Was ist eine Public-Key-Infrastruktur (PKI)?

Jahrelang spielte PKI im Bereich der Unternehmenssicherheit nur eine untergeordnete Rolle und galt als Spezialgebiet für Kryptografen und Zertifikatsadministratoren. Das hat sich geändert. Da Unternehmen zunehmend Zero-Trust-Architekturen Und da die Anzahl der Maschinenidentitäten mittlerweile die der menschlichen Identitäten übersteigt, hat sich die PKI von einem Hintergrunddienst zu einer strategischen Steuerungsebene entwickelt. In diesem Beitrag wird erläutert, was die PKI ist, wie sie funktioniert und welchen Platz sie in einer modernen Sicherheitsstrategie einnimmt.

Die Public-Key-Infrastruktur (PKI) ist das Rahmenwerk aus Hardware, Software, Richtlinien und Verfahren, das zur Erstellung, Verwaltung, Verteilung, Nutzung, Speicherung und Sperrung digitaler Zertifikate dient. Ein digitales Zertifikat verknüpft ein kryptografisches Schlüsselpaar mit einer verifizierten Identität, sodass jeder, der sich auf den öffentlichen Schlüssel verlässt, darauf vertrauen kann, wer der Inhaber des entsprechenden privaten Schlüssels ist.

Die zugrunde liegende Prämisse ist die asymmetrische Kryptografie. Anstelle eines gemeinsamen Geheimnisses verfügt jede Partei über einen öffentlichen Schlüssel, der frei weitergegeben werden kann, und einen privaten Schlüssel, der unter ihrer ausschließlichen Kontrolle bleibt. PKI macht dieses Modell in großem Maßstab praktikabel, da es eine vertrauenswürdige Möglichkeit bietet, die Frage zu beantworten, die sich jede vertrauende Partei stellen muss: Gehört dieser öffentliche Schlüssel wirklich demjenigen, dem er angeblich gehört?

Per Definition muss ein PKI-Framework den gesamten Lebenszyklus eines Zertifikats abdecken, nicht nur dessen Erstellung. Eine funktionierende PKI stellt Zertifikate aus, verteilt sie an die richtigen Empfänger, verfolgt sie und widerruft sie, wenn sie nicht mehr vertrauenswürdig sind.

Auf mechanischer Ebene basiert PKI auf zwei kryptografischen Operationen, die jedes asymmetrische Schlüsselpaar ausführen kann. Ein Schlüssel kann Daten verschlüsseln, die nur mit dem anderen Schlüssel wieder entschlüsselt werden können. Ein Schlüssel kann Daten so signieren, dass der andere Schlüssel die Signatur überprüfen kann. Je nach Anwendungsfall spielen der öffentliche und der private Schlüssel unterschiedliche Rollen, doch die mathematischen Grundlagen sind dieselben.

Stellen Sie sich einen Browser vor, der eine Verbindung zu einer Website herstellt. Zu Beginn der Verbindung legt der Server sein digitales Zertifikat vor. Das Zertifikat enthält den öffentlichen Schlüssel des Servers sowie eine Signatur einer Zertifizierungsstelle (CA), die die Identität des Servers bestätigt. Der Browser gleicht diese Signatur mit einer Liste vertrauenswürdiger Stamm-Zertifizierungsstellen ab, die ihm bereits bekannt sind. Ist die Signatur gültig und ist das Zertifikat weder abgelaufen noch widerrufen worden, vertraut der Browser dem öffentlichen Schlüssel und nutzt ihn, um eine verschlüsselte Verbindung herzustellen.

Diese Überprüfung hängt von der Vertrauenskette ab. Eine Stamm-Zertifizierungsstelle (Root CA) steht an der Spitze der Hierarchie und signiert ihr eigenes Zertifikat. Sie signiert außerdem die Zertifikate der Zwischen-Zertifizierungsstellen, die wiederum die Endentitätszertifikate signieren, die an Server, Geräte und Benutzer ausgestellt werden. Wenn eine vertrauende Partei ein Zertifikat validiert, durchläuft sie die Kette nach oben, bis sie eine Stamm-Zertifizierungsstelle erreicht, der sie bereits vertraut. Jedes Glied dieser Kette muss gültig sein, damit das Zertifikat akzeptiert wird.

