در یک سیستم شرکتی چه چیزی را رمزگذاری کنیم؟ و چرا این کار را انجام دهید؟

شرکت گلوبال ساین یک نظرسنجی انجام داد، چگونه و چرا شرکت ها در وهله اول از زیرساخت کلید عمومی (PKI) استفاده می کنند. حدود 750 نفر در این نظرسنجی شرکت کردند: همچنین از آنها سؤالاتی در مورد امضای دیجیتال و DevOps پرسیده شد.

اگر با این اصطلاح آشنا نیستید، PKI به سیستم‌ها اجازه می‌دهد تا داده‌ها را به صورت امن مبادله کنند و صاحبان گواهی را تأیید کنند. راه حل های PKI شامل احراز هویت گواهی های دیجیتال و کلیدهای عمومی برای رمزگذاری و تأیید رمزنگاری اصالت داده ها می شود. هر گونه اطلاعات حساس به یک سیستم PKI متکی است و GlobalSign یکی از ارائه دهندگان پیشرو در جهان برای چنین سیستم هایی در نظر گرفته می شود.

بنابراین، اجازه دهید به چند یافته کلیدی از این مطالعه نگاه کنیم.

چه چیزی رمزگذاری شده است؟

به طور کلی، 61,76٪ از شرکت ها از PKI به هر شکلی استفاده می کنند.

یکی از سوالات اصلی که محققان علاقه مند بود این بود که پاسخ دهندگان از چه سیستم های رمزگذاری خاص و گواهی های دیجیتال استفاده می کنند. جای تعجب نیست که حدود 75 درصد گفتند که از گواهینامه های عمومی استفاده می کنند SSL یا TLS، و حدود 50٪ به SSL خصوصی و TLS متکی هستند. این محبوب ترین برنامه رمزنگاری مدرن است - رمزگذاری ترافیک شبکه.

این سؤال از شرکت‌هایی پرسیده شد که به سؤالات قبلی در مورد استفاده از سیستم‌های PKI پاسخ مثبت داده بودند و گزینه‌های پاسخ متعدد را امکان‌پذیر می‌کرد.

یک سوم از شرکت کنندگان (30٪) گفتند که از گواهینامه ها برای امضای دیجیتال استفاده می کنند، در حالی که اندکی کمتر به PKI برای ایمن سازی ایمیل متکی هستند.S / MIME). S/MIME یک پروتکل پرکاربرد برای ارسال پیام های رمزگذاری شده با امضای دیجیتال و راهی برای محافظت از کاربران در برابر کلاهبرداری های فیشینگ است. با افزایش حملات فیشینگ، واضح است که چرا این راه حل محبوبیت فزاینده ای برای امنیت سازمانی است.

ما همچنین بررسی کردیم که چرا شرکت‌ها در ابتدا فناوری‌های مبتنی بر PKI را انتخاب می‌کنند. بیش از 30٪ مقیاس پذیری اینترنت اشیا را نشان می دهد (IOT) و 26٪ معتقدند که PKI را می توان در طیف گسترده ای از صنایع اعمال کرد. 35٪ از پاسخ دهندگان خاطرنشان کردند که برای اطمینان از یکپارچگی داده ها به PKI ارزش می دهند.

چالش های رایج پیاده سازی

در حالی که می دانیم PKI ارزش زیادی برای یک سازمان دارد، رمزنگاری یک فناوری نسبتاً پیچیده است. این باعث ایجاد مشکلاتی در پیاده سازی می شود. ما از پاسخ دهندگان پرسیدیم که در مورد چالش های اصلی پیاده سازی چه فکر می کنند. مشخص شد که یکی از بزرگترین مشکلات کمبود منابع داخلی IT است. به سادگی کارگران واجد شرایط کافی وجود ندارند که رمزنگاری را درک کنند. علاوه بر این، 17٪ از پاسخ دهندگان زمان طولانی استقرار پروژه را گزارش کردند و تقریباً 40٪ اشاره کردند که مدیریت چرخه عمر می تواند زمان بر باشد. برای بسیاری، مانع، هزینه بالای راه حل های سفارشی PKI است.

ما از این نظرسنجی دریافتیم که بسیاری از شرکت‌ها با وجود باری که بر منابع فناوری اطلاعات شرکت ایجاد می‌کند، هنوز از مرجع صدور گواهینامه داخلی خود استفاده می‌کنند.

این مطالعه همچنین افزایش استفاده از امضای دیجیتال را نشان داد. بیش از 50 درصد از پاسخ دهندگان به نظرسنجی گفتند که به طور فعال از امضای دیجیتال برای محافظت از یکپارچگی و اصالت محتوا استفاده می کنند.

در مورد اینکه چرا امضای دیجیتالی را انتخاب کردند، 53 درصد از پاسخ دهندگان گفتند که انطباق دلیل اصلی بوده است و 60 درصد به پذیرش فناوری های بدون کاغذ اشاره کردند. صرفه جویی در زمان به عنوان یکی از دلایل اصلی روی آوردن به امضای دیجیتال ذکر شد. و همچنین قابلیت کاهش زمان پردازش اسناد یکی از مزایای اصلی استفاده از فناوری PKI است.

رمزگذاری در DevOps

این مطالعه بدون سوال از پاسخ دهندگان در مورد استفاده از سیستم های رمزگذاری در DevOps کامل نمی شود، بازاری که به سرعت در حال رشد است و پیش بینی می شود تا سال 13 به 2025 میلیارد دلار برسد. اگرچه بازار فناوری اطلاعات به سرعت به روش DevOps (توسعه + عملیات) با فرآیندهای تجاری خودکار، انعطاف‌پذیری و رویکردهای چابک خود روی آورد، اما در واقع این رویکردها خطرات امنیتی جدیدی را ایجاد می‌کنند. در حال حاضر، فرآیند دریافت گواهینامه ها در محیط DevOps پیچیده، زمان بر و مستعد خطا است. در اینجا چیزی است که توسعه دهندگان و شرکت ها با آن روبرو هستند:

• کلیدها و گواهینامه های بیشتری وجود دارند که به عنوان شناسه ماشین در بارگذاری متعادل کننده ها، ماشین های مجازی، کانتینرها و شبکه های خدماتی عمل می کنند. مدیریت هرج و مرج این هویت ها بدون فناوری مناسب به سرعت به فرآیندی پرهزینه و پرخطر تبدیل می شود.
• گواهینامه‌های ضعیف یا انقضای گواهینامه‌های غیرمنتظره در صورت عدم وجود شیوه‌های اجرای خوب خط‌مشی و نظارت. نیازی به گفتن نیست که چنین خرابی تأثیر قابل توجهی بر تجارت دارد.

به همین دلیل است که GlobalSign یک راه حل ارائه می دهد PKI برای DevOps، که مستقیماً با REST API، EST یا ابر ونافی، به طوری که تیم توسعه بدون به خطر انداختن امنیت به کار خود با همان سرعت ادامه می دهد.

سیستم های رمزنگاری کلید عمومی یکی از اساسی ترین فناوری های امنیتی است. و در آینده ای قابل پیش بینی به همین شکل باقی خواهد ماند. و با توجه به رشد انفجاری که در بخش IoT شاهد آن هستیم، ما انتظار داریم که امسال PKI بیشتری به کار گرفته شود.

منبع: www.habr.com