- Anzeigen -


Sie sind hier: Home » Markt » Interviews

Herausforderungen in der Verschlüsselung


"Die Wirtschaft kann wahrscheinlich gar nicht abschätzen, welcher Schaden durch unverschlüsselte Kommunikation entsteht"
Für den umfassenden Verschlüsselungsbereich des "Internet der Dinge, IoT" sind insbesondere die "Elliptischen Kurven" in den Krypto-Operationen wichtig

- Anzeigen -





SwissSign steht für Schweizer Qualität, für Sicherheit und für Vertrauen. Als Mitglied wichtiger Zusammenschlüsse beteiligt sich die Zertifizierungsstelle (CA – Certificate Authority) aus der Schweiz rege an der Weiterentwicklung der Sicherheit im Internet. Markus Venetz, Head of Certificate Services bei SwissSign, sprach nun mit der PSW Group, Full-Service Internetprovider mit Schwerpunkt auf IT-Sicherheit, über die Herausforderungen in der Verschlüsselung und Vertrauen im World Wide Web.

Was ist im Jahr 2016 die größte Herausforderung in der Verschlüsselung?

Markus Venetz:
Generell gilt im Jahr 2016 wie in den Jahren zuvor, dass ein Augenmerk auf die Verschlüsselungsalgorithmik und -technologie geworfen werden muss. Stand in 2015 der Wechsel von SHA1 zu SHA2 an, wird SwissSign in den nächsten Jahren beobachten, wann der beste Zeitpunkt für die Einführung von SHA3 erfolgen wird.

Für den umfassenden Verschlüsselungsbereich des "Internet der Dinge, IoT" sind insbesondere die "Elliptischen Kurven" in den Krypto-Operationen wichtig. Hier sind durch den IETF im Januar erstmalig Standards für das Internet festgelegt worden. Aufbauend auf diesen Standards wird nun auch der RFC Standard für TLS bald erweitert und auf allen Plattformen eine einheitliche Nutzung derselben Kurven ermöglichen.

Eine besondere Herausforderung ist, dass viele IoT Geräte fest verdrahtete private Schlüssel haben und sehr häufig alle die gleichen privaten Schlüssel führen. Auch seitens der Industrie ist deshalb diesbezüglich noch einiges an Anstrengung notwendig, damit Verschlüsselung sinnvoll umgesetzt werden kann.

Vielfach ist in Internetforen, in Blogs oder anderen Medien zu lesen, SSL-Zertifikate sollten kostenfrei ausgestellt werden; Validierungsstufen seien lediglich der Versuch von Zertifizierungsstellen, Geld zu kassieren. Wie begegnen Sie diesem Vorwurf?

Venetz:
Die Wertigkeit der Validierung wird primär durch das Bedürfnis des Kunden definiert, welches Risiko zu nehmen er bereit ist. Je höher die Validierungsstufe, desto personalintensiver und wertiger die Identifikation und Sicherheit. Entscheidend gilt es zu präzisieren, dass es hierbei nicht um die Frage von Verschlüsselung und Transportsicherheit geht, sondern dass ein unabhängiger, vertrauenswürdiger Dritter auf Basis geeigneter Prüfung die digitale Identität ausstellt. Die Aufgabe der Zertifikatsdienstanbieter besteht genau darin, als dieser unabhängige Dritte die Identität zu bestätigen.

Wenn bei der Webseite nur die Verschlüsselung und der sichere Transportkanal relevant sind, dann können domänenvalidierte Zertifikate die geeignete Wahl sein. Ist jedoch die Garantie entscheidend, dass der Nutzer sicher sein kann, dass er sich tatsächlich auf der richtigen Webseite einer bestimmten Firma oder Organisation befindet, dann ist ein organisationsvalidiertes oder EV Zertifikat unabdingbar. Kostenfrei bedeutet auch nicht unbedingt ohne Kostenfolgen. So steht z. B. hinter Let’s Encrypt eine Stiftung, die aufgrund vielseitiger Interessen Geld spendet, um den kostenintensiven Betrieb einer Zertifizierungsstelle zu gewährleisten. Fallen die Geldgeber weg, so können auch keine Zertifikate mehr bezogen werden.

Wer selber einmal im Unternehmen eine PKI aufgezogen hat kennt die Aufwände, die alleine bei einer "private PKI" erforderlich sind. Neben Hardware, Backup, Hosting, Schlüsselverwaltung und -erneuerung etc. müssen die Systeme laufend gewartet und geschützt werden. Eine öffentliche CA stellt sich zudem aufgrund Haftungs- und Compliance-Anforderungen einer noch größeren Verantwortung.

