Podjetje GlobalSign , kako in zakaj podjetja sploh uporabljajo infrastrukturo javnih ključev (PKI). V anketi je sodelovalo približno 750 oseb: tudi tem so bila postavljena vprašanja o digitalnih podpisih in DevOps.
Če niste seznanjeni s terminom, PKI omogoča sistemom varno izmenjavo podatkov in preverjanje lastnikov certifikatov. vključujejo avtentifikacijo digitalnih certifikatov in javne ključe za šifriranje ter kriptografsko preverjanje pristnosti podatkov. Vsaka zaupna informacija se zanaša na sistem PKI, GlobalSign pa velja za enega vodilnih svetovnih ponudnikov tovrstnih sistemov.
Torej, poglejmo nekaj ključnih ugotovitev raziskave.
Kaj se šifrira?
Na splošno PKI v neki obliki uporablja 61,76% podjetij.
Eno izmed glavnih vprašanj, ki je zanimala raziskovalce — kateri konkretni sistemi šifriranja in digitalni certifikati se uporabljajo medrespondenti. Ni presenetljivo, da je približno 75% odgovorilo, da uporablja javne certifikate , približno 50% pa se zanaša na zasebne SSL in TLS. To je najpogostejša uporaba sodobne kriptografije — šifriranje omrežnega prometa.
To vprašanje so postavljali podjetjem, ki so pozitivno odgovorila na prejšnje vprašanje o uporabi sistemov PKI, in dopuščalo je več možnosti odgovorov.
Tretjina udeležencev (30%) je povedala, da uporablja certifikate za digitalne podpise, medtem ko se nekoliko manj zanašajo na PKI za zaščito e-pošte (). S/MIME je široko razširjen protokol za pošiljanje šifriranih sporočil z digitalnim podpisom in način zaščite uporabnikov pred phishingom. Glede na rast phishing napadov je razumljivo, zakaj je to vse bolj priljubljena rešitev za zagotavljanje varnosti podjetij.
Oglede smo si tudi, zakaj podjetja sprva izbirajo tehnologije, ki temeljijo na PKI. Več kot 30% jih je navedlo skalabilnost interneta stvari (), 26% pa meni, da se PKI lahko uporablja v najrazličnejših panogah. 35% anketirancev je poudarilo, da cenijo PKI zaradi zagotavljanja celovitosti podatkov.
Skupne težave pri uvedbi
Čeprav vemo, da ima PKI veliko vrednost za organizacije, je kriptografija precej kompleksna tehnologija. Zaradi tega se pojavljajo težave pri uvedbi. Vprašali smo, kaj menijo anketiranci o glavnih težavah pri uvedbi. Ugotovili smo, da je ena največjih težav pomanjkanje notranjih IT-virov. Preprosto ni dovolj usposobljenih delavcev, ki bi se spoznali na kriptografijo. Poleg tega je 17 % anketirancev poročalo o dolgem času uvedbe projektov, skoraj 40 % pa je omenilo, da upravljanje življenjskega cikla lahko vzame veliko časa. Za mnoge je ovira visoka cena specializiranih PKI rešitev.
Iz anketnih podatkov smo izvedeli, da mnoge podjetja še vedno uporabljajo lastni notranji overiteljski center, kljub obremenitvi, ki jo povzroča na IT-vire podjetja.
Raziskava je prav tako pokazala na povečano uporabo digitalnih podpisov. Več kot 50 % anketirancev je navedlo, da aktivno uporabljajo digitalne podpise za zaščito celovitosti in avtentičnosti vsebine.
Kar zadeva razlog, zakaj so izbrali digitalne podpise, je 53 % anketirancev povedalo, da je glavni razlog skladnost z regulativnimi zahtevami, 60 % pa je izpostavilo uvedbo brezpapirnih tehnologij. Kot en izmed glavnih razlogov za prehod na digitalne podpise je varčevanje s časom. Tako kot tudi možnost skrajšanja časa obdelave dokumentov — ena izmed glavnih prednosti uporabe tehnologije PKI.
Šifriranje v DevOps
Raziskava ne bi bila popolna, če anketirancev ne bi vprašali o uporabi šifrirnih sistemov v DevOps — to je hitro rastoč trg, za katerega napovedujejo, da bo dosegel 13 milijard dolarjev do leta 2025. Čeprav se je IT trg zelo hitro preusmeril na metodologijo DevOps (razvoj + delovanje) z njenimi avtomatiziranimi poslovnimi procesi, prilagodljivostjo in agilnimi pristopi, pa v resnici ti pristopi odpirajo nove varnostne tveganja. V trenutku je proces pridobivanja certifikatov v okolju DevOps kompleksen, zamuden in dovzeten za napake. S čim se srečujejo razvijalci in podjetja:
- Vedno več ključev in certifikatov, ki služijo kot identifikatorji naprav v ravnotežnih obremenitvah, virtualnih napravah, kontejnerjih in storitvenih omrežjih. Kaotično upravljanje teh identifikatorjev brez ustrezne tehnologije se hitro spremeni v drage in tvegane procese.
- Šibki certifikati ali nepričakovano potekli certifikati, kadar primanjkuje ustrezne prakse izvajanja politik in nadzora. Očitno je, da takšni izpadi pomembno vplivajo na podjetje.
Zato GlobalSign ponuja rešitev , ki se neposredno integrira z REST API, EST ali , tako da ekipa razvijalcev nadaljuje z delom v prejšnjem tempu, ne da bi žrtvovala varnost.
Kriptografski sistemi z javnim ključem so ena od najbolj temeljnih varnostnih tehnologij. In tako bo ostalo tudi v bližnji prihodnosti. Glede na eksplozivno rast, ki jo opazujemo v sektorju IoT, letos pričakujemo še več uvedb sistemov PKI.
Izvor: habr.com
