlüsselung von E-Mails mit vertraulichen personenbezogenen Daten allgemein als Best Practice für den Geschäftsbetrieb angesehen. Dies sollte nicht überraschen. E-Mails in Europa weisen die gleichen Schwachstellen auf wie E-Mails in den USA. Nicht verschlüsselte E-Mails können von einer Reihe verschiedener Parteien gelesen werden, darunter der IT-Administrator des Unternehmens, der Internetdienstanbieter und der Clouddienst-E-Mail-Anbieter. Aus diesem Grund ist das Senden unverschlüsselter E-Mails mit persönlichen oder vertraulichen Informationen von Personen unter der DSGVO wahrscheinlich illegal.

Riskiere es nicht. Warum würdest du? Die S/MIME-Zertifikatstechnologie bietet eine einfache und effektive Möglichkeit, Daten zu verschlüsseln und dabei sowohl den Absender als auch den Inhalt einer E-Mail zu authentifizieren. Obwohl E-Mail-Zertifikate in GDPR nicht ausdrücklich verlangt werden, ist S/MIME der einfachste Weg, um sicherzustellen, dass Ihre E-Mail-Kommunikation weiterhin kompatibel ist. E-Mails, die durch S/MIME geschützt sind, bleiben vom Versand bis zum Öffnen verschlüsselt, so dass sie während der Übertragung nicht gelesen werden können. Diese Nachrichten und Anhänge bleiben auch verschlüsselt, während sie auf Mail-Servern gespeichert werden. Dies fügt eine weitere Sicherheitsebene hinzu, die Informationen zum Ruhezustand umfasst.

Für Unternehmen, die eine einfache Möglichkeit suchen, ihre E-Mail-Kommunikation auf die Einhaltung der DSGVO umzustellen, gibt es keine umfassendere Lösung als S/MIME. Die von S/MIME bereitgestellte End-to-End-Verschlüsselung bietet einen einfachen und benutzerfreundlichen Ansatz für die E-Mail-Sicherheit in allen Branchen.

Apple hat am 49. CA/Browser Forum vom 19. Februar verkündet, dass Apple Geräte nach dem 01. September 2020 neuen SSL Zertifikaten nur bis zu einer maximalen Gültigkeit von 1 Jahr (resp. 398 Tagen bei Erneuerungen) vertrauen sollen. Safari Browser sollen Zertifikaten, welche ab dem 01. September 2020 mit längerer Laufzeit ausgestellt werden, nicht mehr vertrauen.

Zertifikate, welche bis zum 01. September 2020 ausgestellt werden, dürfen noch eine Gültigkeit von 2 Jahren (resp. 825 Tage bei Erneuerungen) haben. Diese gültigen Zertifikate mit 2 Jahren Laufzeit werden auch nach dem 01. September 2020 uneingeschränkt vertrauenswürdig bleiben. Für diese Zertifikate bleibt somit keinerlei Handlungsbedarf. Zertifikate, welche nach dem 31. August 2020 ausgestellt werden, sollen eine Laufzeit von 1 Jahr haben, um von Apple Geräten weiterhin als sicher erkannt zu werden.

Begrenzt menschliche Fehler und Website-Ausfälle, während Unternehmen die Möglichkeit haben, Automatisierungsworkflows zu konfigurieren

Trotz der zunehmenden Nutzung moderner, flexibler Computerumgebungen wie Virtualisierung, Containerisierung, Internet of Things (IoT) und Cloud durch Unternehmen setzt eine große Anzahl von IT-Administratoren die Bereitstellung und Verwaltung von Zertifikaten fort. altmodische Techniken, die sich besser für die Infrastruktur der 90er Jahre eignen als die heutigen DevOps-Umgebungen. Dieses „Management durch Tabellenkalkulation“ führt zu Ineffizienz und dem Risiko eines Ausfalls oder einer Nichteinhaltung aufgrund menschlicher Fehler.

Um dieses Problem zu lösen, hat Technologiepartner Sectigo, die weltweit größte kommerzielle Zertifizierungsstelle und ein führender Anbieter von Web-Sicherheitslösungen, heute die Unterstützung des ACME-Protokolls für die beliebte SCM-Plattform angekündigt . Durch Hinzufügen von ACME-Unterstützung bringt Secorio die Zuverlässigkeit und Effizienz der Automatisierung in die Verwaltung von Unternehmenszertifikaten.

Senkung der Gesamtbetriebskosten für die Zertifikatverwaltung

Für die Installation eines SSL-Zertifikats auf einem Server sind bis zu neun zeitintensive Schritte erforderlich, einschließlich der Anmeldung, des Herunterladens, der Erneuerungskonfiguration und des Testens. Die Kosten für jede Installation oder Erneuerung werden auf 50 bis 100 USD pro Web veranschlagt. Darüber hinaus erhöhen sich Komplexität und Kosten nur für Webserver, die mehrere Domänen, Platzhalterzertifikate, Reverse-Proxys oder Load-Balancer verwenden.

