Какво да криптираме в корпоративната система? И защо да го правим?

Компания GlobalSign провела проучване, как и защо компаниите изобщо използват инфраструктура от открити ключове (PKI). В проучването участваха около 750 души: им бяха задавани въпроси за цифровите подписи и DevOps.

Ако не сте запознати с термина, PKI позволява на системите безопасно да обменят данни и да проверяват притежателите на сертификати. Решенията PKI включват аутентификация на цифрови сертификати и открити ключове за криптиране и криптографска проверка на автентичността на данните. Всяка конфиденциална информация разчита на PKI система, а GlobalSign се счита за един от водещите световни доставчици на такива системи.

И така, нека разгледаме няколко ключови извода от изследването.

Какво се криптира?

По принцип, PKI по един или друг начин използват 61,76% от компаниите.

Един от основните въпроси, който интересуваше изследователите, бе какви точно системи за криптиране и цифрови сертификати използват респондентите. Не е изненадващо, че около 75% заявиха, че използват публични сертификати SSL или TLS, а около 50% разчитат на частни SSL и TLS. Това е най-популярното приложение на съвременната криптография – криптиране на мрежовия трафик.

Този въпрос бе зададен на компании, които положително отговориха на предишния въпрос относно използването на системи PKI, като допускаше няколко варианта на отговор.

Трета част от участниците (30%) каза, че използва сертификати за цифрови подписи, докато малко по-малко разчитат на PKI за защита на електронната поща (S/MIME). S/MIME е широко разпространен протокол за изпращане на криптирани съобщения с цифрова подпис и начин за защита на потребителите от фишинг. В контекста на растящия брой фишинг атаки, е ясно, защо това е все по-популярно решение за осигуряване на безопасността в бизнеса.

Също така разгледахме защо компаниите първоначално избират технологии, основани на PKI. Повече от 30% посочиха мащабируемостта на интернет нещата (IoT), а 26% смятат, че PKI може да се прилага в много различни индустрии. 35% от респондентите отбелязаха, че ценят PKI за осигуряване на целостта на данните.

Общи проблеми при внедряването

Въпреки че знаем, че PKI е от голяма стойност за организацията, криптографията е доста сложна технология. Поради това възникват проблеми с внедряването. Попитахме респондентите какво мислят за основните проблеми с внедряването и се установи, че един от най-големите проблеми е липсата на вътрешни ИТ ресурси. Просто няма достатъчно квалифицирани работници, които разбират от криптография. Освен това, 17% от респондентите съобщиха за дълго време за внедряване на проекти, а почти 40% споменаха, че управлението на жизнения цикъл може да отнема много време. За много от тях бариера е високата цена на специализираните PKI решения.

Научихме от проучването, че много компании все още използват собствен вътрешен удостоверяващ център, въпреки натоварването, което той създава на ИТ ресурсите на компанията.

Изследването също така посочи растежа на използването на цифрови подписи. Повече от 50% от участниците в проучването заявиха, че активно използват цифрови подписи за защита на целостта и автентичността на съдържанието.

По отношение на причините, поради които те са избрали цифрови подписи, 53% от респондентите казаха, че основната причина е спазването на нормативните изисквания, а 60% посочиха внедряването на безхартиени технологии. Спестяването на време е посочено като една от основните причини за преминаване към цифрови подписи. Както и възможността за намаляване на времето за обработка на документи — едно от основните предимства на използването на PKI технология.

Шифроване в DevOps

Изследването нямаше да бъде пълно, ако не попитахме респондентите за използването на системи за шифроване в DevOps — бързоразвиващ се пазар, който, според прогнозите, трябва да достигне $13 млрд. до 2025 г. Въпреки че ИТ пазарът много бързо премина към методологията DevOps (разработка + операции) с автоматизирани бизнес процеси, гъвкавост и подходи Agile, реалността разкрива нови рискове за сигурността. В момента процесът на получаване на сертификати в DevOps среда е сложен, трудоемък и податлив на грешки. С това се сблъскват разработчиците и компаниите:

• Все повече ключове и сертификати, които служат като идентификатори на устройства в балансировчика на натоварване, виртуални машини, контейнери и обслужващи мрежи. Хаотичното управление на тези идентификатори без подходяща технология бързо се превръща в скъп и рисков процес.
• Слаби сертификати или неочаквано изтичане на срока на сертификатите, когато липсва подходяща практика за прилагане на политики и мониторинг. Излишно е да се казва, че такива прекъсвания оказват значително влияние върху бизнеса.

Затова GlobalSign предлага решение PKI за DevOps, което се интегрира директно с REST API, EST или облака Venafi, така че екипът на разработчиците продължава да работи с предишния темп, без да жертва безопасността.

Криптосистемите с отворен ключ са една от най-фундаменталните технологии за сигурност. И такава ще остане в обозримото бъдеще. А с оглед на експлозивния растеж, който наблюдаваме в сектора на IoT, тази година очакваме още по-голям брой внедрявания на системи PKI.

Източник: habr.com