Какво да криптираме в корпоративната система? И защо да го правим?

Компания GlobalSign провела проучване, как и защо компаниите изобщо използват инфраструктурата на публични ключове (PKI). В проучването участваха около 750 души: им беше зададен и въпроси относно цифровите подписи и DevOps.

Ако не сте запознати с термина, PKI позволява на системите безопасно да обменят данни и да проверяват притежателите на сертификати. Решенията PKI включват в себе си аутентификация на цифрови сертификати и публични ключове за криптиране и криптографска проверка на автентичността на данните. Всяка конфиденциална информация разчита на системата PKI, а GlobalSign се счита за един от водещите световни доставчици на такива системи.

И така, да разгледаме няколко ключови извода от изследването.

Какво се криптира?

В общи линии, PKI в една или друга форма използват 61,76% от компаниите.

Един от основните въпроси, които интересуваха изследователите — какви точно системи за криптиране и цифрови сертификати използват респондентите. Не е изненада, че около 75% заявиха, че използват публични сертификати SSL или TLS, а около 50% разчитат на частни SSL и TLS. Това е най-популярното приложение на съвременната криптография — криптиране на мрежовия трафик.

Този въпрос зададоха на компаниите, които потвърдиха, че използват системи PKI, и той допускаше няколко варианта на отговор.

Третина от участниците (30%) казаха, че използват сертификати за цифрови подписи, докато малко по-малко разчитат на PKI за защита на електронната поща (S/MIME). S/MIME е широко разпространен протокол за изпращане на криптирани съобщения с цифрова подпис и начин за защита на потребителите от фишинг. Като се има предвид нарастващият брой на фишинг атаките, е разбираемо защо това е все по-популярно решение за осигуряване на безопасността на фирмите.

Ние също разгледахме защо компаниите първоначално избират технологии, базирани на PKI. Повече от 30% посочиха мащабируемостта на интернет на нещата (IoT), а 26% считат, че PKI може да се прилага в най-различни индустрии. 35% от респондентите отбелязаха, че ценят PKI за осигуряване на целостта на данните.

Общи проблеми при внедряването

Въпреки че знаем, че PKI има голяма стойност за организацията, криптографията е доста сложна технология. Поради това възникват проблеми с внедряването. Попитахме какво мислят респондентите за основните проблеми при внедряването. Оказа се, че един от най-големите проблеми е недостигът на вътрешни IT ресурси. Просто липсват квалифицирани работници, които разбират от криптография. Освен това, 17% от респондентите съобщиха за дългото време за разгръщане на проектите, а почти 40% споменаха, че управлението на жизнения цикъл може да отнеме много време. За много хора бариерата е високата цена на специализирани PKI решения.

Разбрахме от проучването, че много компании все още използват собствен вътрешен удостоверяващ център, въпреки натоварването, което той създава на IT ресурсите на компанията.

Проучването също така посочи растежа на използването на цифрови подписи. Повече от 50% от участниците в проучването заявиха, че активно използват цифрови подписи за защита на целостта и автентичността на съдържанието.

Що се отнася до причината, поради която са избрали цифрови подписи, 53% от респондентите казаха, че основната причина е спазването на нормативни изисквания, а 60% посочиха внедряването на безхартиени технологии. Като основна причина за преминаването към цифрови подписи е спестяването на време. Също така възможността да се намали времето за обработка на документи — едно от основните предимства на използването на PKI технологията.

Шифроване в DevOps

Проучването нямаше да бъде пълно, ако не попитахме респондентите за използването на системи за шифроване в DevOps — това е бързо растящ пазар, който, по прогнозите, трябва да достигне 13 милиарда $ до 2025 година. Въпреки че IT пазарът много бързо премина на методологията DevOps (разработка + операции) с нейните автоматизирани бизнес процеси, гъвкавост и Agile подходи, в действителност тези подходи откриват нови рискове за сигурността. В момента процесът на получаване на сертификати в среда DevOps е сложен, трудоемък и подложен на грешки. С това се сблъскват разработчиците и компаниите:

• Все повече ключове и сертификати, които служат за идентификатори на машини в балансировчици на натоварването, виртуални машини, контейнери и обслужващи мрежи. Хаотичното управление на тези идентификатори без правилна технология бързо се превръща в скъп и рисков процес.
• Слаби сертификати или неочаквано изтичане на валидност на сертификатите, когато липсва подходяща практика за прилагане на политики и мониторинг. Излишно е да се казва, че такива прекъсвания оказват значително влияние на бизнеса.

Затова GlobalSign предлага решение PKI за DevOps, което директно се интегрира с REST API, EST или облака Venafi, така че екипът за разработка да продължи да работи в предишния темп, без да жертва сигурността.

Криптосистемите с публичен ключ са една от най-фундаменталните технологии за сигурност. И ще останат такива в обозримо бъдеще. А предвид експлозивния ръст, който наблюдаваме в сектора IoT, в текущата година очакваме още повече внедрявания на PKI системи.

Източник: habr.com