Beschikbaarheid van kritische online services in gevaar door certificaat- en sleutelproblemen

encryptie

De beschikbaarheid van kritische online services wordt steeds vaker verstoord door certificaat- en sleutelproblemen. 79% van de IT-professionals geeft aan in 2016 met tenminste één storing te maken te hebben gehad die is veroorzaakt door een certificaat.

Dit blijkt uit onderzoek van Dimensional Research en Venafi onder 505 IT-professionals in Europa en de Verenigde Staten over de frequentie, omvang en oorzaken van alle storingen. De belangrijkste conclusies van het onderzoek zijn:

  • 79% heeft in 2016 minstens één storing ervaren veroorzaakt door een certificaat
  • Bij 38% waren dat er in 2016 meer dan 6
  • 4% heeft in 2016 meer dan 100 certificaat gerelateerde storingen meegemaakt
  • 64% van de organisaties kon niet binnen 6 uur op certificaat gerelateerde storingen reageren

Snelgroeiend gebruik encryptie

Als gevolg van het snelgroeiend gebruik van encryptie hebben vooral middelgrote tot grote bedrijven steeds meer moeite om alle certificaten en encryptiesleutels goed beveiligd te managen. De twee belangrijkste oorzaken van het toenemend aantal certificaat gerelateerde storingen zijn de explosieve groei van IP-apparatuur in bedrijfsnetwerken en de invoering van DevOps en Fast IT ontwikkelingen.

Veel organisaties hebben onvoldoende inzicht in het certificaatgebruik. Uit informatie van Venafi’s klanten blijkt zij gemiddeld 16.500 onbekende certificaten en sleutels gebruiken. Uit het onderzoek van Dimensional Research blijkt dat veel organisaties daar te weinig controle over hebben en tevens geen geautomatiseerde processen voor het vervangen van certificaten als ze verlopen, of worden gehackt:

  • 65% heeft nog geen centrale managementoplossing voor alle gebruikte certificaten en sleutels
  • 65% van alle organisaties die wel zo’n centrale oplossing heeft, vertrouwt daarbij op de beveiliging van hun Certificate Authorities (CA’s), wat het inzicht in de uitgifte ervan belemmert

Identiteit- en toegangscontrole

“Digitale certificaten en encryptiesleutels vormen de basis voor identiteit- en toegangscontrole door machines, net als gebruikersnamen en wachtwoorden voor mensen”, zegt Kevin Bocek, vice president security strategy & threath intelligence van Venafi. “Omdat certificaten de veilige communicatie tussen alle apparatuur regelen, vormen ze een ondergewaardeerd onderdeel van het digitale ecosysteem van elke organisatie en daardoor de totale digitale wereldeconomie. Wanneer ze onverwacht verlopen kunnen kritische services onbereikbaar worden. Helaas hebben de meeste organisaties nog steeds niet het benodigde inzicht en tools om deze cybersecurityfundering effectief te managen.”

“Het goede nieuws is dat de meeste certificaat gerelateerde storingen goed voorspelbaar zijn, alleen moet men dan wel de scope en schaalgrootte van het potentiële probleem begrijpen”, vervolgt Bocek. “Naarmate we meer cloud services, IoT-apparatuur en DevOps automatisering gaan gebruiken, blijft het gebruik van certificaten explosief groeien. Die ontwikkeling is alleen te beheersen als organisaties de uitgifte, levenscyclus en vervanging van certificaten en sleutels geautomatiseerd gaan managen. Het negeren daarvan brengt de beschikbaarheid van kritische services in gevaar en vergroot de cybersecurityrisico’s.”

Meer over
Lees ook
LastPass: ‘Inhoud van kluis is veilig, ook als hoofdwachtwoord uitlekt’

LastPass: ‘Inhoud van kluis is veilig, ook als hoofdwachtwoord uitlekt’

De wachtwoorden die gebruikers hebben opgeslagen in een kluis bij LastPass zijn door de recente hack niet in gevaar. Zelfs als aanvallers het hoofdwachtwoord van gebruikers weten te achterhalen kunnen zij hiermee geen toegang krijgen tot content in de LastPass-kluis van gebruikers. Dit stelt het bedrijf in een geüpdatet verklaring die eerder al op1

IT-giganten roepen president Obama op encryptie niet te ondermijnen

IT-giganten roepen president Obama op encryptie niet te ondermijnen

Amerikaanse diensten als de NSA en FBI vragen al langere tijd om meer bevoegdheden, waaronder backdoors in encryptie. Dit moet het mogelijk maken ook versleutelde bestanden te kunnen bekijken. Een fors aantal Amerikaanse techbedrijven roept president Obama in een brandbrief op geen wetten aan te nemen die encryptie ondermijnen of onmogelijk maken.1

Beheerder: ‘Tor-maildienst SIGAINT mogelijk doelwit van inlichtingendienst’

Beheerder: ‘Tor-maildienst SIGAINT mogelijk doelwit van inlichtingendienst’

SIGAINT, een op het Tor-netwerkgebaseerde beveiligde e-maildienst, waarschuwt mogelijk doelwit te zijn geworden van een cyberaanval door een inlichtingendienst. De aanvallen zouden echter zijn mislukt. De e-maildienst SIGAINT is bedoeld om onder andere journalisten en activisten te beschermen tegen meekijkende ogen over overheden en inlichtingendi1