რა უნდა დაშიფროთ კორპორატიულ სისტემაში? და რატომ აკეთებ ამას?

კომპანია GlobalSign ჩაატარა გამოკითხვა, როგორ და რატომ იყენებენ კომპანიები პირველ რიგში საჯარო გასაღების ინფრასტრუქტურას (PKI). გამოკითხვაში 750-მდე ადამიანი მონაწილეობდა: მათ ასევე დაუსვეს კითხვები ციფრული ხელმოწერებისა და DevOps-ის შესახებ.

თუ არ იცნობთ ტერმინს, PKI სისტემებს საშუალებას აძლევს უსაფრთხოდ გაცვალონ მონაცემები და დაადასტურონ სერტიფიკატების მფლობელები. PKI Solutions მოიცავს ციფრული სერთიფიკატების და საჯარო გასაღებების ავთენტიფიკაციას დაშიფვრისა და მონაცემთა ავთენტურობის კრიპტოგრაფიული გადამოწმებისთვის. ნებისმიერი სენსიტიური ინფორმაცია ეყრდნობა PKI სისტემას და GlobalSign ითვლება ასეთი სისტემების ერთ-ერთ წამყვან პროვაიდერად მსოფლიოში.

ასე რომ, მოდით შევხედოთ კვლევის რამდენიმე ძირითად მიგნებას.

რა არის დაშიფრული?

მთლიანობაში, კომპანიების 61,76% იყენებს PKI-ს ამა თუ იმ ფორმით.

ერთ-ერთი მთავარი კითხვა, რომელიც მკვლევარებს აინტერესებდა, იყო ის, თუ რა კონკრეტულ დაშიფვრის სისტემებსა და ციფრულ სერთიფიკატებს იყენებენ რესპონდენტები. გასაკვირი არ არის, რომ დაახლოებით 75%-მა განაცხადა, რომ იყენებს საჯარო სერტიფიკატებს SSL ან TLSდა დაახლოებით 50% ეყრდნობა პირად SSL-სა და TLS-ს. ეს არის თანამედროვე კრიპტოგრაფიის ყველაზე პოპულარული აპლიკაცია - ქსელური ტრაფიკის დაშიფვრა.

ეს შეკითხვა დაუსვეს კომპანიებს, რომლებმაც უპასუხეს დიახ წინა კითხვებს PKI სისტემების გამოყენების შესახებ და ის საშუალებას აძლევდა პასუხის მრავალ ვარიანტს.

მონაწილეთა მესამედმა (30%) განაცხადა, რომ ისინი იყენებენ სერთიფიკატებს ციფრული ხელმოწერებისთვის, ხოლო ოდნავ ნაკლებად ეყრდნობიან PKI-ს ელფოსტის დასაცავად (S / MIME). S/MIME არის ფართოდ გამოყენებული პროტოკოლი ციფრულად ხელმოწერილი დაშიფრული შეტყობინებების გასაგზავნად და მომხმარებელთა ფიშინგის თაღლითებისგან დაცვის საშუალება. ფიშინგის შეტევების ზრდასთან ერთად, გასაგებია, რატომ არის ეს უფრო პოპულარული გადაწყვეტა საწარმოს უსაფრთხოებისთვის.

ჩვენ ასევე განვიხილეთ, რატომ ირჩევენ კომპანიები თავდაპირველად PKI-ზე დაფუძნებულ ტექნოლოგიებს. 30%-ზე მეტმა მიუთითა ნივთების ინტერნეტის მასშტაბურობაზე (iot), ხოლო 26% თვლის, რომ PKI შეიძლება გამოყენებულ იქნას ინდუსტრიების ფართო სპექტრში. გამოკითხულთა 35%-მა აღნიშნა, რომ ისინი აფასებენ PKI-ს მონაცემთა მთლიანობის უზრუნველსაყოფად.

განხორციელების საერთო გამოწვევები

მიუხედავად იმისა, რომ ჩვენ ვიცით, რომ PKI-ს დიდი მნიშვნელობა აქვს ორგანიზაციისთვის, კრიპტოგრაფია საკმაოდ რთული ტექნოლოგიაა. ეს იწვევს დანერგვის პრობლემებს. ჩვენ ვკითხეთ რესპონდენტებს, რას ფიქრობდნენ განხორციელების ძირითად გამოწვევებზე. აღმოჩნდა, რომ ერთ-ერთი ყველაზე დიდი პრობლემა შიდა IT რესურსების ნაკლებობაა. უბრალოდ არ არის საკმარისი კვალიფიციური მუშაკები, რომლებსაც ესმით კრიპტოგრაფია. გარდა ამისა, რესპონდენტთა 17%-მა აღნიშნა პროექტის განხორციელების ხანგრძლივი დრო და თითქმის 40%-მა აღნიშნა, რომ სასიცოცხლო ციკლის მართვა შეიძლება შრომატევადი იყოს. ბევრისთვის ბარიერი არის PKI გადაწყვეტილებების მაღალი ღირებულება.