Das Zertifikat selbst durchläuft einen festgelegten Lebenszyklus:

1. Erstellung eines Schlüsselpaars, bei der der Anfragende einen öffentlichen und einen privaten Schlüssel generiert.
2. Zertifikatssignierungsanforderung (CSR), bei der der Antragsteller den öffentlichen Schlüssel zusammen mit identifizierenden Informationen bündelt und bei einer Zertifizierungsstelle einreicht.
3. CA-Validierung, bei der die Zertifizierungsstelle (oder eine in ihrem Auftrag handelnde Registrierungsstelle) die Identität des Antragstellers überprüft.
4. Ausstellung, bei der die Zertifizierungsstelle das Zertifikat mit ihrem eigenen privaten Schlüssel signiert.
5. Verteilung: Das Zertifikat wird auf dem Server, dem Gerät oder dem Benutzerkonto installiert, das es nutzen soll.
6. Verwendung, bei der das Zertifikat die Identität nachweist und Verschlüsselungs- oder Signaturvorgänge ermöglicht.
7. Verlängerung vor Ablauf des Zertifikats.
8. Widerruf, falls das Zertifikat kompromittiert wurde oder nicht mehr benötigt wird.

Jeder dieser Schritte hat Auswirkungen auf die Sicherheit, und die meisten betrieblichen Herausforderungen im Zusammenhang mit PKI lassen sich auf einen dieser Schritte zurückführen.

Eine funktionierende PKI beruht auf mehreren ineinandergreifenden Komponenten. Jede davon spielt eine bestimmte Rolle bei der Ausstellung von Zertifikaten, der Überprüfung ihrer Gültigkeit und ihrer Verwaltung über den gesamten Lebenszyklus hinweg.

Zertifizierungsstelle (CA)

Die Zertifizierungsstelle ist die vertrauenswürdige dritte Partei, die digitale Zertifikate ausstellt. Eine Zertifizierungsstelle signiert jedes Zertifikat mit ihrem eigenen privaten Schlüssel, wodurch vertrauende Parteien die Echtheit des Zertifikats überprüfen können. Die meisten PKIs verwenden eine Hierarchie: Eine Offline-Stammzertifizierungsstelle signiert die Zertifikate von Zwischenzertifizierungsstellen, die wiederum die Zertifikate der Endentitäten signieren. Diese Struktur begrenzt die Offenlegung des Stammschlüssels und bietet Betreibern die Möglichkeit, das Vertrauen in einzelne Bereiche aufzuteilen.

Registrierungsstelle (RA)

Die Registrierungsstelle überprüft die Identität jeder Person, die ein Zertifikat beantragt. In manchen Implementierungen fungiert die Zertifizierungsstelle (CA) selbst als Registrierungsstelle (RA). In anderen Fällen, insbesondere im Unternehmensbereich, übernimmt eine separate Registrierungsstelle die Überprüfung, sodass sich die Zertifizierungsstelle auf kryptografische Vorgänge konzentrieren kann. In jedem Fall hängt die Sicherheit einer PKI davon ab, wie sorgfältig die Registrierungsstelle ihre Aufgabe erfüllt.

Digitale Zertifikate (X.509)

Der X.509-Standard definiert das Format der meisten heute verwendeten digitalen Zertifikate. Ein X.509-Zertifikat enthält den Distinguished Name des Subjekts, den öffentlichen Schlüssel des Subjekts, den Namen der ausstellenden Zertifizierungsstelle, das Ausstellungs- und Ablaufdatum des Zertifikats, eine Seriennummer, die zulässigen Verwendungszwecke sowie die Signatur der Zertifizierungsstelle. Diese Signatur macht aus einer Reihe von Identifikationsdaten eine überprüfbare Berechtigungsnachweis.

