Crypto Agility rückt die IT-Architektur ins Rampenlicht

Die Laubhaufen AG stellt sich der Herausforderung der Crypto Agility, um ihre IT-Architektur fit für den «Q-Day» zu machen. Erfahren Sie, wie CEO Frau Stachelig und CISO Herr Mehlwurm planen, kryptografische Assets zu ersetzen und Prozesse zu automatisieren, damit das Unternehmen für die neue Ära der IT-Sicherheit bestens gerüstet ist. Der nachfolgende Artikel – humorvoll mit fiktiven Protagonisten angereichert – illustriert Theorien wie auch Konzepte und konkrete Erfahrungen aus der Praxis.

Die Igel der Laubhaufen AG sind seit Jahren erfolgreich unterwegs, vor allem dank ihrer konsequenten Umsetzung der Strategie «buy before make». Dies schliesst auch die Verantwortung des IT-Architekturteams ein, das stets darauf bedacht ist, dass die IT-Umgebung stabil bleibt und die Systeme reibungslos funktionieren.

Nun hat sich Frau Stachelig (CEO) über die Ostertage spannende Artikel aus der IT-Security-Welt zu Gemüte geführt. Während sie das rechte Ohr des dritten Schoko-Osterhasen geniesst, blieb sie bei einem Beitrag zu «Crypto Agility» hängen. Dieser handelte vom kommenden «Q-Day». Nachfolgend eine Zusammenfassung dessen, was sie gelesen hat:

Crypto Agility Definition

Krypto-Agilität beschreibt die Fähigkeit, schnell und flexibel auf sich ändernde kryptografische Anforderungen zu reagieren. Sie konzentriert sich auf die Sichtbarkeit und Vorgänge bezüglich der Krypto-Assets einer Organisation.

Krypto-Agilität erfordert Transparenz über den Einsatz der Kryptografie in einer Organisation (z.B. Protokolle, Bibliotheken, kryptografischen Algorithmen und Zertifikate, etc.) und die Fähigkeit, Probleme zeitnah erkennen und beheben zu können. Eine Organisation, die Krypto-Agilität umgesetzt hat, ist in der Lage, veraltete Krypto-Assets zu ersetzen, ohne die bestehende Systeminfrastruktur erheblich zu beeinträchtigen. Wir haben in einem separaten Blogartikel bereits tiefergehend darüber berichtet.

Q-Day

Der «Q-Day» ist der Tag, an dem herkömmliche kryptographische Algorithmen durch einen leistungsfähigen Quantenrechner geknackt werden können.

Spätestens zu diesem Zeitpunkt müssen die angreifbaren kryptografischen Algorithmen durch Quanten-Kryptografie-resistente Algorithmen substituiert sein, weil sonst die Bad Guys die Rechenleistung von Quanten-Computern für ihre Zwecke «nutzen». Wann der Q-Day sein wird, stand nicht in besagtem Artikel. Das Thema hat die CEO jedoch angestachelt...

Die Laubhaufen AG wird aktiv

Sie ahnen es: Am nächsten IT-Stand-Up-Meeting der Führungsigel wollte Frau Stachelig (CEO) wissen, wie die Laubhaufen AG bezüglich Crypto Agility aufgestellt ist – das heisst, wie die Krypto-Assets bei der Laubhaufen AG substituiert werden könnten.

Herr Mehlwurm (CISO der Laubhaufen AG) wurde hellhörig. Mit Schaudern erinnerte er sich an die ungeplanten Wochenend-Aktionen, um eine aktiv ausgenutzte Vulnerability schnell zu patchen und die Kunden der Laubhaufen AG über den Fortschritt der Patching-Arbeiten zu informieren. Das war jedes Mal sehr unerfreulich.

