Sichtbarkeit im Zeitalter der Alles-Verschlüsselung

Wir leben, wie es das chinesische Sprichwort besagt, in interessanten Zeiten. Ein wachsendes Bewusstsein für Vertraulichkeit und Integrität hat zu zahlreichen Bemühungen geführt, praktisch „alles“ zu verschlüsseln.

Ob es sich um Websites und Applications (SSL Everywhere) oder interne Kommunikation (SSH) handelt, wird Verschlüsselung oft als Grundlage der Sicherheitsstrategie jeder Organisation angesehen. 

Und doch ist Verschlüsselung kein Allheilmittel und kann tatsächlich genauso viele Probleme schaffen, wie sie löst. Durch die Ende-zu-Ende-Verschlüsselung sind die Kommunikation (und die darin möglicherweise enthaltenen Daten) vor Kontrolle und neugierigen Blicken geschützt, und das ist grundsätzlich eine gute Sache. Außer dann, wenn es Sicherheitsexperten daran hindert, die unzähligen Werkzeuge in seinem Infrastruktur-Werkzeugkasten zu nutzen, um andere Aspekte der Sicherheit zu gewährleisten.

Denn wir alle wissen, dass verschlüsselte Schaddaten immer noch Schaddaten sind und dass die verschlüsselte, nicht autorisierte Befehlsausführung immer noch, nun ja, nicht autorisiert ist.

Was uns fehlt, ist die Sichtbarkeit , also die Fähigkeit zu „sehen“, wer was tut, von wo aus und warum.

Der Verlust der Transparenz kann zu nutzlosen Investitionen in die Sicherheitsinfrastruktur führen. Es geht die Transparenz verloren, wodurch die IT-Abteilung Datenlecks nicht erkennen und verhindern kann. Es geht die Transparenz verloren, wodurch die Durchsetzung von Richtlinien, die Geräte, Dinge und Systeme vor unberechtigter Zugriff schützen, verhindert werden kann. Untersuchungen von Gartner haben ergeben, dass „80 % der Organisationen, die diese Sicherheitsgeräte [NGFW, IPS, UTM] verwenden, es Cyberkriminellen möglicherweise ermöglichen, die vorhandenen Sicherheitskontrollen der Organisation zu umgehen, indem sie SSL-Tunnel nutzen, um Malware in das Unternehmensnetzwerk einzuschleusen …“ (Verstecken sich Cyberkriminelle in Ihrem SSL-Verkehr?)

Ein Unternehmen zu führen und dabei die schadensverursachenden Bedrohungen zu ignorieren, ist nicht gerade das Ergebnis, das man sich durch die Verschlüsselung aller Dinge erhofft.

Wie bei der Macht muss es ein Gleichgewicht geben. Um Vertraulichkeit und Datenschutz zu gewährleisten, muss die Kommunikation verschlüsselt werden. Gleichzeitig müssen Sicherheitsrichtlinien und -praktiken mit der notwendigen Transparenz ausgestattet werden, um sie durchsetzen und ausführen zu können.

Aus diesem Grund sind „intelligente“ Vermittler in jeder Architektur, die eine umfassende Sicherheitsstrategie unterstützt, ein Muss. Vermittler, die in der Lage sind, die durch die Verschlüsselung gebotene Sicherheit und Privatsphäre aufrechtzuerhalten, ohne die zur Erkennung und Verhinderung böswilliger oder nicht autorisierter Kommunikation erforderliche Transparenz zu beeinträchtigen. Unabhängig davon, ob diese Vermittler als Endpunkte für verschlüsselte Kommunikationen fungieren oder einfach einen Einblick in das bieten, was sich hinter dem kryptografisch kodierten Datenstrom verbirgt, sind diese architektonischen Gateways zwingend erforderlich, um in diesem Zeitalter der umfassenden Verschlüsselung Transparenz zu gewährleisten.