Zertifikatssperrliste (CRL) und OCSP

Zertifikate müssen manchmal vor Ablauf ihrer Gültigkeit ungültig gemacht werden, weil ein privater Schlüssel kompromittiert wurde, ein Mitarbeiter das Unternehmen verlassen hat oder das Zertifikat irrtümlich ausgestellt wurde. Eine CRL ist eine signierte Liste widerrufener Zertifikate, die eine Zertifizierungsstelle (CA) in regelmäßigen Abständen veröffentlicht. Das Online Certificate Status Protocol (OCSP) bietet eine Echtzeit-Alternative, mit der eine vertrauende Partei bei einer Zertifizierungsstelle abfragen kann, ob ein bestimmtes Zertifikat zum Zeitpunkt der Nutzung noch gültig ist.

Zertifikatsspeicher und -verwaltungssystem

Zertifikate müssen irgendwo gespeichert und von jemandem verwaltet werden. Ein Zertifikatsspeicher enthält ausgestellte Zertifikate, damit diese bei Bedarf abgerufen werden können. Ein Zertifikatsmanagementsystem übernimmt die operativen Aufgaben der Ausstellung, Verteilung, Erneuerung und Sperrung von Zertifikaten in großem Maßstab. In Organisationen, in denen Tausende oder Zehntausende von Zertifikaten im Einsatz sind, entscheidet diese Verwaltungsebene oft darüber, ob eine PKI funktioniert oder Ausfälle verursacht.

Archivierung und Wiederherstellung von Schlüsseln

Private Schlüssel sind Geheimnisse, aber auch geschäftskritische Vermögenswerte. Wenn ein zur Datenverschlüsselung verwendeter privater Schlüssel verloren geht, lassen sich die verschlüsselten Daten möglicherweise nicht mehr wiederherstellen. Schlüsselarchivierungssysteme speichern Kopien bestimmter privater Schlüssel sicher, sodass Daten bei Bedarf wiederhergestellt werden können, wobei ein Gleichgewicht zwischen dieser Wiederherstellbarkeit und dem Risiko einer Schlüsseloffenlegung gewahrt wird.

Digitale Zertifikate folgen zwar alle demselben Grundformat, werden jedoch für unterschiedliche Zwecke ausgestellt und haben unterschiedliche Auswirkungen auf das Vertrauensverhältnis. Zu verstehen, was die einzelnen Zertifikatstypen schützen, ist für jeden hilfreich, der darüber entscheidet, wie sich eine PKI in eine umfassendere Sicherheitsstrategie einfügen soll.

SSL- (Secure Sockets Layer)/TLS- (Transport Layer Security) Zertifikate

Sicherung des Datenverkehrs zwischen Clients und Servern im Internet. Dies ist die bekannteste Anwendung von PKI, die auf praktisch jeder HTTPS-Website, jedem API-Endpunkt und jedem verschlüsselten Netzwerkdienst zum Einsatz kommt.

Zertifikate zur Codesignierung

Ermöglichen Sie Softwareherstellern, Anwendungen, Treiber und Skripte zu signieren. Wenn ein Benutzer oder ein Betriebssystem signierten Code ausführt, kann die Quelle überprüft und sichergestellt werden, dass der Code seit seiner Signierung nicht manipuliert wurde.

E-Mail und S/MIME-Zertifikate

Ermöglichen Sie es Benutzern, E-Mails zu signieren, damit Empfänger den Absender überprüfen können, und E-Mails zu verschlüsseln, damit nur die vorgesehenen Empfänger sie lesen können. Dies ist in regulierten Branchen und im öffentlichen Sektor üblich.

Zertifikate zur Client-Authentifizierung

Identifizierung von Benutzern und Geräten gegenüber den Systemen, auf die sie zugreifen. Smartcards, Common Access Cards (CAC) und Personal Identity Verification (PIV)-Karten, die in Bundesbehörden zum Einsatz kommen, basieren auf dieser Kategorie. Auch Hardware-Sicherheitsschlüssel können diese nutzen, wie beispielsweise die RSA iShield Key 2-Serie.

Zertifikate für die Unterzeichnung von Dokumenten

Fügen Sie PDF-Dateien und anderen elektronischen Dokumenten kryptografische Signaturen hinzu, um unterzeichneten Verträgen, Einreichungen und Aufzeichnungen Rechts- und Beweiskraft zu verleihen.

