Das neue nCipher Security: bewährte Technologie, neue innovative Marke

Das neue nCipher Security: bewährte Technologie, neue innovative Marke

Cindy Provin | SVP Entrust Datacard and General Manager, nCipher Security More About This Author >

Wir stehen heute am Beginn einer Reise, von der ich Ihnen mit Vorfreude und Stolz berichten möchte: dem offiziellen Marktstart von nCipher Security.

Für diejenigen unter Ihnen, die bereits seit längerem in der Security-Branche tätig sind, klingen die Namen wahrscheinlich vertraut – und das stimmt auch. Viele weltweit führende Organisationen setzen seit über 20 Jahren auf nCipher nShield HSMs , das zuvor zu Thales eSecurity gehörte und davor als eigenständiges, börsennotiertes Unternehmen tätig war.

nCipher geht jetzt als eigenständiges Unternehmen an den Start und liefert seinen Kunden über eine neue Marke die bekannte, zuverlässige Technologie.

Unser Fokus liegt darauf, in Zeiten prominenter Datenlecks und den jüngst in Kraft getretenen Compliance-Mandaten eine Grundlage für Vertrauen, Integrität und Kontrolle zu schaffen. Dazu nutzen wir in unserem dedizierten Team insgesamt mehr als 700 Jahre angewandte Kryptographie- und Security-Erfahrung. Unsere Mission besteht darin, zu gewährleisten, dass Organisationen ihre unternehmenskritischen Assets vor modernen Bedrohungen schützen können und so jederzeit volle Datenintegrität garantiert wird.

Ob Cloud-Technologie, digitale Zahlungsmethoden oder das Internet der Dinge: jedem von uns ist bewusst, dass schnelllebige Technologien auch höhere Risiken mit sich bringen. Die neue Generation von nCipher setzt auf ein engagiertes und erfahrenes Führungsteam von Weltklasse sowie seine felderprobten Lösungen und exzellenten Services, damit unsere Kunden sich in der stetig wandelnden Cyberumgebung schützen können. Wir waren nie zuvor so gut aufgestellt wie heute. Mit unserem Expertenteam und unserer Unternehmensführung sowie einem starken Produktangebot und einem bestehenden Ökosystem verfügen wir über die nötigen Kapazitäten, um unser Business auszubauen und neue Anwendungsfälle für die Technologie zu erschließen, die wir anbieten.

Die digitale Zukunft kommt in den Organisationen, daher konzentrieren wir uns auf das, was vor uns liegt: wir sind offen für Neues, arbeiten stärker zusammen und sind noch stärker marktorientiert. Für nCipher Security bedeutet Erfolg, sich aus der eigenen Komfortzone herauszuwagen und die Chancen, die sich dabei eröffnen, optimal zu nutzen.

Wir hoffen, Sie begleiten uns auf unserem Weg!

Das Problem mit Schlüsseln, Key Management, und warum ein starkes Enforcement nötig ist

Das Problem mit Schlüsseln, Key Management, und warum ein starkes Enforcement nötig ist

Kevin McKeogh | Director, Product Management More About This Author >

Unter Key Management versteht man im Grunde alle Tools, Prozesse und Verfahren, die es im Verbund einem Unternehmen ermöglichen, seine kryptographischen Assets zu verstehen, zu managen und zu pflegen.

Viele aktuellen Business-Applikationen verwenden Kryptographieverfahren zum Schutz von Daten, um die Identität der Parteien, von denen Daten gesammelt bzw. zu denen Daten gesendet werden, zu überprüfen, und um die Integrität der verarbeiteten Daten zu gewährleisten. Um diese Kryptographieverfahren zu nutzen, braucht man Schlüssel, um Daten zu ver- und entschlüsseln und um digitale Signaturen zu erstellen bzw. zu verifizieren. Weil immer mehr Business-Applikationen Verschlüsselungs- und Signaturverfahren nutzen und auch immer mehr Schlüssel zur Identifizierung benötigt werden, steigt die Zahl der Schlüssel in einem Unternehmen auf enorme Zahlen an. Darüber hinaus verliert man leicht die Übersicht, welcher Schlüssel zu wem gehört, welche Applikation auf welchen Schlüssel zugreifen muss, und welche Nutzungsrichtlinien mit welchem Schlüssel verknüpft sind. Das Key Management ist daher ein äußerst wichtiger Aspekt für den effizienten und sicheren Betrieb eines Unternehmens.

