Adoptie van public key infrastructure stijgt sterk

01-11-2020 | door: Wouter Hoeffnagel

Adoptie van public key infrastructure stijgt sterk

Organisaties vergroten snel de omvang, scope en schaal van hun databeveiligingsinfrastructuur. Dit wordt weerspiegeld in een enorme toename van de adoptie van public key infrastructure (PKI) door organisaties wereldwijd. PKI vormt de kern van bijna elke IT-infrastructuur en maakt beveiliging mogelijk voor kritieke digitale initiatieven zoals cloud, mobiele apparaten, digitale identiteiten en het Internet of Things (IoT).

Dit blijkt uit het jaarlijkse 2020 Global PKI and IoT-trends onderzoek, uitgevoerd door het Ponemon Instituut in opdracht van het Entrust-bedrijf nCipher Security. Het onderzoek is gebaseerd op feedback van meer dan 1.900 IT security-professionals in 17 landen, waaronder Nederland.

IoT, authenticatie en cloud

Terwijl organisaties steeds afhankelijker worden van digitale informatie en worden geconfronteerd met steeds geavanceerdere cyberaanvallen, vertrouwen zij op PKI om de toegang tot data te beheren en de identiteit van mensen, systemen en apparaten op enorme schaal vast te stellen. IoT is de snelst groeiende trend die de implementatie van PKI-applicaties stimuleert, een stijging van 26% in de afgelopen vijf jaar tot 47% in 2020. Cloudgebaseerde services worden genoemd als de op een na grootste drijfveer door 44% van de respondenten.

TLS/SSL-certificering voor publieke websites en services wordt het vaakst genoemd als use case voor PKI credentials (84%). Publieke, cloudgebaseerde applicaties zagen de grootste jaar-op-jaar groei. Deze worden door 82% van de respondenten genoemd, wat een toename is van 27% ten opzichte van 2019, gevolgd door enterprise gebruikersauthenticatie genoemd door 70% van de respondenten, een toename van 19% ten opzichte van 2019. Allemaal onderstrepen ze de cruciale behoefte van PKI bij het ondersteunen van core applicaties voor organisaties.

Het gemiddelde aantal certificaten dat een organisatie nodig heeft voor beheer groeide in 2020 met 43% ten opzichte van het voorgaande jaar, van 39.197 naar 56.192 certificaten, wat erop wijst dat enterprise certificate management een cruciale vereiste is. De toename komt waarschijnlijk door de transitie naar de kortere geldigheidsduur van certificaten en de sterke groei in use cases voor cloud- en enterprise-gebruikersauthenticatie.

Uitdagingen, veranderingen en onzekerheid

Het 2020-onderzoek van nCipher en Ponemon laat tevens zien dat IT security-professionals ook nieuwe uitdagingen hebben, bijvoorbeeld om applicaties PKI te laten gebruiken. Meer dan de helft (52%) gaf aan dat gebrek aan inzicht in de beveiligingsmogelijkheden van bestaande PKI’s de grootste uitdaging is, een toename van 16% ten opzichte 2019. Dit probleem onderstreept het gebrek aan cybersecurity-expertise die beschikbaar is binnen organisaties en de behoefte voor PKI-specialisten die op maat gemaakte enterprise roadmaps kunnen creëren op basis van security en operationele best practices. Respondenten benoemden als kritieke uitdagingen hun onvermogen om legacy applicaties aan te passen en dat het voor bestaande PKI’s niet mogelijk is nieuwe applicaties te ondersteunen - beiden 51%.

Als het gaat om het inzetten en beheren van PKI, worden security-professionals het meest uitgedaagd door organisationele problemen zoals onduidelijk eigenaarschap, onvoldoende skills en onvoldoende middelen. Cijfers betreffende de inzet van PKI, laten een duidelijke trend zien richting een meer gediversifieerde aanpak, waarbij in sommige landen as-a-service-aanbiedingen steeds vaker zullen voorkomen dan on-premises-aanbiedingen.

De twee grootste pijnpunten van PKI-veranderingen en -onzekerheid komen van nieuwe applicaties zoals IoT (52%) en externe mandaten en standaarden (49%). Daarnaast geeft 24% van de respondenten aan dat regelgeving in toenemende mate de implementatie van applicaties die PKI gebruiken stimuleert.

Security-praktijken lopen niet gelijk aan groei

In de komende twee jaar zal gemiddeld 41% van de IoT-apparaten primair gebruik maken van digitale certificaten voor identificatie en authenticatie. Encryptie voor IoT-apparaten, platformen en opslagplaatsen voor data bedraagt, ondanks groei, slechts 33% - waardoor gevoelige data blootgesteld kan worden. Respondenten benoemen verschillende bedreigingen voor IoT-security, waaronder het feit dat malware of andere aanvallen de functie van IoT-apparaten aanpassen (68%) en de overname van het apparaat op afstand door een ongeautoriseerde gebruiker (54%). Echter beoordelen respondenten controles die relevant zijn voor het beschermen tegen malware - zoals het veilig leveren van patches en updates aan IoT-apparaten - als minst belangrijk op de lijst van de vijf belangrijkste IoT-security-mogelijkheden.