Zertifikate zur Identifizierung von Geräten und Maschinen

Vergabe überprüfbarer Identitäten an IoT-Geräte, Server, Container und Workloads. Da die Anzahl der Maschinenidentitäten in manchen Umgebungen in die Millionen geht, handelt es sich hierbei um einen schnell wachsenden Anwendungsbereich der PKI.

Bei der Authentifizierung über eine Public-Key-Infrastruktur (PKI) werden ein digitales Zertifikat und der dazugehörige private Schlüssel verwendet, um die Identität nachzuweisen. Anstatt ein Passwort einzugeben oder einen Einmalcode einzugeben, legt der Benutzer oder das Gerät ein Zertifikat vor und weist durch eine Antwort auf eine Abfrage des vertrauenden Systems kryptografisch nach, dass er bzw. es im Besitz des passenden privaten Schlüssels ist.

Im Vergleich zu Passwörtern und Einmalcodes weist die zertifikatsbasierte Authentifizierung zwei wesentliche Eigenschaften auf. Erstens ist sie phishingresistent. Ein privater Schlüssel kann nicht auf einer gefälschten Anmeldeseite eingegeben oder an einen Angreifer gesendet werden, der eine Nachricht abfängt. Er verbleibt auf dem Endgerät oder in einem Hardware-Token und führt kryptografische Operationen stets nur lokal durch. Zweitens verringert sie den Aufwand für den Nutzer. Sobald ein Zertifikat bereitgestellt ist, kann der Authentifizierungsablauf transparent ablaufen und erfordert keine weiteren Eingaben außer dem Berühren einer Smartcard oder dem Entsperren eines Geräts.

Die zertifikatsbasierte Authentifizierung ist eine Grundlage für moderne passwortlose Authentifizierung und phishing-resistent Multi-Faktor-Authentifizierung, und es ist einer der Bausteine für die Identitätsfeststellung, auf die sich Zero-Trust-Architekturen stützen. Anstatt einem Netzwerkstandort zu vertrauen, verlangt Zero Trust bei jeder Zugriffsentscheidung einen Identitätsnachweis, und die PKI liefert diesen Nachweis in einer Form, die dauerhaft, überprüfbar und schwer zu fälschen ist.

PKI kommt an vielen Stellen zum Einsatz, doch die meisten Implementierungen lassen sich in einige wenige übergeordnete Kategorien einordnen. Jede Kategorie löst eine bestimmte Art von Vertrauensproblem.

Sichere Kommunikation

TLS ist das bekannteste Beispiel hierfür und schützt den Webdatenverkehr, API-Aufrufe und E-Mails während der Übertragung. Auch VPNs und Site-to-Site-Tunnel stützen sich auf PKI, um die Endpunkte eines verschlüsselten Kanals zu authentifizieren. In jedem dieser Fälle sorgt PKI für die Identitätssicherung, die der Verschlüsselung erst ihre Bedeutung verleiht.

Nachweis von Authentizität und Integrität

Mithilfe der Codesignierung können Softwarehersteller nachweisen, dass die Binärdateien, die ein Benutzer ausführen möchte, tatsächlich aus der erwarteten Quelle stammen. Bei der Dokumentensignierung gilt dasselbe für PDF-Dateien und andere Dateien. Mechanismen zur Firmware- und Softwareaktualisierung nutzen PKI, um zu verhindern, dass Angreifer bösartige Updates auf ganze Geräteflotten übertragen.

Authentifizierung von Benutzern und Geräten

Mithilfe von Smartcards, CAC-/PIV-Karten und zertifikatsbasierten Anmeldungen können Unternehmen überprüfen, wer sich am anderen Ende einer Sitzung befindet – und zwar auf einem Gerät, das den Richtlinien entspricht. Hier überschneidet sich die PKI am unmittelbarsten mit dem Identitäts- und Zugriffsmanagement und stellt eine leistungsstarke Option für Umgebungen mit hohen Sicherheitsanforderungen sowie für die Einführung von Zero-Trust-Konzepten dar.