So werden die internen Prozesse und Systeme laufend durch Audits geprüft und zertifiziert sowie an die aktuellen Standards der Browser- und Betriebssystemhersteller angepasst.

Wieso lassen sich Ihrer Meinung nach verhältnismäßig wenige Menschen und Unternehmen auf Verschlüsselung ein? Was muss sich ändern, damit Verschlüsselung endlich massentauglich wird?

Venetz:
Verschlüsselung ist vergleichbar mit dem Einbruchsschutz im eigenen Heim. Das Haus wird häufig leider erst dann gesichert, nachdem ein Einbruch stattgefunden hat. Hinzu kommt, dass bei der digitalen Verschlüsselung die Anwendung zur Einbruchssicherung immer noch in vielen Bereichen zu komplex ist. Wir haben festgestellt, dass Firmen die Wichtigkeit der Verschlüsselung erst erkannt haben, nachdem sie ein ungutes Gefühl hatten, weil sie z. B. eine mögliche Kopie ihres Produktes auf einer Messe gesehen hatten. Des Weiteren zeigt sich, dass bei Firmen mit hoher Sensitivität für Verschlüsselung die digitale Transformation einen hohen Stellenwert hat und oft auch zur "Chefsache" erklärt wird.

Der Schlüssel zum Erfolg liegt dabei in einer effektiven Sicherheitspolitik. Das Portfolio der notwendigen Sicherheitsmaßnahmen kostet Geld, deshalb ist es entscheidend, dass der konkrete Nutzen und Mehrwert aufgezeigt werden kann. Gesetzliche Vorgaben wie in Deutschland, wo die Geschäftsführung für den Datenschutz persönlich haftbar gemacht werden kann, untermauern natürlich die Notwendigkeit eines institutionalisierten Sicherheitskonzepts, bei welchem die Verschlüsselung eine signifikante Komponente darstellt.

Ist Verschlüsselung Ihrer Meinung nach Aufgabe der Politik, der Wirtschaft oder des Verbrauchers?

Venetz:
Dies ist meines Erachtens eher eine Frage des "sowohl als auch" als des "entweder oder". Die Politik hat die Aufgabe, ihre Bürger vor Betrug und Missbrauch zu schützen. Das betrifft den persönlichen Datenschutz, den Verbraucherschutz ("sicheres Einkaufen") aber auch die Aufklärung über neue Gefahren im Netz.

Die Wirtschaft wird bei der Verschlüsselung immer das Eigeninteresse vor Augen haben: den Schutz ihrer Daten, ihres Know-hows, der Innovation und des Geschäftsmodells an sich. Zugleich stehen die Wirtschaftlichkeit und damit die Kosten im Fokus. Dies ergibt Chancen und es entwickeln sich daraus immer bessere Verschlüsselungspraktiken oder effizientere Roll-Out Systeme. Damit verringern sich die Aufwände für Setup und Betrieb drastisch und alle profitieren. Die Wirtschaft giert aber auch nach Daten, da diese einen Wert haben und daraus ein äußerst profitables Geschäftsmodell entstanden ist (Stichwort Big Data). Es ist wiederum Aufgabe der Politik, diesen Datenhunger zu zügeln, Monopole zu vermeiden und den gesetzlichen Rahmen zu definieren, um die Bürger zu schützen.

Ähnlich wie beim Eigenheim liegt es aber auch am Verbraucher selbst, sich z. B. über Praktiken des Internetbetrugs zu informieren, dessen Gefahren zu erkennen und zum eigenen Schutz entsprechende Tools, z. B. für die Verschlüsselung, zu nutzen. Und auch als Verbraucher muss man sich immer wieder die Frage stellen, wie viele Daten man von sich unverschlüsselt preisgeben will. Da ist Selbstverantwortung gefragt.

Wie schätzen Sie die Probleme ein, die in der Wirtschaft durch unverschlüsselte Kommunikation entstehen?

Venetz:
Das Problem wird sein, dass die Wirtschaft wahrscheinlich gar nicht abschätzen kann, welcher Schaden durch unverschlüsselte Kommunikation entsteht. Im großen Kontext hat der Fall Snowden eindrücklich gezeigt, welche Dimensionen Überwachungen angenommen haben. Abschließend sind deren Konsequenzen noch nicht absehbar und werden uns noch eine Zeit lang beschäftigen.

