Die lukrative Waffe Kryptographie

Auf dem Schwarzmarkt werden gestohlene Zertifikate bereits zu Preisen von bis zu 1.000 US-Dollar gehandelt. Da sich einzelne Zertifikate aber auch mehrmals verkaufen lassen, ist diese Geschäft für Cyber-Kriminelle äußerst interessant. Bocek ist ein Fall bekannt, in dem ein Hacker an einem einzigen Zertifikat 10.000 US-Dollar eingenommen hatte. Der Chip-Riese Intel sieht den Handel mit Zertifikaten gar als den „next big marketplace“ für Hacker an.
 
Mit dem Einsatz von gestohlenen Zertifikaten besitzen Cyber-Kriminelle einen technologisch bedingten Vorsprung, den es für die IT-Sicherheit gilt einzuholen. Dies sollte allerdings nicht über Backdoors realisiert werden, da hierdurch die Absicherung der Daten nicht mehr gewährleistet sei. „Wir wollen nicht, dass eine Regierung oder irgendjemand außerhalb des Unternehmens Einblick in die übertragenen Daten hat,“ erläutert der Sicherheitsexperte.
 
Dahingegen erlaubt eine gezielte Kontrolle der verwendeten Schlüssel und Zertifikate, unbekannte und möglicherweise schädliche Zugriffe zu vereiteln. Da diese Komponenten das Fundament moderner Sicherheitstechnologie darstellen, sollte auf ihnen auch das Hauptaugenmerk der IT-Security liegen. Das Problem hierbei liegt an der schier unüberschaulichen Masse an Schlüsseln und Zertifikaten, die in Unternehmen im Einsatz sind.
 
So sorgen Initiativen wie Encryption Everywhere oder agile Entwicklungsmethoden und DevOps-Teams für eine stetige Zunahme an verschlüsseltem Traffic. Laut einer Ponemon-Studie (PDF) nutzen Unternehmen im Durchschnitt rund 24.000 Schlüssel und Zertifikate. Angesichts dieser Masse müssen sich mehr als die Hälfte aller Security-Professionals eingestehen, nicht mehr den Ursprung von all diesen Schlüsseln und Zertifikaten zu kennen. Next-Gen-Firewalls, Sandbox- und Authentifizierungs-Systemen fehlen damit aber die Mittel, um den verschlüsselten Traffic auf Gefahren zu scannen.

„Eine sichere Nutzung von Verschlüsselung erfordert demnach von Unternehmen, dass wirklich alle verwendeten Schlüssel und Zertifikate bekannt sind. Nur dann ist es Sicherheitstechnologien möglich, den verschleierten Traffic zu scannen und auf Angriffe zu reagieren“, erklärt Bocek. Verschlüsselung per se stellt also nicht das eigentliche Problem dar, sondern vielmehr hapert es an der korrekten Ausführung derselben.
 
Im Umkehrschluss wird künftig kein Weg mehr an einem peniblen Verschlüsselungs-Management vorbeiführen, um von den Vorteilen der Kryptographie zu profitieren und gleichfalls die Unternehmenssicherheit nicht zu gefährden. Die IT-Welt muss sich von der Vorstellung lösen, Verschlüsselung als Allheilmittel zu sehen, denn sie kann auch als mächtige Waffe missbraucht werden.