Кампанія GlobalSign , як і чаму кампаніі наогул выкарыстоўваюць інфраструктуру адкрытых ключоў (PKI). У апытанні прынялі ўдзел каля 750 чалавек: ім таксама задавалі пытанні аб лічбавых подпісах і DevOps.
Калі вы не знаёмыя з тэрмінам, то PKI дазваляе сістэмам бяспечна абменьвацца дадзенымі і правяраць уладальнікаў сертыфікатаў. ўключаюць у сябе аўтэнтыфікацыю лічбавых сертыфікатаў і адкрытыя ключы для шыфравання і крыптаграфічнай праверкі аўтэнтычнасці дадзеных. Любая канфідэнцыйная інфармацыя належыць на сістэму PKI, а GlobalSign лічыцца адным з кіроўных сусветных пастаўшчыкоў такіх сістэм.
Такім чынам, разгледзім некалькі ключавых высноў даследавання.
Што шыфруецца?
У цэлым, PKI у тым ці іншым выглядзе выкарыстоўваюць 61,76% кампаній.
Адно з галоўных пытанняў, які цікавіў даследчыкаў – якія менавіта сістэмы шыфравання і лічбавыя сертыфікаты выкарыстоўваюць рэспандэнты. Нядзіўна, што каля 75% заявілі, што выкарыстоўваюць публічныя сертыфікаты. , А каля 50% належаць на прыватныя SSL і TLS. Гэта і ёсць самае папулярнае ўжыванне сучаснай крыптаграфіі – шыфраванне сеткавага трафіку.
Гэтае пытанне задавалі кампаніям, якія станоўча адказалі на папярэднія пытанне аб выкарыстанні сістэм PKI, і яно дапушчала некалькі варыянтаў адказу.
Траціна ўдзельнікаў (30%) сказалі, што выкарыстоўваюць сертыфікаты для лічбавых подпісаў, у той час як крыху менш належаць на PKI для абароны электроннай пошты (). S/MIME – гэта шырока распаўсюджаны пратакол для адпраўкі зашыфраваных паведамленняў з лічбавым подпісам і спосаб абароны карыстальнікаў ад фішынгу. Улічваючы рост ліку фішынгавых нападаў, зразумела, чаму гэта ўсё папулярнейшае рашэнне для забеспячэння бяспекі прадпрыемстваў.
Мы таксама разгледзелі, чаму кампаніі першапачаткова выбіраюць тэхналогіі, заснаваныя на PKI. Больш за 30% указалі на маштабаванасць інтэрнэту рэчаў (), а 26% лічаць, што PKI можна прымяняць у самых розных галінах. 35% рэспандэнтаў адзначылі, што шануюць PKI за забеспячэнне цэласнасці дадзеных.
Агульныя праблемы ва ўкараненні
Хоць мы ведаем, што PKI мае вялікую каштоўнасць для арганізацыі, крыптаграфія – даволі складаная тэхналогія. З-за гэтага ўзнікаюць праблемы з укараненнем. Мы спыталі, што думаюць рэспандэнты аб галоўных праблемах укаранення. Высветлілася, што адна з самых вялікіх праблем - недахоп унутраных IT-рэсурсаў. Проста не хапае кваліфікаваных работнікаў, якія разбіраюцца ў крыптаграфіі. Акрамя таго, 17% рэспандэнтаў паведамілі аб працяглы час разгортвання праектаў, а амаль 40% згадалі, што кіраванне жыццёвым цыклам можа адымаць шмат часу. Для многіх бар'ерам з'яўляецца высокі кошт спецыялізаваных рашэнняў PKI.
Мы даведаліся з апытання, што многія кампаніі да гэтага часу выкарыстоўваюць уласны унутраны які сведчыць цэнтр, нягледзячы на нагрузку, якую ён стварае на IT-рэсурсы кампаніі.
Даследаванне таксама ўказала на рост выкарыстання лічбавых подпісаў. Больш за 50% удзельнікаў апытання заявілі, што актыўна выкарыстоўваюць лічбавыя подпісы для абароны цэласнасці і сапраўднасці кантэнту.
Што датычыцца таго, чаму яны выбралі лічбавыя подпісы, 53 працэнты рэспандэнтаў сказалі, што галоўнай прычынай было выкананне нарматыўных патрабаванняў, а 60 працэнтаў указалі на ўкараненне беспапяровых тэхналогій. У якасці адной з асноўных прычын пераходу на лічбавыя подпісы названа эканомія часу. Таксама як і магчымасць скараціць час апрацоўкі дакументаў – адна з галоўных пераваг выкарыстання тэхналогіі PKI.
Шыфраванне ў DevOps
Даследаванне не было б поўным, калі б рэспандэнтаў не спыталі аб выкарыстанні сістэм шыфравання ў DevOps – гэта хуткарослы рынак, які, па прагнозах, павінен дасягнуць $ 13 млрд да 2025 года. Хоць рынак IT вельмі хутка перайшоў на метадалогію DevOps (development + operations) з яе аўтаматызаванымі бізнес-працэсамі, гнуткасцю і падыходамі Agile, але ў рэальнасці гэтыя падыходы адчыняюць новыя рызыкі для бяспекі. У наш час працэс атрымання сертыфікатаў у асяроддзі DevOps складзены, працаёмкі і схільны памылкам. Вось з чым сутыкаюцца распрацоўшчыкі і кампаніі:
- Усё больш ключоў і сертыфікатаў, якія служаць ідэнтыфікатарамі машын у балансавальніка нагрузкі, віртуальных машынах, кантэйнерах і сетках абслугоўвання. Хаатычнае кіраванне гэтымі ідэнтыфікатарамі без правільнай тэхналогіі хутка ператвараецца ў дарагі і рызыкоўны працэс.
- Слабыя сертыфікаты ці нечаканае заканчэнне тэрміна дзеяння сертыфікатаў, калі адсутнічае належная практыка прымянення палітык і маніторынгу. Залішне казаць, што такія прастоі аказваюць значны ўплыў на бізнэс.
Таму GlobalSign прапануе рашэнне , якое непасрэдна інтэгруецца з REST API, EST або , Так што каманда распрацоўшчыкаў працягвае працаваць у ранейшым тэмпе, не ахвяруючы бяспекай.
Крыптасістэмы з адкрытым ключом - адна з самых фундаментальных тэхналогій бяспекі. І застанецца такой у агляднай будучыні. А з улікам выбуховага росту, які мы назіраем у сектары IoT, у бягучым годзе мы чакаем яшчэ большай колькасці ўкараненняў сістэм PKI.
Крыніца: habr.com