Für eine gute Key Management-Lösung ist es nicht nur wichtig, zu wissen, wo sich die Schlüssel alle befinden, sondern es muss auch definiert sein, wer (bzw. welche Applikation) was mit einer bestimmten Ressource anfangen kann. Ist zudem die Identifikation der entsprechenden Person oder Applikation, die Zugriff auf den Schlüssel beantragt, nicht vertrauenswürdig, und die Policy (was derjenige mit dem Schlüssel tun kann) wird nicht sicher umgesetzt, dann ist trotz sicherer Aufbewahrung der Schlüssel ein Missbrauchspotential gegeben.

Ist zum Beispiel das Authentifizierungsverfahren, mit dem sich Applikationsbenutzer auf Ihrem System anmelden, nicht sicher, können sich Angreifer als legitime Benutzer tarnen und Schlüssel autorisiert nutzen. Genau das ist bei DigiNotar passiert. Trotz Verwendung eines HSM zum Schutz der Certificate Authority für die Signierung von Schlüsseln hat es das Unternehmen versäumt, seine Benutzerauthentifizierung entsprechend abzusichern. Somit konnten die Angreifer gefälschte Browserzertifikate signieren, ohne entdeckt zu werden.

Es ist daher genauso wichtig, sicherzustellen, dass Ihre Key Management-Lösung über ein starkes Enforcement verfügt, damit auch legitime Benutzer sich keine Rechte zuweisen können, die ihnen nicht zustehen. Wird zum Beispiel die Policy in einer unverschlüsselten Nachschlagetabelle abgelegt, die sich ganz einfach ändern lässt, könnte es passieren, dass einem legitimen Benutzer unberechtigterweise Zugriff auf Schlüssel oder Schlüsselaktionen gegeben wird, und er dann Operationen ausführt, zu denen er normalerweise nicht berechtigt ist.

Zu guter Letzt sollte die Policy für die Verwendung des Schlüssels sicher und eng mit dem Schlüssel selbst verknüpft sein. Legt man fest, dass der Schlüssel ausschließlich innerhalb der sicheren Grenzen eines HSM entschlüsselt werden kann, sorgt man für ein starkes Enforcement der Richtlinien und senkt das Angriffsrisiko.

Ohne diese Ansätze verliert man angesichts der schieren Größe des Problems leicht die Orientierung, und ohne gute Ansätze und starkes Enforcement läuft man leicht Gefahr, Risiken für Sicherheit und Business Continuity zu schaffen.

Global Encryption Trends -Studie 2019: das bislang größte Jahr

Global Encryption Trends -Studie 2019: das bislang größte Jahr

John Grimm | Vice President of Strategy and Business Development More About This Author >

In den letzten drei Jahren wurden zunehmend Verschlüsselungstechniken eingesetzt, um Daten zu schützen, sowie Hardware Security Modules (HSMs) zum Schutz von Business-Applikationen. Dabei reagierten Organisationen sowohl auf neue Technologien als auch auf Veränderungen in der Bedrohungslandschaft.

In diesem Jahr zeichnet sich allerdings ein neuer Trend ab. Die Ergebnisse unserer jüngsten Studie, der Global Encryption Trends Study, die in Zusammenarbeit mit dem Ponemon Institute durchgeführt wurde, zeigen im Jahresvergleich einen Rekordanstieg bei der Nutzung vom HSM von 41% im Jahr 2018 auf 47%. Zusätzlich gibt es in fast der Hälfte aller Organisationen (45%) eine konsistente, unternehmensweite Verschlüsselungsstrategie, wobei Unternehmen aus den Bereichen Technologie und Software, Kommunikation und Finanzdienstleistung Verschlüsselung am häufigsten nutzen.