Identität von Maschine und Arbeitslast

Moderne Architekturen sind darauf angewiesen, dass sich Dienste, Container und IoT-Geräte gegenseitig authentifizieren können. PKI ist der Mechanismus, der jeder Workload eine überprüfbare Identität zuweist, sodass Zugriffsentscheidungen auf der Grundlage dessen getroffen werden können, was eine Workload ist, und nicht nur danach, wo sie sich im Netzwerk befindet.

PKI hat sich aus gutem Grund bewährt. Nur wenige andere Ansätze zur Vertrauensbildung funktionieren in gleichem Umfang oder bieten dieselben kryptografischen Garantien.

• Phishing-sichere Authentifizierung: Private Schlüssel verlassen den Endpunkt niemals und können von einem Angreifer, der eine Sitzung abfängt, nicht wiederverwendet werden. Dadurch ist die zertifikatsbasierte Authentifizierung widerstandsfähig gegen Taktiken zum Diebstahl von Anmeldedaten, die Passwörter und die Push-basierte MFA untergraben. RSA hat an anderer Stelle darüber geschrieben, dass Wie Angreifer die MFA umgehen und warum Phishing-resistente Ansätze wichtig sind.
• Vertraulichkeit und Integrität in nicht vertrauenswürdigen Netzwerken: Daten, die mit dem öffentlichen Schlüssel eines Empfängers verschlüsselt wurden, können nur vom Inhaber des dazugehörigen privaten Schlüssels gelesen werden, und signierte Daten lassen sich ohne vorherige Vereinbarung eines gemeinsamen Geheimnisses überprüfen. Diese Kombination ermöglicht den Handel, das Bankwesen und die sichere Kommunikation über das öffentliche Internet.
• Nichtabstreitbarkeit bei signierten Transaktionen:Eine digitale Signatur, die durch ein vertrauenswürdiges Zertifikat abgesichert ist, liefert einen stichhaltigen Nachweis dafür, dass eine bestimmte Partei ein bestimmtes Dokument oder eine bestimmte Transaktion genehmigt hat, was in rechtlichen, finanziellen und Compliance-Zusammenhängen von Bedeutung ist.
• Skalierbares Vertrauen:Eine einzige Zertifizierungsstelle kann die Identität von Millionen von Zertifikatsinhabern bestätigen, ohne dass jede vertrauende Partei eine direkte Vertrauensbeziehung zu jedem einzelnen von ihnen aufbauen muss.
• Eine Grundlage für Zero Trust:Jeder Akteur in einer Zero-Trust-Architektur – ob Mensch oder Maschine – benötigt eine überprüfbare Identität. PKI ist eine dauerhafte Methode zur Ausstellung und Überprüfung dieser Identitäten und einer der Bausteine einer „Zero Trust“-Sicherheitsansatz.
• Angleichung der regulatorischen Rahmenbedingungen und der Prüfungsstandards:FIPS, Common Criteria, eIDAS sowie branchenspezifische Vorgaben in den Bereichen öffentliche Verwaltung, Finanzdienstleistungen und Gesundheitswesen erkennen PKI-basierte Mechanismen als wirksame Kontrollmaßnahmen für Identität, Integrität und Vertraulichkeit an.

Bei aller Stärke birgt die PKI doch echte operative Risiken. Die meisten PKI-bezogenen Vorfälle sind keine Fehler der Kryptografie selbst, sondern Fehler der damit verbundenen Systeme und Prozesse.

