Exponentiële groei aan sleutels en certificaten vraagt om andere denkwijze en aanpak

Door Pasqualle Verwoerdt

Al bij de oude Grieken (Scytale) en in de tijd van Caesar (Caesarcode) onderkende men het belang van cryptografie voor het beschermen van geheimen en boodschappen. In de tijd van Alan Turing waren de encryptie mechanismes (Lorenz en Enigma) relatief makkelijk te kraken. Het lukte Turing om geautomatiseerd een groot aantal berekeningen en ‘trial and error methode’ toe te passen en de codes van de encryptie apparatuur van het Duitse leger te kraken. Encryptie was lange tijd een zaak van het leger en wiskundigen. Met de komst van de computer werd het mogelijk de versleuteling (cryptografie) zeer snel uit te voeren en voor verschillende doeleinden in te zetten. De zelfde computer bood ook weer uitkomst voor het kraken van de versleuteling.

In ons moderne digitale leven is encryptie niet meer weg te denken. Dagelijks hebben we ermee te maken, denk aan Internetbankieren, pinnen, slimme meters, IoT, auto’s, OV chipkaart, websites en online shopping; kortom we ontkomen er niet aan al zouden we dat soms graag willen. Nu onze samenleving op alle vlakken verder digitaliseert en onze privacy een steeds groter goed wordt; is de afhankelijkheid en noodzaak voor cryptografie exponentieel toegenomen. Data (al dan niet persoonsgegevens) wordt het best beschermd door deze te versleutelen; dit wordt door overheid en bedrijfsleven onderstreept. Het NCSC¹ en ook Enisa² hechten steeds meer waarde aan versleuteling en sleutelbeheer.

Meer encryptie betekent meer afhankelijkheid van sleutels en certificaten.
Helaas vertrouwen de meeste organisaties de opslag en uitgifte van deze cruciale sleutels en certificaten aan software toe. Dit is geen verstandige keuze als je je bedenkt dat sleutelmateriaal in software pseudo random wordt gegenereerd. Er zijn tal van voorbeelden waarbij crypto-analisten en cybercriminelen in staat zijn om vrij eenvoudig delen van een sleutel in software aan te vallen waardoor uiteindelijk de hele sleutel kan worden achterhaald. De gevolgen zijn niet te overzien en het melden van de security breach aan de autoriteiten is wellicht nog wel het gene waar je je op dat moment het minst zorgen om maakt, de continuïteit van het bedrijf staat dan op het spel. Door (gecertificeerde) hardware te gebruiken voor sleuteluitgifte en -opslag kunnen we dit voorkomen. Bij het gebruik van een Hardware Security Module (HSM) staat het sleutelmateriaal namelijk onder het regime van de HSM. Buiten de HSM staat alleen een “associatie” en NIET de sleutel zelf; deze sleutel zit ten alle tijden veilig opgeslagen in de gecertificeerde hardware. Zo wordt elk risico tot een minimum beperkt.

Vanuit “goed huisvaderschap” is het gebruik van HSM’s in deze tijd eigenlijk een no-brainer. Daarnaast biedt het ook uitkomst om te voldoen aan regelgeving als de AVG en GDPR. De AVG en GDPR heeft het over dataprotectie waarbij security termen als anti virus, ips/ids, siem, security intelligence, soc en firewalling NERGENS voorkomen in deze specifieke regelgeving terwijl er zeker 19 keer gesproken wordt over Encryption of Pseudonimisatie. Er wordt dus sterk de nadruk gelegd op protectie van de Data zelf. De definitie van data protectie die men aanhoudt is:

Pseudonimisatie / encryptie + key management + access control.

Dat is ook logisch als je je bedenkt dat het pseudonimiseren of encrypten van data een veel betere strategie is dan het koortsachtig voorkomen van een lek. De impact van een inbreuk of lek wordt geminimaliseerd omdat de data is encrypt en niet meer bruikbaar voor onbevoegden. In combinatie met goed key management en access control kan worden aangetoond dat men “in control” is aan de interne organisatie en aan de externe authoriteiten.

 

Waar moeten we onze denkwijze rondom sleutels en certificaten aanpassen?
In het kader van goed huisvaderschap en aangescherpte regelgeving moeten we bouwen aan een fundamentele en effectieve security basis door de HSM centraal te stellen binnen de infrastructuur als Trust Anchor. Vanuit deze gedachte kunnen alle verschillende toepassingen die we kennen en certificaten of sleutels die we gebruiken of genereren, gecentraliseerd in de HSM worden beheerd (met name de private key’s). De toepassing van een HSM is voor elke organisatie haalbaar maar begin laagdrempelig of op de plek waar de meeste pijn zit. Van daaruit kan de HSM stap voor stap gaan dienen als Trust Anchor voor allerlei toepassingen (we moeten meer gaan denken in de richting van HSM-as-a-Service, die we in onze interne omgeving kunnen inzetten).
Encryptie toepassen is altijd de beste keuze maar maak dan ook de juiste keuze als het gaat om aanmaak en beheer van onze sleutels en certificaten. Met HSM als Trust Anchor kunnen we de exponentiële groei aan sleutels en certificaten op het allerhoogste niveau beveiligen.

 

Bronnen en naslag
¹NCSC: ICT Beveiligingsrichtlijnen voor Transport Layer Security (TLS); Met name H3, H4 en Appendix :Verdere overwegingen
¹NCSC: Postkwantum-cryptografie;
²Enisa: Privacy and Data Protection by Design – From Policy to engineering
²Enisa: Algorithms, Key Sizes and Parameters Report

Encryptie in de toekomst

 

Pasqualle Verwoerdt
Business Manager Avensus High Grade Security.

 

Avensus High Grade Security beschermt de meest kritische data vanuit het standpunt dat encryptie de beste beveiliging is zolang de organisatie de sleutels zelf onder controle houdt. Het gaat ons daarbij niet alleen om het leveren van de beste oplossing voor informatiebeveiliging; het is ook onze taak mensen en organisaties bewust te maken van de risico’s. Hierin zijn alle security assets van belang.

Pasqualle is bereikbaar op pverwoerdt@avensus.nl

Download dit artikel in PDF

Encryptie en Key Management

mautic is open source marketing automation