Management digitaler Maschinenidentitäten Die 5 größten Zertifikatsausfälle 2023

Anbieter zum Thema

ALE Deutschland GmbH

Aagon GmbH

Vitel GmbH

Organisationen sind auf PKI (Public Key Infrastructure), kryptografische Schlüssel und digitale Zertifikate angewiesen, um die großen Mengen an Benutzern, Maschinen und Anwendungen sicher mit ihrer IT-Umgebung zu verbinden. Unternehmen haben jedoch zunehmend Schwierigkeiten, die wachsende Anzahl an Maschinenidentitäten zu verwalten.

Sich über die Herausforderungen beim Zertifikatsmanagement bewusst zu sein, führt aber noch nicht automatisch zu der Lösung von Problemen, wie der Bericht „State of Machine Identity Management“ von Keyfactor für das Jahr 2023 zeigt:

• Die Unterstützung der Führungsebene für das Management von Maschinenidentitäten nimmt zu. – Dennoch geben mehr Organisationen an, dass die Verwaltung von Schlüsseln und Zertifikaten die operative Belastung für ihre Teams erhöht hat.

• Mehr Organisationen geben an, eine ausgereifte, organisationweite Strategie für das Identitätsmanagement zu haben. – Aber trotzdem sagen auch mehr Organisationen, dass sie nicht genau wissen, über wie viele Schlüssel und Zertifikate sie verfügen.

• Die Reduzierung der Komplexität im Bereich PKI und das Verhindern von Zertifikatsausfällen sind oberste Prioritäten für das Management von Maschinenidentitäten. – Jedoch verwendet die durchschnittliche Organisation neun verschiedene PKI- und Zertifizierungs­stellen­lösungen.

Diese Komplikationen erhöhen die Wahrscheinlichkeit von Zertifikatsausfällen und Ausfallzeiten. Solche Störungen beeinträchtigen das Image eines Unternehmens und führen zu erheblichen Kosten für die Fehlerbehebung.

Mit Blick auf den explosionsartigen Anstieg digitaler Identitäten und Zertifikate innerhalb vieler Unternehmen ist die Verwaltung von Hunderttausenden von Zertifikaten keine leichte Aufgabe. Im Jahr 2023 konnte beobachtet werden, dass selbst große und vermeintlich in diesem Bereich gut aufgestellte Unternehmen die Zertifikatsverwaltung als äußerst herausfordernd empfinden. Die folgende Übersicht vorhandener Sicherheitslücken ermöglicht es Organisationen Zertifikatsausfälle besser zu verstehen und in Zukunft zu verhindern, und gibt Tipps, wie sie ihre PKI besser verwalten können.

1. Microsoft Sharepoint

Im Juli 2023 führte ein Zertifikatsausfall dazu, dass Microsoft Teams, Outlook und andere Dienste deaktiviert wurden. Obwohl das Problem innerhalb weniger Minuten gefunden und behoben wurde, hatten die Benutzer dennoch einige Stunden lang mit Unterbrechungen zu kämpfen. Bei genauerer Untersuchung stellte sich heraus, dass das deutsche TLS-Zertifikat von sharepoint.de fälschlicherweise zum primären sharepoint.com-Domain hinzugefügt worden war.

Was wir daraus lernen: Obwohl die Folgen dieses Vorfalls überschaubar blieben, zeigt er, wie einfach es ist, Fehler bei der Verwaltung von Zertifikaten zu machen. Eine Reduzierung der menschlichen Komponente bei der Zertifikatsverwaltung verringert die Fehleranfälligkeit. Für Unternehmen gilt, dass sie so viele Prozesse wie möglich automatisieren sollten, um die Effizienz und die Verlässlichkeit ihres Zertifikatsmanagements zu optimieren.

2. SpaceX Starlink

Im April 2023 fielen SpaceXs Starlink-Satelliten für mehrere Stunden aus und sorgte damit für Beeinträchtigungen bei Meschen weltweit. SpaceX CEO, Elon Musk, erklärte daraufhin auf Twitter/X, dass ein „abgelaufenes Bodenstationszertifikat" die Ursache sei.

Was wir daraus lernen: Eine durchschnittliche Organisation unterhält im Schnitt jederzeit über eine Viertelmillion Zertifikate und es bedarf nur eines unbemerkt abgelaufenen Zertifikats, um den gesamten Betrieb zum Stillstand zu bringen.