• Ausfälle von Zertifikaten: Abgelaufene Zertifikate führen zum Ausfall von Diensten. Wenn ein Zertifikat auf einem Load Balancer, einer internen API oder einer öffentlich zugänglichen Website unbemerkt abläuft, funktionieren die davon abhängigen Systeme nicht mehr. Aufsehenerregende Ausfälle, die auf abgelaufene Zertifikate zurückzuführen sind, treten immer wieder auf.
• Kompromittierung des privaten Schlüssels: Wenn ein privater Schlüssel offengelegt wird, sind alle damit signierten Zertifikate gefährdet, und jede Sitzung oder Signatur, die davon abhängt, wird fragwürdig. Die Behebung einer Kompromittierung des privaten Schlüssels bedeutet in der Regel, dass Zertifikate in großem Umfang widerrufen und neu ausgestellt werden müssen.
• CA-Kompromiss:Ein Angreifer, der sich Zugang zu einer Zertifizierungsstelle (CA) verschafft, kann gefälschte Zertifikate ausstellen, denen Browser, Betriebssysteme und andere vertrauende Parteien vertrauen. In der Vergangenheit haben Kompromittierungen von Zertifizierungsstellen zu weitreichenden Misstrauensmaßnahmen und zum erzwungenen Austausch großer Mengen von Zertifikaten geführt.
• Widerrufslücken:Nicht jeder Client überprüft CRLs, und OCSP-Antworten können unter bestimmten Netzwerkbedingungen zu einem „Soft-Fail“ führen, den Angreifer ausnutzen können. Selbst wenn die Sperrung wie vorgesehen funktioniert, gibt es oft ein Zeitfenster, in dem ein gesperrtes Zertifikat in der Praxis weiterhin funktioniert.
• Zertifikatswucher:Moderne Unternehmen verwalten Zehntausende von Zertifikaten in Cloud-Diensten, lokalen Systemen, Endgeräten und Maschinenidentitäten. Ohne eine zentrale Bestandsaufnahme verliert man leicht den Überblick darüber, welche Zertifikate ausgestellt wurden, wo sie installiert sind und wann sie ablaufen.
• Post-Quanten-Bedrohung:Die RSA- und Elliptische-Kurven-Algorithmen, auf denen die meisten heutigen PKI-Systeme basieren, gelten als sicher gegenüber klassischen Computern, aber nicht gegen ausreichend große Quantencomputer. Das NIST hat mit der Standardisierung von postquantenkryptografischen Algorithmen begonnen, und Organisationen, die auf PKI angewiesen sind, müssen eine mehrjährige Umstellung einplanen.

Eine gut geführte PKI ist nicht nur eine Ansammlung kryptografischer Komponenten. Sie ist eine betriebliche Disziplin. Die folgenden Vorgehensweisen verringern das Risiko der oben beschriebenen Ausfälle.

Führen Sie ein vollständiges Zertifikatsverzeichnis

Verfolgen Sie jedes Zertifikat über Cloud-Dienste, lokale Systeme, Endgeräte und Maschinenidentitäten hinweg. Manuelle Tabellenkalkulationen können in modernen Umgebungen kaum noch Schritt halten, und ein Tool zur Erfassung und Bestandsaufnahme ist für jedes größere Unternehmen eine lohnende Investition.

Automatisierung der Verwaltung des Zertifikatslebenszyklus

Durch die automatisierte Ausstellung, Erneuerung und Installation werden menschliche Fehler vermieden, die die meisten Zertifikatsausfälle verursachen. Die Automatisierung macht zudem Zertifikate mit kurzer Gültigkeitsdauer praktikabel, was das Risiko mindert, wenn ein Schlüssel kompromittiert wird.

Starken Schlüsselschutz durchsetzen

Speichern Sie private CA-Schlüssel in Hardware-Sicherheitsmodulen (HSMs) und schützen Sie die Schlüssel der Endnutzer durch eine sichere Speicherung auf dem Endgerät oder in einem Hardware-Token. Die Sicherheit einer PKI hängt letztendlich davon ab, wie gut ihre privaten Schlüssel geschützt sind.

Verwenden Sie nach Möglichkeit Zertifikate mit kurzer Gültigkeitsdauer

Kürzere Gültigkeitsdauern von Zertifikaten verringern den Schadensumfang eines kompromittierten Schlüssels und machen die Sperrung weniger betriebskritisch. Automatisierung ist hier eine Grundvoraussetzung, da die manuelle Erneuerung kurzlebiger Zertifikate in großem Maßstab nicht praktikabel ist.