Global Encryption Trends study 2019: the biggest year yet

Verschlüsselung für den Datenschutz

Dass Verschlüsselungstechnik zum Schutz sensibler Daten eingesetzt wird, ist keine Überraschung. Durch den Einsatz mobiler und cloudbasierter Datenverarbeitung werden sensible Daten an immer mehr unterschiedlichen Orten abgelegt. Eine Verschlüsselung mit gutem Key-Management ist daher die beste Strategie, um zu gewährleisten, dass die Schutzmaßnahmen mit den Daten mitwandern. Überraschend ist allerdings, was die Hauptbedrohung für sensible Daten darstellt. Externe Hacker oder vorsätzliches Handeln durch Insider, meinen Sie? Sie dürfen nochmal raten. Das Ergebnis der Studie besagt, dass Fehler, die von Mitarbeitern gemacht werden, bei weitem die größte Bedrohung für sensible Daten darstellen – schlimmer als Hacker und Insider zusammen.

Ist die Verschlüsselung hierfür die Lösung? Jein. Falls sensible Daten durch den Fehler eines Mitarbeiters auf einem öffentlich zugänglichen Datenspeicher in der Cloud abgelegt werden, sind die Daten sicher, wenn sie verschlüsselt waren und der Key ausreichend geschützt wurde (ein sehr wichtiges „und“). Da jedoch die Studie gezeigt hat, dass nahezu zwei Drittel aller Organisationen mehr als 6 Verschlüsselungsprodukte anwenden, könnte man ja anführen, dass bei dieser Anzahl an Produkten und den dazugehörigen Benutzeroberflächen eine Situation erzeugt wird, die Fehler in Form von Fehlkonfigurationen begünstigt, insbesondere dann, wenn der Organisation keine ausreichenden Kapazitäten für das Management dieser Produkte zur Verfügung stehen.

Und man kann sicherlich argumentieren, dass es schwierig ist, über unterschiedliche Produkte hinweg ein konsistentes Verschlüsselungs- und Key-Managementsystem einzuführen. Es verwundert daher nicht, dass 61% der Befragten in der Umfrage die Belastung durch das Management von Verschlüsselungskeys mit mindestens 7 von 10 Punkten werteten.

HSMs zum Schutz von Applikationen

Aber was ist mit den Applikationen und Prozessen, mit denen die Datenverschlüsslung gesteuert und durchgeführt wird? Diese müssen unbedingt gesondert geschützt werden.

Genau dafür eignen sich die sogenannten HSMs. Diese bieten eine zertifizierte und manipulationssichere Umgebung für die Kryptographieumfänge in Unternehmen, wie zum Beispiel Verschlüsselungen und elektronische Signaturen. Die Nutzungsrate von HSMs lag dieses Jahr auf einem Allzeithoch. Bei den Anwendungsfällen wird die Liste dabei von der Verschlüsselung auf Applikationsebene (48%) und TLS/SSL (45%) angeführt. Auch die Bandbreite der Einsatzmöglichkeiten von HSMs zeigt sich hier deutlich, wobei traditionelle Favoriten wie die Datenbankverschlüsselung (36%) und PKI (29%) durch neuere Anwendungsfälle ergänzt werden und zum Beispiel die Verschlüsselung in der öffentlichen Cloud (32%) und die Bereitstellung von Zugangsdaten im Zahlungsverkehr (30%) in den Top 6 auftauchen.

Darüber hinaus gab es ein deutliches Wachstum bei den vormals weniger wichtigen Anwendungsfällen für HSMs: bei Codesignierung, Verschlüsselung von Big Data und Root of Trust im Internet der Dinge (IoT) verzeichneten die Befragten einen Anstieg um 20-24%. Zusätzlich bezeichnen 60% der Befragten HSMs als wichtiges Element ihrer Verschlüsselungs- bzw. Key Management-Strategie.

