Kryptographische Konzepte, die vor über dreißig Jahren entworfen wurden, sind in heutigen komplexen digitalen Umgebungen unzureichend und führen zu erheblichen Schwachstellen. Zudem werden Quantencomputer, die Public-Key-Kryptographie innerhalb von 5 bis 15 Jahren brechen können. Hier braucht es ein umfassendes kryptographisches Inventar. [...]
Die kryptographische Infrastruktur ist das Fundament des digitalen Vertrauens. Jedoch sind viele kryptographische Konzepte mittlerweile in die Jahre gekommen und sind daher Schwachstellen. Zudem stellt das Quantencomputing eine fundamentale Bedrohung dar, da Quantencomputer laut dem „2024 Quantum Threat Timeline Report“ des Global Risk Institutes, die Public-Key-Kryptographie in geschätzten 5 bis 15 Jahren brechen werden können. Der genaue Zeitpunkt wird als „Q-Day“ bezeichnet. Dies ermöglicht SNDL-Angriffe (Store-Now-Decrypt-Later), bei denen Daten heute gesammelt und später entschlüsselt werden. Kryptographie betrifft alles – von der Datenschutzgrundverordnung (DSGVO) bis zum Payment Card Industry Data Security Standard (PCI DSS).
In dem White Paper „Cryptographic Inventory“ von HSBC, Infosec Global und Thales wird ein umfassendes kryptographisches Inventar als erster und kritischste Schritt beschrieben, um sich auf eine quantensichere Zukunft vorzubereiten. Dabei geht es um eine dynamische, systematische Aufzeichnung aller kryptographischen Instanzen in der digitalen Infrastruktur einer Organisation und die Beantwortung von Fragen wie „Was habe ich?“, „Wo sind die Assets?“, „Wie effektiv sind sie?“ und „Was muss zuerst getan werden?“. Ein Inventar umfasst diverse Assets wie Schlüssel, Zertifikate, Algorithmen und Protokolle in operationeller, Software-, Netzwerk-, verwalteter und Hardware-Kryptographie. Die Vorteile sind:
- Verbesserte Sicherheit durch die Identifizierung und Behebung von Schwachstellen.
- Compliance: Einhaltung von Standards wie NIST, PCI-SSC.
- Risikoreduzierung: Minderung von Sicherheitsverletzungen durch Erkennung unmanaged Assets.
- Fit für die Zukunft: Vorbereitung auf Quantencomputing und Übergang zu Post-Quanten-Kryptographie (PQC).
- Betriebliche Effizienz: Optimierung von Prozessen und Reduzierung des manuellen Aufwands.
Der Wert des Inventars misst sich an der Reduzierung von Bilanzrisiken und dem Management operativer Geschäftsrisiken. Kryptographische Risiken können finanzielle Verluste und Reputationsschäden verursachen.
Der Aufbau eines Inventars ist komplex und vielschichtig. Zu den größten Herausforderungen gehören:
- Heterogene Quellen und dadurch verborgene Assets in diversen IT-Umgebungen.
- Drittanbieter-Abhängigkeiten mit begrenzter Sichtbarkeit.
- Unzureichende klassische Tools und der Bedarf an spezifischen Technologien.
- Der Schutz sensibler Inventardaten.
- „Blinde Flecken“ von Automatisierungstools im Rahmen der Automatisierung.
- Der Mangel an tiefgreifendem Fachwissen und die diverse Regulierung.
Die Cybersecurity-Community muss von „Kryptographie verwenden“ zu „geeignete, robuste Kryptographie verwenden“ wechseln. Hier ist insbesondere das „Hexagon-Framework“ zu nennen. Es erweitert die traditionelle CIA-Triade (Confidentiality, Integrity, Authentication) um Validation/Trust, Availability und Non-repudiation/Evidence, um digitale Vertrauensindikatoren zu verbessern.
Die Cryptography Bill of Materials (CBOM) listet zwar kryptographische Fähigkeiten in Software auf, bildet aber nicht die spezifische Konfiguration und Nutzung in einer Organisation ab. Ein organisationsweites Inventar ist umfassender, da es diese unternehmensspezifische Nutzung, Abhängigkeiten und Richtlinien einbezieht. CBOMs und Inventare ergänzen sich: ein CBOM ist ein grundlegendes Element des umfassenderen operationellen Inventars.
Zehn strategische Prinzipien für den Aufbau eines Inventars
- Executive Sponsorship: Unterstützung der Führungskräfte ist entscheidend.
- Skalierung durch Automatisierung bei gleichzeitiger Optimierung manueller Beteiligung.
- Priorisierung von Anstrengungen nach einem risikobasierten Ansatz.
- Kontextualisierung zur Wertsteigerung durch Metadaten und Generierung umsetzbarer Erkenntnisse.
- Nutzung von KI zur Erweiterung der Fähigkeiten (Erkennung, Klassifizierung, Bedrohungsanalyse).
- Einbeziehung der Anbieterkryptographie in der Lieferkette.
- Definition einer Golden Source (einer einzigen vertrauenswürdigen Quelle) für kryptographie-relevante Daten.
- Strategie für falsch-positive Ergebnisse (Falschmeldungen minimieren).
Die praktischen Anwendungen umfassen Compliance und Schwachstellenerkennung. Ein Inventar fördert kryptographische Agilität, die Fähigkeit, schnell zwischen kryptographischen Assets zu wechseln, was entscheidend für die Sicherheit und den Übergang zu PQC ist. Kryptographische Agilität ist ohne ein solides Inventar nicht erreichbar.
Die Verantwortung für Kryptographiemanagement sollte einem C-Level-Manager wie dem CIO oder CISO zugewiesen werden. Ein RACI-Modell (Responsible, Accountable, Consulted, Informed) wird zur Rollenzuweisung empfohlen, wobei Kryptographie-Experten als Berater unerlässlich sind.
Jetzt handeln
Wie gesagt: die heutige kryptographische Infrastruktur ist mangelhaft. Ein kryptographisches Inventar ist eine essenzielle und sofortige Möglichkeit, Schwachstellen zu beheben und sich auf Quantencomputing vorzubereiten. Es ist komplex, erfordert Automatisierung und Fachwissen.
Kryptographie muss als Geschäftsrisiko gemanagt werden, da sie ein strategisches Asset und kritische Infrastruktur ist. Das Hexagon-Framework hilft, digitale Vertrauenswürdigkeit zu gewährleisten.
Be the first to comment