გამოკითხვის შედეგად გავიგეთ, რომ ბევრი კომპანია კვლავ იყენებს საკუთარ შიდა სერტიფიცირების უფლებამოსილებას, მიუხედავად იმისა, რომ იგი ქმნის კომპანიის IT რესურსებს.

კვლევამ ასევე მიუთითა ციფრული ხელმოწერების გამოყენების ზრდაზე. გამოკითხვის რესპონდენტთა 50%-ზე მეტმა განაცხადა, რომ ისინი აქტიურად იყენებენ ციფრულ ხელმოწერებს შინაარსის მთლიანობისა და ავთენტურობის დასაცავად.

რაც შეეხება იმას, თუ რატომ აირჩიეს ციფრული ხელმოწერები, გამოკითხულთა 53%-მა განაცხადა, რომ შესაბამისობა იყო მთავარი მიზეზი, 60%-მა კი უქაღალდის ტექნოლოგიების გამოყენება დაასახელა. ციფრულ ხელმოწერებზე გადასვლის ერთ-ერთ მთავარ მიზეზად დროის დაზოგვა დასახელდა. ისევე როგორც დოკუმენტების დამუშავების დროის შემცირების შესაძლებლობა არის PKI ტექნოლოგიის გამოყენების ერთ-ერთი მთავარი უპირატესობა.

დაშიფვრა DevOps-ში

კვლევა არ იქნება სრული, თუ რესპონდენტებს არ დაუსვამთ კითხვას დაშიფვრის სისტემების გამოყენების შესახებ DevOps-ში, სწრაფად მზარდ ბაზარში, რომელიც სავარაუდოდ 13 წლისთვის 2025 მილიარდ დოლარს მიაღწევს. მიუხედავად იმისა, რომ IT ბაზარი ძალიან სწრაფად გადავიდა DevOps (განვითარება + ოპერაციები) მეთოდოლოგიაზე თავისი ავტომატიზირებული ბიზნეს პროცესებით, მოქნილობით და Agile მიდგომებით, სინამდვილეში ეს მიდგომები ხსნის უსაფრთხოების ახალ რისკებს. ამჟამად, DevOps-ის გარემოში სერთიფიკატების მიღების პროცესი რთული, შრომატევადი და შეცდომებისადმი მიდრეკილია. აი, რას აწყდებიან დეველოპერები და კომპანიები:

• სულ უფრო მეტი გასაღები და სერთიფიკატი ჩნდება, რომლებიც მანქანების იდენტიფიკატორებს ასრულებენ დატვირთვის ბალანსერებში, ვირტუალურ მანქანებში, კონტეინერებში და სერვისის ქსელებში. ამ იდენტობების ქაოტური მართვა სწორი ტექნოლოგიის გარეშე სწრაფად იქცევა ძვირადღირებულ და სარისკო პროცესად.
• სუსტი სერთიფიკატები ან სერტიფიკატის მოულოდნელი ვადის გასვლა, როდესაც არ არის კარგი პოლიტიკის აღსრულებისა და მონიტორინგის პრაქტიკა. ზედმეტია იმის თქმა, რომ ასეთი შეფერხება მნიშვნელოვან გავლენას ახდენს ბიზნესზე.

ამიტომაც GlobalSign გთავაზობთ გამოსავალს PKI DevOps-ისთვის, რომელიც პირდაპირ აერთიანებს REST API, EST ან ღრუბელი ვენაფი, რათა დეველოპერულმა გუნდმა განაგრძოს მუშაობა იმავე ტემპით უსაფრთხოების შეწირვის გარეშე.

საჯარო გასაღების კრიპტოსისტემები უსაფრთხოების ერთ-ერთი ყველაზე ფუნდამენტური ტექნოლოგიაა. და ასე დარჩება უახლოეს მომავალში. და იმ ფეთქებადი ზრდის გათვალისწინებით, რომელსაც ჩვენ ვხედავთ IoT სექტორში, ჩვენ ველოდებით კიდევ უფრო მეტ PKI-ს განლაგებას წელს.

წყარო: www.habr.com