Die zunehmende Bedeutung der Verschlüsselung für den Datenschutz und von HSMs zum Schutz von Applikationen zeigt sich in der diesjährigen Umfrage ganz deutlich. Lesen Sie den Gesamtbericht, um den Einsatz von Verschlüsselung und HSMs in Ihrer Organisation im Vergleich mit den 14 Ländern/Regionen und den 13 Branchen in dieser umfassenden Studie mit ca. 6000 Befragten einzuordnen. Zum Herunterladen der 2019 Global Encryption Trends Study klicken Sie bitte hier.

eIDAS – Vertrauen schaffen bei digitalen Signaturen

eIDAS – Vertrauen schaffen bei digitalen Signaturen

Juan Asenjo | Director of Product, Solutions and Partner Marketing - nCipher Security More About This Author >

Vor einigen Jahren berichtete die britische BBC, dass die hohe Bedeutung der traditionellen handschriftlichen Signatur durch die digitale Unterschrift gefährdet werde. Es hat zwar ein wenig gedauert, doch der zunehmende Einsatz digitaler Dienste, vom Banking und Finanztransaktionen im privaten Sektor bis hin zu Steuern und Gesundheitswesen im öffentlichen Bereich, hat zu einer deutlichen Zunahme bei der Verwendung elektronischer Signaturen geführt. Doch obwohl elektronische Signaturen in manchen Län-dern Europas bereits seit Jahren als rechtsgültig anerkannt werden, erweist sich die fehlende Einheitlichkeit zwischen den EU-Mitgliedstaaten als Hürde.

Mit Inkrafttreten der EU-Verordnung 910/ 2014 im Jahr 2016 stieg die Nutzung elektronischer Signaturen weiter an.

Die sogenannte eIDAS-Verordnung (engl.: electronic Identity, Authentication And Signing Regulation, im Deutschen auch bekannt als IVT - elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen) dient als Rahmenwerk für elektronische Transaktionen, das rechtlich bindende Geschäftsvorfälle im europäischen Binnenmarkt ermöglicht.

eiDAS schafft Standards, mit denen elektronischen Signaturen derselbe Stellenwert zukommt, wie einer händischen Unterschrift und reguliert mit Hilfe von Aufsichtsorganen die Arbeit der Vertrauensdiensteanbieter (VDA) in den jeweiligen Mitgliedsstaaten.

Unternehmen, die in der EU tätig sind, profitieren vom Einsatz konformer Vertrauensdienstleistungen, denn so sind alle signierten Dokumente und Vereinbarungen in der gesamten EU gültig. Mit dem Einsatz eines qualifizierten Vertrauensdiensteanbieters können sie sicher sein, dass die elektronische Signatur eines Dokuments dieselbe Gültigkeit besitzt, wie eine physische Unterschrift. Insbesondere Banken nutzen die eIDAS-Vorgaben, um die Identität ihrer Kunden zu überprüfen und die Gültigkeit von Vereinbarungen zu gewährleisten. Weil immer mehr Regierungen den Bürgern auch digitale Dienstleistungen anbieten, benötigen auch sie eIDAS-konforme Services und Signaturen.

Um die dauerhafte Konformität sicherzustellen, müssen die VDAs zwingend qualifizierte Signaturerstellungsgeräte nutzen, die mit dem Einsatz starker Verschlüsselung für die Sicherheit der Signaturen sorgen.

Doch egal, wie gut die Verschlüsselung auch ist: Sie ist immer nur so gut wie die Root-of- Trust, welche die zugrundeliegenden Kryptografieschlüssel schützt. Und genau hier kommt nCipher ins Spiel.

Die nach der Common Criteria EAL 4+ zertifizierten nCipher nShield Hardware Security Modules (HSMs) stellen die Root-of- Trust für wichtige Vertrauensdienste dar. Kurz gesagt: Als freigegebene und qualifizierte Signaturerstellungsgeräte ermöglichen sie den Vertrauensdiensteanbietern die Einhaltung der eIDAS-Verordnung. Mit der zunehmenden

Verbreitung digitaler Signaturen, die inzwischen in der gesamten EU als rechtsgültig anerkannt sind, sind Vorschriften wie eIDAS wichtig, damit die europäischen Verbrauchern sicher sein können, dass die Vertrauensdiensteanbieter ihre digitalen Transaktionen und ihre Identität zuverlässig schützen können. In diesem Zusammenhang arbeitet nCipher mit führenden Anbietern digitaler Dienste zusammen und integriert die nShield HSMs als Root-of-Trust zum Schutz der wertvollsten und sensibelsten digitalen Kundendaten mit eIDAS-konformen Lösungen.