Er ging jeweils wie folgt vor:

Tabelle 1 Vorgehensweise «Patchen Vulnerability»

Jede*r CISO kennt diese Herausforderungen. Es werden Listen erstellt, die bei der nächsten «Hot Mission» als Grundlage dienen. Weil die Informationen nicht nachgeführt werden, verlieren diese rasch an Aktualität und Nutzen. Und die Ad-hoc-Übungen beginnen bei der nächsten Vulnerability von Neuem…

Key Management Prozesse

Dem CISO drückt auch in einem anderen Bereich der Schuh: beim Key Management. Zu den Standardprozessen für das Key Management gehören das Erzeugen, Speichern, Erneuern und Ausserkraftsetzen von Schlüsseln. Diese Vorgänge sind nicht nur aus Sicherheitsgründen kritisch. Wenn sie nicht korrekt ausgeführt werden, verhindern unpassende Schlüssel den Betrieb von Anwendungen und führen im schlimmsten Fall zu Datenverlust.

Angelehnt an das NIST-Key-Management-Dokument hatte Herr Mehlwurm eine Zeichnung für die interne Key-Management-Richtlinie der Laubhaufen AG erstellt:

Abbildung 1: Internes Key Management der Laubhaufen AG

Die manuellen Prozesse kosten dem CISO und der IT viel Zeit. Ganz abgesehen davon, dass keine zuverlässigen Informationen über die Schlüssel, kryptografischen Algorithmen und die Anwendungen vorliegen.

Die Architektin tritt auf den Plan

Frau Stoppel, die IT-Architektin der Laubhaufen AG, hat am Führungsmeeting ihren Auftritt. Sie nimmt Bezug auf die Erfahrungen des CISO. Dabei erklärt sie: Das Nachführen von Listen genügt nicht. Für eine nachhaltige Lösung muss das Vorgehen standardisiert und das Arbeitsgebiet Kryptografie analysiert werden.

Frau Stoppel erwähnt folgende Punkte.

Tabelle 2 Analyseschritte

Der erste Schritt ist demnach, Wissen zu gewinnen, wie die IT der Laubhaufen AG bezüglich Krypto-Assets aufgestellt ist. Die Stichworte heissen «Detektion» und «Inventarisierung». Dazu hat Frau Stoppel mehr zu sagen, als man denken würde…

Detektion und Inventarisierung

Das Ziel von Detektion ist, alle Krypto-Assets zu finden. Anschliessend werden die Informationen im Krypto-Inventar nachgeführt. Das Krypto-Inventar kann auf einer herkömmlichen Inventarisierungs-Lösung aufbauen. Voraussetzung ist, dass deren Datenmodell erweiterbar ist.

Bei der Laubhaufen AG sind folgende Krypto-Assets von Interesse:

• Kryptografische Geheimnisse
• Devices mit einer Kryptografie-Funktion
• Speicherort von Geheimnissen
• Implementierung von kryptografischen Algorithmen, Kryptografie-Bibliotheken
• Protokolle für Kryptografie
• Verwendete kryptografischen Algorithmen

Die genannten Krypto-Assets werden in der Folge näher betrachtet.

Wie leicht detektierbar sind kryptografische Geheimnisse

Kryptografische Geheimnisse sind mehr als Keys, wie die nachstehende Aufstellung zeigt. Einige Geheimnisse sind «flüchtig» und somit nicht oder nur schwer detektierbar.

Tabelle 3 Kryptografische Geheimnisse

Auf die Frage, was für Informationen bezüglich den Keys relevant sein könnten, zeichnet Frau Stoppel eine Liste auf das Whiteboard im Sitzungszimmer:

• Kryptografischer Algorithmus
• Länge von Keys
• Erstellungsdatum
• Expiration-Datum
• Versionen-Nr. (z. B. bei rotierten Keys)
• Schlüsselzustand (nicht aktiv, aktiv, suspendiert, kompromittiert, expired)

Kryptografische Devices

Es hilft, zu wissen, wonach gesucht wird. Es gibt eine ganze Reihe von kryptografischen Devices, die zu unserem Krypto-Ökosystem gehören:

Tabelle 4 Kryptografische Devices

Speicherort von Geheimnissen

Die Art und Weise, wie Geheimnisse gespeichert werden, hat einen wesentlichen Einfluss auf die Sicherheit der verwendeten Kryptografie. Darum muss auch der Speicherort im Krypto-Inventar festgehalten werden.