So sind auch die wirtschaftlichen Folgen von Kunden, die Opfer von Phishing Mails wurden und sich deswegen auch vom Anbieter abwenden, nur sehr schwer quantifizierbar. Auch Produktpiraterie lässt sich nicht eindeutig auf gestohlene Daten einer unverschlüsselten Kommunikation zurückführen, aber der Zusammenhang ist sicherlich gegeben. Firmen wie Kaspersky, aber auch die Dokumente von Snowden zeigen eindrucksvoll, welche Möglichkeiten zur Datenspionage bereits heute existieren und genutzt werden.
(PSW Group: ra)

eingetragen: 08.05.16
Home & Newsletterlauf: 01.07.16


PSW Group: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Interviews

  • Malware-Infektionen verhüten

    Laut aktueller Securelist ist die Zahl der Angriffe, die auf dem Ausnutzen einer Schwachstelle beruhen 2016 um 24,54 Prozent mit insgesamt 702.026.084 Versuchen angestiegen. Betroffen waren davon 2016 4.347.966 Benutzer, was 20,85 Prozent weniger Betroffene sind als im Jahr zuvor. Die Zahl der Nutzer in Unternehmen, die wenigstens ein Mal von einem solchen Angriff betroffen waren, ist um 28,35 Prozent auf 690.557 angestiegen, was 15,76 Prozent der Gesamtzahl der in Unternehmen betroffenen Nutzer entspricht.

  • DDoS-Attacken und Lösegeldforderungen

    Eine der jüngsten Erhebungen von Kaspersky Lab hat ergeben, dass Cyberkriminelle bei DDoS-Attacken von satten Margen profitieren. Bis zu 95 Prozent seien zu holen, so will Kaspersky herausgefunden haben. DDoS-Angriffe können dabei so ziemlich jeden Preis haben. Die Range reicht von 5 Dollar für eine 300-Sekunden Attacke bis zu 400 Dollar für eine 24 Stunden dauernde. Der durchschnittliche Preis für einen Angriff liegt bei rund 25 Dollar pro Stunde. Und die Experten der Kaspersky Labs haben noch etwas herausgefunden. Würde man bei einer Botnetz-basierten Attacke ein Netz von 1.000 Desktops zugrunde legen würde das den Anbieter etwa 7 Dollar pro Stunde kosten. Das heißt umgerechnet, dass Cyberkriminelle bei einer derartigen Attacke etwa 18 Dollar Profit pro Stunde machen. Dazu kommen dann gegebenenfalls noch Lösegeldforderungen, verbunden mit dem Angebot an das potenzielle Opfer die angedrohte Attacke noch verhindern zu können.

  • Cyberbedrohungen 2017

    Mit welchen Bedrohungen werden sich Unternehmen 2017 vermehrt konfrontiert sehen, welche von ihnen ist der "Spitzenreiter", was tut die Industrie und wie können sich Unternehmen am besten wappnen, wenn es insbesondere um DDoS-Angriffe geht? Dazu beantwortet Guido Erroi, Regional Director DACH beim Spezialisten für DDoS-Abwehr Corero Network Security acht Fragen. Die gesamte Bedrohungslandschaft wird 2017 weiterhin stark in Bewegung sein. Damit müssen sich Unternehmen und Institutionen verstärkt auseinandersetzen. Angreifer sind äußerst erfindungsreich. Und sie sind versiert darin bestehende Schwachstellen auszunutzen und neue Angriffsmethoden zu entwickeln. Das gilt nicht zuletzt für DDoS-Attacken. Die zugrunde liegenden Technologien werden intelligenter und zielgerichteter.

  • Phishing nach wie vor eine beliebte Methode

    Ein nach wie vor wichtiges Bedrohungsszenario sind Phishing-Attacken - sie haben bei Cyberkriminellen nichts an Beliebtheit eingebüßt. Banken und Bank-Kunden werden daher auch künftig Ziel von ausgeklügelten Phishing-Attacken sein. Inhalt dieser Attacken ist der Versuch durch die Kriminellen, die Marke, das Aussehen und den Auftritt eines Bankunternehmens so täuschend echt zu kopieren, dass Nutzer glauben, es bei gefälschten E-Mails mit dem echten Unternehmen zu tun zu haben. John Shier, Sicherheitsexperte bei Sophos, gibt in einem Interview eine Übersicht über die zu erwartenden Angriffe sowie über mögliche Schutzmaßnahmen sowohl durch die Banken selbst wie auch durch Verbraucher.

  • Gegen die "bösen Jungs" zurückschlagen

    Nicht nur das FBI vertritt die nicht ganz unstrittige These, dass Malware mit der richtigen, der "guten", Absicht eingesetzt, gar keine Malware im klassischen Sinne mehr ist. Aber ganz so einfach ist die Sache nicht. Troy Gill, Manager of Security Research und Senior Security Analyst AppRiver, zeigt sich kritisch.