Eine zuverlässige Überprüfung auf widerrufene Zertifikate implementieren

OCSP-Stapling, kurze CRL-Aktualisierungsintervalle und gegebenenfalls Richtlinien für „Hard-Fail“-Situationen tragen dazu bei, die Lücken zu schließen, durch die widerrufene Zertifikate in der Praxis weiterhin funktionsfähig bleiben. Ein Widerruf ist nur dann wirksam, wenn die vertrauenden Parteien die Zertifikate tatsächlich überprüfen.

Planung für Krypto-Agilität und die Umstellung auf postquantensichere Verschlüsselung

Erstellen Sie eine Bestandsaufnahme der in der gesamten Umgebung verwendeten kryptografischen Algorithmen, ermitteln Sie, welche Systeme davon abhängig sind, und beginnen Sie mit der Bewertung postquanten sicherer Alternativen, sobald die NIST-Standards ausgereift sind. Die Umstellung wird Jahre dauern, und die Organisationen, die frühzeitig damit beginnen, werden die wenigsten unerwünschten Überraschungen erleben.

Segment-CA-Hierarchien

Halten Sie Root-Zertifizierungsstellen offline, unterziehen Sie Zwischenzertifizierungsstellen einer strengen Kontrolle und wenden Sie für jede Ebene und jeden Anwendungsfall geeignete Zertifikatsrichtlinien an. Eine gut segmentierte Hierarchie begrenzt die Auswirkungen eines einzelnen Sicherheitsvorfalls.

Zero Trust hat die Grundannahmen, auf denen die Arbeit von Sicherheitsteams basiert, verändert. Der Standort im Netzwerk ist nicht mehr gleichbedeutend mit Vertrauen, und jede Zugriffsanfrage muss individuell geprüft werden. Dieses Modell funktioniert nur, wenn jeder Akteur in der Umgebung über eine Identität verfügt, die mit hoher Sicherheit verifiziert werden kann – und genau hier kommt der PKI ins Spiel.

Für Benutzer bietet PKI eine zertifikatsbasierte Authentifizierung, die gegen Phishing geschützt ist und geräte- sowie anwendungsübergreifend funktioniert. Für Geräte bietet sie eine überprüfbare Identität, die bei jeder Zugriffsentscheidung kontrolliert werden kann. Für Workloads und Dienste ermöglicht sie Maschinenidentität in dem Umfang, den moderne Architekturen erfordern. Identitäts- und Zugriffsmanagement (IAM),Identitätsmanagement und -verwaltung(IGA) und das Maschinenidentitätsmanagement bauen alle auf dem Vertrauen auf, das die PKI bietet. Ohne sie würde „Zero Trust“ zu einer Reihe von Richtlinien werden, für deren Durchsetzung es keine dauerhafte Grundlage gäbe.

Die Public-Key-Infrastruktur (PKI) ist die Vertrauensschicht, die still im Hintergrund den Großteil dessen ermöglicht, was Sicherheitsteams als selbstverständlich ansehen – vom sicheren Webverkehr über signierte Software bis hin zur zertifikatsbasierten Benutzerauthentifizierung. Da Unternehmen zunehmend auf Zero Trust umsteigen und maschinelle sowie andere nicht-menschliche Identitäten weiter zunehmen, entwickelt sich die PKI zunehmend zu einer strategischen Steuerungsebene und ist nicht mehr nur ein Hintergrunddienst. Ein erfolgreicher Betrieb erfordert eine operative Disziplin, die Bestandsaufnahme, Automatisierung, Schlüsselschutz und vorausschauende Planung für die Post-Quanten-Kryptografie umfasst.

RSA blickt in diesem Bereich auf eine lange Tradition zurück. Der RSA-Algorithmus selbst ist eines der grundlegenden Kryptosysteme mit offenem Schlüssel, die die moderne PKI ermöglicht haben, und RSA unterstützt Unternehmen weiterhin dabei, diese Kryptografie durch zertifikatsbasierte Authentifizierung, Hardware-Authentifikatoren und Identitätslösungen für Umgebungen mit hohen Sicherheitsanforderungen in die Praxis umzusetzen. Erfahren Sie, wie RSA die zertifikatsbasierte und phishingresistente Authentifizierung unterstützt mit RSA ID Plus.