Tabelle 5 Speicherort von Geheimnissen

Implementierung von kryptografischen Algorithmen

Kryptografische Algorithmen können von Entwicklerinnen auf unterschiedliche Art und Weise implementiert werden.

Tabelle 6 Implementierungsorte kryptografischer Algorithmen

Protokolle für Kryptografie

Es gibt kryptographische Protokolle für verschiedene Bedürfnisse. Protokolle sind durch die Analyse des Netzwerkverkehr detektierbar. Dadurch lässt sich bereits ein guter Überblick über die Protokolle gewinnen. Hier einige Vertreter:

Tabelle 7 Protokolle im Bereich Kryptografie

Datenerhebung

Frau Stachelig, die CEO, findet das alles schön und gut. Nur kann sie sich nicht vorstellen, wie diese Informationen bei der Laubhaufen AG automatisiert gewonnen werden könnten.

Die Architektin erklärt, dass es zwei Möglichkeiten für die Informationssammlung gibt: Scanning und Agenten. Beides hat Vor- und Nachteile, die sie hier zusammenfasst:

Tabelle 8 Scanning vs. Agenten

Fünf Gründe für den Krypto-Agilitäts-Ansatz

Es ist nun klarer, dass es einiges an Informationen zu den Krypto-Assets gibt. Bleibt abschliessend die Frage zu klären: Wozu soll das alles gut sein?

Praktischer Nutzen I: Risikobewertung

Die gewonnenen Informationen lassen sich für die Risikobestimmung nutzen. So können neue Vulnerabilities aufgrund der zugeordneten Verletzlichkeit priorisiert behoben werden.

Frau Stoppel zeigt eine (sehr) pragmatische Formel zur Risikobestimmung, die auf den gewonnenen Informationen basiert. Die Einstufung erfolgt anhand einer Skala 1-4 für die Werte tief, mittel, hoch und sehr hoch.

Tabelle 9 Einflussfaktoren Risikobewertung

Zur Illustration ein paar Beispiele. Die Werte wurden gemäss dem oben genannten Schema quantifiziert.

Tabelle 10 Beispiele Risikobewertung

Praktischer Nutzen II: Abfragen und Compliance

Aus dem Krypto-Inventar können Abfragen Auskunft geben über:

•    Veraltete oder schwache kryptografische Algorithmen
•    Veraltete Libraries
•    Rotationsbedarf von Schlüsseln
•    Speicherorte von Geheimnissen

Damit können Compliance-Fragen beantwortet und Reports erzeugt werden. Zudem kann eine Roadmap für den Ersatz von kryptografischen Algorithmen mit den zu erwartenden Aufwänden definiert werden.

Praktischer Nutzen III: Key Management

Informationen über kryptografische Geheimnisse erleichtern das Key Management, indem relevante Informationen, z.B. zu den verwendeten Keys, vorliegen.

Praktischer Nutzen IV: Patching

Die Informationen im Krypto-Inventar sind eine gute Grundlage für das Patching. Die Kryptografie-Attribute der relevanten Komponenten sind darin gespeichert. Abfragen wie «Zeige alle Systeme auf denen MD5 als Hash-Algorithmus verwendet wird», ermöglichen die Migration auf einen aktuellen Algorithmus.

Erinnern Sie sich noch, wie Herr Mehlwurm seine Liste für die «Hot Mission» durchging? Er sinniert: Wenn die Laubhaufen AG ein Krypto-Inventar hätte, sähen die Arbeitsschritte wie folgt aus:

Tabelle 11 Vorgehensschritte mit Krypto-Inventar

Praktischer Nutzen V: Crypto Bill of Material

Die Laubhaufen AG als Herstellerin von mobilen Laubhaufen und Igelhäusern muss die EU-Gesetzgebung für Exporte in den EU-Raum befolgen. Die Laubhaufen-Produkte übermitteln Telemetriedaten wie Standort, Temperatur und Betriebsstunden an die Laubhaufen AG. Herr Mehlwurm zitiert aus dem Verordnungsvorschlag des Europäischen Parlaments und des Rates betreffend Cybersicherheitsanforderungen:

Artikel 2, Anwendungsbereich (1): 
«Diese Verordnung gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt».