Und das gilt nicht nur für die EU. Auch Regierungen und Unternehmen in anderen Ländern übernehmen nun das eIDAS-Modell, um Vertrauen zu schaffen und rechtsverbindliche digitale Signaturen einzuführen.

Wir wissen, wohl, was PKI ist, aber wissen wir auch, was es werden kann?

Wir wissen, wohl, was PKI ist, aber wissen wir auch, was es werden kann?

Juan Asenjo | Director of Product, Solutions and Partner Marketing - nCipher Security More About This Author >

In Shakespeares Hamlet spricht Ophelia folgenden Satz: „Wir wissen, wohl, was wir sind, aber nicht, was wir werden können.“ Das unbekannte Potential der eigenen Zukunft sorgt für eine gewisse Selbstreflexion. Sinnvoll ist es aber auch, sich Gedanken darüber zu machen, wie sich die Technologien entwickeln werden, mit denen wir heute so gut vertraut sind, um zukünftigen Anforderungen gewachsen zu sein. Genau das geschieht gerade im Bereich der Public Key Infrastruktures (PKIs) – einer Technologie, die uns seit Jahrzehnten begleitet und nun als wichtigster Wegbereiter der digitalen Transformation unabdingbar wird.

PKIs

Als grundlegender Baustein für die digitale Kommunikation umfasst eine PKI die Hardware, Software, Policies, Prozesse und Verfahren, die für die Verwaltung digitaler Identitäten erforderlich sind. Ursprünglich wurden PKIs eingeführt, um die Identität von Personen und Webservern zu validieren.

Seitdem haben sie sich zum de facto, zum Standardmechanismus entwickelt, mit dem vertrauenswürdige Systeme und die Vertrauenswürdigkeit innerhalb von Systemen aufgebaut werden. Ihre Verwendung war die Grundlage für den Erfolg des e-Commerce.

Doch die Zahl der vernetzten Geräte und Applikationen, die sicher identifiziert und validiert werden müssen, damit sie in vertrauenswürdigen Ökosystemen funktionieren, ist explosionsartig angestiegen - und damit auch die Nachfrage nach PKIs.

Haupttreiber des Wandels

Das Internet der Dinge (Internet of Things, IoT) wird für verbraucherorientierte Anwendungen genutzt, wie zum Beispiel Mobiltelefone, vernetzte Fahrzeuge, intelligente Verbrauchsmessung und Medizingeräte.

Auch bei industriellen Applikationen ist das IoT weit verbreitet, zum Beispiel bei der vorbeugenden Wartung, im Flottenmanagement, als künstliche Intelligenz für Flugzeugtriebwerke oder bei der Optimierung von Stromnetzen. Wie zuvor erwähnt, basiert e-Commerce auf Vertrauen. Man muss sich jedoch einmal die Konsequenzen vor Augen führen, die sich ergeben, wenn wir medizinischen Geräten und Applikationen nicht mehr trauen könnten, oder den Triebwerken der Flugzeuge, in denen wir reisen, oder der Steuerung unserer Elektrizitätsnetze.

Die Liste solcher Applikationen ist schier endlos, und sie alle benötigen PKIs und Berechtigungszertifikate, um zu gewährleisten, dass die Systeme der Kontrolle von berechtigten Benutzern unterstehen und dass das auch so bleibt. Deswegen werden PKIs bis an ihre Leistungsgrenzen ausgereizt, um die ständig wachsende Zahl an Zertifikaten für die entsprechenden Geräte und Applikationen zu erzeugen.

Das Internet der Dinge (IoT)

Das IoT ist die am schnellsten wachsende Kraft, die sich auf Planung und Entwicklung von PKIs auswirkt. Die vom Ponemon Institute für nCipher durchgeführte jährliche Studie „Global PKI Trends“ führt folgende Punkte auf: Es wird zunehmend erkannt, dass die PKI eine wichtige Kernauthentifizierungstechnologie für das IoT darstellt. Der Anteil an Befragten, die das IoT als den wichtigsten Trend für den Einsatz von Applikationen bezeich-nen, ist deutlich von 21 Prozent im Jahr 2015 auf 41 Prozent im Jahr 2019 angestiegen.