Jeder Schritt erfordert eine präzise Verwaltung durch einen Webadministrator oder einen Mitarbeiter mit technischen Kenntnissen, um das Risiko menschlicher Fehler und unerwarteter Ausfälle zu vermeiden, die sehr kostspielig sein können. Zum Beispiel forderte der Mobilfunkbetreiber O2 Schadensersatz in Millionenhöhe von Ericsson, nachdem 32 Millionen seiner Kunden und andere Mobilfunkbetreiber auf der ganzen Welt den Service eingestellt hatten. Der tagelange Zusammenbruch der Netzwerkdaten im Dezember 2018 war auf ein abgelaufenes Zertifikat im Ericsson-Technologie-Stack zurückzuführen, das diese Netzbetreiber bedient.

„Die manuelle Installation von SSL-Zertifikaten erfordert spezielle Kenntnisse, ohne die das Unternehmen eine Fehlkonfiguration, mangelnde Transparenz der installierten Zertifikate und die Unfähigkeit, Zertifikate aufgrund ungeplanter Ereignisse schnell zu ersetzen, riskieren kann. Ein Webadministrator, der sich mit HTML-Codierung und Website-Erstellung besser auskennt und weniger Erfahrung mit der Linux-Shell hat, hat möglicherweise erhebliche Schwierigkeiten, die erforderlichen Schritte auszuführen, oder verbringt viel Zeit mit dem Erlernen “, fügte Kent hinzu.

Vier Möglichkeiten zur Automatisierung unter Beibehaltung der Kontrolle

Fortschritte in der Secorio Certificate Manager-Plattform begegnen diesen Herausforderungen im Unternehmensmaßstab, indem Mechanismen zur Automatisierung der Installation und Erneuerung von SSL-Zertifikaten auf Servern im herkömmlichen Rechenzentrum oder in einer DevOps-Umgebung bereitgestellt werden, wodurch sowohl die Bereitstellung als auch die laufende Verwaltung vollständig automatisiert werden. Diese ACME-Unterstützung gilt für SSL-Zertifikate mit erweiterter Validierung (EV), Organisationsvalidierung (OV) und Domänenvalidierung (DV).

• Industriestandard-ACME-Protokoll – Die von der IETF entwickelte automatisierte Zertifikatsverwaltungsumgebung (Automated Certificate Management Environment, ACME) definiert einen erweiterbaren Rahmen für die Automatisierung von Ausstellungs- und Validierungsverfahren für Zertifikate, sodass Server ohne manuelle Benutzerinteraktion DV-, OV- und EV-SSL-Zertifikate erhalten können. Über 100 Open-Source-ACME-Clients stehen zur Verfügung, um die Zertifikatausstellung auf Apache, IIS, NGINX, F5 BIG-IP, Citrix NetScaler und anderen gängigen Webservern und Netzwerkgeräten zu automatisieren. Die ACME-Tools automatisieren die Schlüsselgenerierung, die Überprüfung der Domänensteuerung, die Zertifikaterstellung und die Installation auf dem Server vollständig. Wenn öffentliche Zertifikate benötigt werden, kann der Kunde diese direkt bei Secorio anfordern.
• Proprietäre automatisierte Methode – Für Apache-, IIS-, Tomcat- und F5-BIG-IP-Umgebungen stellt Secorioeinen Client zur Installation an einem Ort beim Kunden bereit, der dann mit allen Servern des Unternehmens kommunizieren kann. Sectigo Certificate Manager bettet die Anmeldeinformationen des Webserver-Administrators für die Installation von Zertifikaten und die Weitergabe von privaten Schlüsseln in diesen Agenten ein.
• Benutzerdefinierte Workflows mit REST – API – Kunden können Secorio die Verwendung REST Full API (Representational State Transfer) Zertifikate zu installieren, so dass für eine maßgeschneiderte Workflow, einschließlich Genehmigungen und andere Schritte. Der Administrator kann eine Genehmigung für Zertifikatanforderungen vom ACME-Client anfordern und Zertifikate erkennen, nachverfolgen, Berichte ausführen und manuelle Änderungen vornehmen.
• Engere Integration mit Produkten von Drittanbietern – Secorio hat sich in F5 BIG-IP integriert und arbeitet an zusätzlichen Integrationen von Drittanbietern, um eine vollständige Automatisierung und ein Workflow-Management zu gewährleisten.

Weitere Informationen finden Sie im ACME-Automatisierungsvideo .