3. Microsofts Spotify-Funktion

Im Jahr 2021 überarbeitete Microsoft seine Uhr-App für Windows 11 und fügte eine Spotify-Integration hinzu, die Songs abspielt. Im Februar 2023 fiel die Funktion aus und war monatelang nicht nutzbar. Benutzer konnten ihre Spotify-Konten nicht mehr mit der Uhr-App verknüpfen, da der an die Spotify API gesendete oATH-Header aufgrund eines abgelaufenen Zertifikats nicht mehr gültig war.

Was wir daraus lernen: Dieser Vorfall zeigt, dass ein Zertifikatsausfall das Potenzial hat, einen neuen Service oder eine Integration schwerwiegend zu beeinträchtigen. In unserer Welt der digitalen Dienstleistungen wird oft vergessen, dass die Einführung eines neuen Dienstes mit einem gewissen Wartungsaufwand einhergeht, der die Verwaltung von Zertifikaten miteinschließt. Bei der Einführung neuer Angebote müssen Organisationen die gesamte Laufzeit im Blick haben und die erforderlichen Ressourcen organisieren, um Funktionen langfristig aufrechterhalten zu können.

4. GitHub-Repository

Im Januar 2023 erlangten Eindringlinge unbefugten Zugriff auf einige GitHub-Code-Repositories und stahlen Code-Signaturzertifikate für die Desktop- und Atom-Anwendungen von GitHub. Wären die gestohlenen Zertifikate entschlüsselt worden, hätten Angreifer schädliche Versionen der App erstellen und sie als offizielle Updates ausgeben können. Glücklicherweise waren die Code-Signaturzertifikate passwortgeschützt, sodass kein Schaden entstand. GitHub war es möglich die gestohlenen Zertifikate zu widerrufen und neue Versionen der Apps mit frischen Zertifikaten zu veröffentlichen.

Was wir daraus lernen: Nvidia erlitt 2022 einen ähnlichen Angriff, bei dem die Hackergruppe Lapsus$ Nvidias Code-Signaturzertifikate veröffentlichte, womit andere bösartige Akteure in der Lage waren sie zu verwenden, um Malware zu signieren. Die Krypto-Agilität von GitHub erwies sich als entscheidend, um eine solche Katastrophe zu vermeiden. Heutzutage sind Cyberangriffe nicht mehr eine Frage des „ob“, sondern des „wann“. Organisationen müssen Pläne erstellen, um Bedrohungen einzudämmen.

5. Cisco SD-WAN

Das Auslaufen von Zertifikaten auf Ciscos Viptela- und Meraki-SD-WAN-Hardware im Mai betraf über 20.000 Kunden. Die abgelaufenen Zertifikate sorgten für Ausfälle bei Cloud-, Datenspeicher-, E-Commerce-Tools und weiteren Diensten. Die Zertifikate und die Hardware wurden von Cisco übernommen, als das Unternehmen Viptela 2017 kaufte. Die Zertifikate befanden sich im vierten Jahr ihrer zehnjährigen Lebensdauer, aber es scheint, dass ihr Ablaufdatum nicht rechtzeitig erkannt wurde.

Was wir daraus lernen: Auch heute gibt es noch keine verlässliche Möglichkeit, bei der Fusion zweier Organisationen deren Systeme nahtlos zusammenzuführen. Es gibt extrem viele Variablen, Konfigurationen und Berechtigungen zu berücksichtigen. Besonders wichtig ist hierbei der Status von Zertifikatslebenszyklen. Es ist schwierig genug, ein unberücksichtigtes Zertifikat in der eigenen Umgebung zu finden. Es in einer fremden, neuen Umgebung zu finden, ist noch deutlich schwieriger.

Neues Jahr, neue Ausfälle

Es ist sowohl ein Trost als auch eine deutliche Warnung, dass Zertifikatsausfälle bei einigen der innovativsten Unternehmen der Welt auftreten. Auch in diesem Jahr können wir mit sehr hoher Wahrscheinlichkeit weitere große Ausfälle erwarten. In diesem Zusammenhang entstehende Betriebsausfälle sind eine Folge von mangelnder Transparenz und Kontrolle über die Zertifikate einer Organisation. Wenn Organisationen in die Lage versetzt werden, die Nachverfolgung von Zertifikaten automatisieren und an einem zentralisierten Verwaltungsort verfolgen zu können, wird das Bedrohungspotenzial durch Zertifikatsausfälle massiv reduziert und somit die Sicherheitslage insgesamt verbessert.

Über den Autor

Chris Hickman ist Chief Security Officer bei Keyfactor.

(ID:49908712)