Datenschutz und gesetzliche Vorgaben

IoT-Geräte sammeln Daten, und viele davon sind mit Personen verknüpft. Diese Daten müssen geschützt werden, um die brancheninternen und gesetzlichen Vorgaben weltweit einzuhalten, wie zum Beispiel die Datenschutzgrundverordnung (DSGVO). Datensicherheit und Einhaltung gesetzlicher Vorgaben sind weitere wichtige Funktionen, bei denen die PKIs den Mechanismus liefern, mit dem der Zugriff auf kritische Geräte und die von ihnen gesammelten Informationen kontrolliert wird.

In der Tat haben die ersten Ergebnisse der Global PKI Trends Study 2019 bereits einige interessante Statistiken bezüglich der Sicherheitszertifizierung für PKIs zu Tage gefördert: Weltweit anerkannte Sicherheitszertifizierungen gewinnen immer stärker an Bedeutung.

Common Criteria EAL4+ galt als wichtigste Sicherheitszertifizierung beim Einsatz von PKI und PKI-basierten Applikationen. Die Studie ergab, dass sich 64 Prozent der Befragten für die Common Criteria und 60 Prozent für FIPS 140-2 entschieden, gefolgt von regionalen Standards, wie z.B. gesetzlichen Vorgaben für digitale Signaturen, mit 25 Prozent.

Best Practices für sichere PKIs

Zum Schutz von privaten Schlüsseln, die für die Zertifikatsausstellung und Signierprozesse verwendet werden, empfehlen Sicherheitsexperten als Best Practice die Verwendung eines Hardware Security-Moduls (HSM). Die Root-of-Trust im HSM sepa- riert und schützt kritische kryptografische Schlüssel innerhalb einer zertifizierten, geschützten Umgebung, getrennt von der restlichen IT-Infrastruktur, und ermöglicht so die Auditierung und Einhaltung gesetzlicher Vorgaben. Zusätzlich können HSMs, wie zum Beispiel das nach Common Criteria und FIPS zertifizierte nCipher nShield HSM, sensiblen Code schützen, indem er innerhalb sicherer Grenzen ausgeführt wird.

nCipher und seine nFinity-Technologiepartner bieten ihren Kunden die stärksten PKILösungen auf dem Markt. Egal, ob bei Design und Aufbau einer komplett neuen PKI oder bei einer Zustandsbewertung ihrer bestehenden PKI: nCipher sorgt dafür, dass die Anforderungen Ihrer Applikationen an digitale Berechtigungen und Identitäten erfüllt werden, und dass die Sicherheit Ihrer zugrunde liegenden Signaturschlüssel zu jeder Zeit gewährleistet ist.

Ophelia

Ophelia hatte Probleme, sich damit auseinanderzusetzen, was in der Zukunft aus ihr werden könnte. Aktuelle PKI sind zu einer kritischen Infrastruktur für das einst unvorstellbare IoT geworden. Wir müssen daher die heutigen organisatorischen PKI analysieren, um sicherzustellen, dass sie für ihre momentanen Aufgaben auch gerüstet sind. Darüber hinaus müssen wir nach vorne schauen, um zu gewährleisten, dass die PKIs auch morgen noch Vertrauen und Sicherheit schaffen können.

2019 STUDIE ZU GLOBALEN PKI-UND IoT-TRENDS

Das Ponemon Institute ist erfreut, eine Zusammenfassung der Ergebnisse der Studie zu globalen PKI- und IoT-Trends 2019 zu präsentieren, die von nCipher Security, einem Unternehmen der Entrust Datacard Group, finanziert wird. Laut den Ergebnissen hat die rasant zunehmende Nutzung von IoT-Geräten1 Einfluss auf die Verwendung von PKI-Technologien, und es setzt sich die Erkenntnis durch, dass PKI wichtige zentrale Authentifizierungstechnologien für das IoT bietet

Subscribe to
Sie möchten Teil unseres Teams werden? Entdecken
Mit einem Spezialisten sprechen Kontakt