Het US National Institute van Standards en Technology (NIST) raadt aan dat cryptografische modules voor certificate authorities (CA’s), key recovery servers en OCSP responders gevalideerd zouden moeten worden op FIPS 140-2 level 3 of hoger. 39% van de respondenten in dit onderzoek gebruikt hardware security modules (HSM’s) om hun PKI’s te beschermen, onder meer om de private keys voor hun root-, uitgevende- beleids-CA’s te beheren. Toch geeft slechts 12% aan dat zij HSM’s gebruiken in hun OSCP-installaties, wat duidt op een significant gat tussen best practices en geobserveerde practices.

Nederland

De belangrijkste uitkomsten op basis van de antwoorden van Nederlandse respondenten die deelnamen aan het onderzoek zijn:

  • 49% van de Nederlandse organisaties vertrouwt op interne corporate CA’s;
  • Nederlandse respondenten gebruiken online certificate status protocols (OCSP) vaker dan geautomatiseerde CRL’s voor het intrekken van certificaten (49% tegenover 34%);
  • Gemiddeld zijn er 8.16 CA’s per organisatie (#3 in de wereld);
  • Gemiddeld zijn er 8.36 verschillende applicaties in een organisatie waar PKI certificeringen voor beheert (#6 in de wereld);
  • 83% van de respondenten (tegenover 63% wereldwijd) rapporteert dat er geen duidelijk eigenaarschap is voor het inzetten en beheren van PKI (#1 in de wereld). Daarnaast geeft 62% aan dat er niet genoeg middelen zijn om PKI te implementeren en beheren;
  • 55% van de Nederlandse respondenten geeft aan dat externe mandaten en standaarden de grootste gebieden van verandering en onzekerheid zijn in de ontwikkeling van PKI;
  • 55% van de Nederlandse respondenten geeft aan dat cloudgebaseerde services de meest belangrijke drijfveer is voor de ontwikkeling van applicaties die gebruikmaken van PKI;
  • Respondenten geven aan meer dan gemiddeld gebruik te maken van beveiligingscontroles voor hun PKI, waaronder een veilige fysieke locatie (73% tegenover 49% wereldwijd gemiddelde), geïsoleerde netwerken (43% tegenover 22% wereldwijd gemiddelde), formele security-practices (54% tegenover 42% wereldwijd gemiddelde), quorums en duale controles (29% tegenover 14% wereldwijd gemiddelde) en multifactor authenticatie voor admins (87% tegenover 57% wereldwijd gemiddelde);
  • FIPS heeft meer invloed op PKI-certificeringen van Common Criteria (68% tegenover 57%), wat de wereldwijde trend dat CC meer invloed heeft tegen spreekt;
  • Het beschermen van de vertrouwelijkheid en integriteit van gegevens wordt beoordeeld als de beste IoT-beveiligingsfunctie, wat de hoogste score in het onderzoek is met 3,7 op 5.

Core enterprise applicaties ondersteunen

“PKI ondersteunt de veiligheid van zowel de zakelijke als de consumentenwereld, van het digitaal ondertekenen van transacties en applicaties die zowel de bron als integriteit bewijzen, tot en met het ondersteunen van authenticatie van smartphones, game consoles, paspoorten, tickets voor openbaar vervoer en mobiel bankieren”, zegt Larry Ponemon, oprichter van het Ponemon Instituut. “Het 2020 Global PKI- en IoT-trends onderzoek laat een stijging zien in het gebruik van PKI-credentials voor cloudgebaseerde applicaties en gebruikersauthenticatie, wat het belang benadrukt van PKI in de ondersteuning voor core enterprise applicaties.”

“We zien toenemende afhankelijkheid van PKI afgewisseld met worstelingen van interne teams om dit aan te passen naar nieuwe markten - wat op zijn beurt de verandering van traditionele PKI-implementatiemodellen en methoden stimuleert”, zegt John Grimm, vice president strategy for digital solutions bij Entrust. “In nieuwe markten, zoals IoT, slagen organisaties er duidelijk niet in prioriteit te geven aan beveiligingsmechanismen zoals firmware signing die de meest urgente bedreigingen, zoals malware, zouden kunnen tegengaan. En met een massale toename in uitgegeven en verworven certificaten die gevonden zijn in dit onderzoek, is het belang van geautomatiseerd certificaatbeheer, een flexibele PKI-implementatiebendaring en sterke, op best practices gebaseerde security inclusief HSM’s, nog nooit zo groot geweest.”

Het 2020 Global PKI en IoT-trends onderzoek is hier beschikbaar.

Terug naar nieuws overzicht
Cloud