Er fährt fort: Das Crypto Bill of Material CBOM ist eine Erweiterung des Software-Bill-of-Materials-Konzepts (SBOM). Darin werden Software-Stücklisten, die eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts mit digitalen Elementen enthalten sind, geführt.

Zum Schluss erklärt Herr Mehlwurm den Bezug zur Cyber-Security, der aus den Erwägungsgründen der Verordnung ersichtlich wird: «Zur Erleichterung der Schwachstellenanalyse sollten die Hersteller feststellen und dokumentieren, welche Komponenten in den Produkten mit digitalen Elementen enthalten sind, und dazu gegebenenfalls eine Software-Stückliste aufstellen. Eine Software-Stückliste kann denjenigen, die Software herstellen, kaufen und betreiben, Informationen vermitteln, die ihr Verständnis der Lieferkette verbessern. Was für sie wiederum zahlreiche Vorteile mit sich bringt und vor allem Herstellern und Nutzern hilft, bekannte neu auftretende Schwachstellen und Risiken zu verfolgen. Für die Hersteller ist es besonders wichtig, sich zu vergewissern, dass ihre Produkte keine anfälligen Komponenten enthalten, die von Dritten entwickelt wurden.»

Crypto Agility als Chance

Die Führungsigel halten Crypto Agility für einen guten Ansatz. Nicht immer haben Herr Mehlwurm (CISO) und Frau Stoppel das Blatt im selben Laubhaufen. In diesem Falle sieht der CISO die Chance, sich in Zukunft die Arbeit erleichtern und stressige Abklärungen vermeiden zu können. Nur die Schritte beim «Beheben der Vulnerability» und «Testen und Deployen» hätten alle gerne vereinfacht. Sie nehmen sich vor, Massnahmen dazu als Pendenz im Auge zu behalten. Ausserdem sollte der Key-Management-Prozess stärker automatisiert werden. Denn noch verwendet die CISO-Truppe der Laubhaufen AG zu viel Zeit mit dem Ersatz von Schlüsseln und Zertifikaten.

Für die Führungsigel ist das kein Grund zur Sorge: Sie haben zu diesem Thema bereits einige Optimierungsideen auf Lager.

In einem weiteren Schritt gehen die Igel das Thema Crypto Agility «Ready»-Architektur und -Automatisierung an. Wie die Igel der Laubhaufen AG diese Herausforderung angehen, erfahren Sie demnächst im zweiten Teil dieser Blogserie. Melden Sie sich für die Blog-Updates an, damit Sie umgehend informiert sind, sobald der zweite Teil aufgeschaltet ist.

Interessiert, Ihre IT-Infrastruktur kryptografisch agil zu gestalten und auf das nächste Sicherheitslevel zu heben? Wir stehen Ihnen gerne zur Seite, um die vielfältigen Herausforderungen der Crypto Agility zu bewältigen.

Unser Ansatz umfasst eine gründliche Analyse Ihrer bestehenden Architektur, wobei wir uns besonders auf die Crypto Agility Readiness konzentrieren. Mit Ihnen zusammen entwickeln wir ein detailliertes Stärken-Schwächen-Profil. Basierend auf der kryptografischen Bestandesaufnahme identifizieren wir Entwicklungs- und Optimierungsmöglichkeiten, sodass Sie die Transition in Richtung Crypto Agility Schritt um Schritt vollziehen. Letztendlich ist unser Ziel, Ihre IT-Architektur sicher und gestärkt in die Cyber-Landschaft zu integrieren.