Wir sind von unserer eigenen Genialität in der Kryptografie so fasziniert, dass wir vergessen, dass die meisten ruhenden Daten – verborgen in Datenbanken – unverschlüsselt sind.
Ein Beispiel dafür: Eine Skyhigh-Analyse von Verschlüsselungskontrollen ergab, dass 81,8 % der Cloud-Dienstanbieter Daten bei der Übertragung mit SSL oder TLS verschlüsseln, aber nur 9,4 % der Anbieter die Daten verschlüsseln, sobald sie in der Cloud gespeichert sind. Dadurch wird die wachsende Zahl von Organisationen, die uneingeschränkten Zugriff auf Cloud-Datenbanken und AWS-S3-Speicher-Buckets gewähren, zu einem Albtraum, der nur darauf wartet, Wirklichkeit zu werden.
Die heutigen Cyberabwehrmaßnahmen beruhen in hohem Maße darauf, dass selbst die leistungsfähigsten klassischen Supercomputer nahezu unvorstellbar lange brauchen würden, um die kryptografischen Algorithmen zu entschlüsseln, die unsere Daten, Computernetzwerke und andere digitale Systeme schützen.
Aus <https://it.slashdot.org/story/18/12/05/2342226/quantum-computers-pose-a-security-threat-that-were-still-totally-unprepared-for>
Diese Aussage ist unbestreitbar wahr. Das Problem ist, dass Kryptografie unsere Daten, Computernetzwerke und andere digitale Systeme nicht vollständig schützt. Sie schützt Daten während der Übertragung und, wenn wir Glück haben, auch im Ruhezustand. Sie ergänzt die Zugriffskontrolle für kritische Systeme. In Wirklichkeit müssen die „Netzwerke“ und „Systeme“ Daten jedoch im unverschlüsselten Klartext einsehen können, um sie zu verarbeiten und Logik auszuführen. Ungeschützte Anwendungen und fehlende Sicherheitsupdates stellen für Unternehmen ein größeres Risiko dar als digitale Spanner.
Das ist letztlich der Grund, warum es immer häufiger zu Sicherheitsverletzungen kommt. Nicht etwa, weil die Daten bei der Übertragung oder im Ruhezustand nicht verschlüsselt wären, sondern weil Anwendungen und APIs die Daten in verschlüsselter Form nicht verarbeiten können. Sie müssen entschlüsselt werden und sind dann dem Risiko einer Offenlegung ausgesetzt. Und Schwachstellen ziehen Angreifer an.
Die Anwendungen und APIs, die mit diesen unverschlüsselten Daten interagieren und sie verarbeiten, stellen eine größere Bedrohung für die Sicherheit und den Schutz der Daten dar als die Entschlüsselung quantenbasierter Kryptografie. Das ist einer der Gründe, warum sie so häufig angegriffen werden. Laut einer F5 Labs-Analyse von Sicherheitsverletzungen über einen Zeitraum von zehn Jahren „waren Anwendungen bei 53 % der Sicherheitsverletzungen das ursprüngliche Angriffsziel.“ Sie sind nicht nur der einfachste Weg zu den Daten, sondern auch eine der wenigen verbliebenen Stellen im zunehmend verschlüsselten Datenpfad, an denen Daten unverschlüsselt vorliegen und für diejenigen, die danach suchen, ohne Weiteres nutzbar sind.
Wir sind heutzutage gegenüber Datenschutzverletzungen nahezu abgestumpft, weil sie mit so alarmierender Häufigkeit auftreten, dass Meldungen darüber, wie über eine Anwendung Millionen von Datensätzen aus einer Datenbank entwendet wurden, inzwischen zum Alltag gehören. Und das trotz aller Bemühungen, uns zur Verschlüsselung zu zwingen – also HTTPS statt HTTP zu verwenden. Und obwohl Browser kryptografische Standards für die Algorithmen und Schlüssellängen durchsetzen, mit denen Daten vor „neugierigen“ Blicken geschützt werden.
Wenn die heutigen „Cyberabwehrmaßnahmen“ tatsächlich in hohem Maße auf die Stärke der Kryptografie angewiesen sind, dann stecken wir wirklich in Schwierigkeiten. Denn die Stärke der Kryptografie allein verhindert nicht die Sicherheitsverletzungen und den Abfluss von Daten, die unsere Newsfeeds beherrschen und unsere Posteingänge verstopfen. Entscheidend sind die Stärke – und zunehmend auch die Intelligenz –, mit der wir einen Angriff erkennen und verhindern können, der zu einem Datenverlust führt.
Verschlüsselter Schadcode bleibt Schadcode. Verschlüsselte gestohlene Zugangsdaten, die massenhaft in Authentifizierungssystemen von Anwendungen ausprobiert werden, bleiben gestohlene Zugangsdaten. Die Abschaffung von Middleboxes beseitigt nicht die Gefahr, dass ein anfälliger Web- oder Anwendungsserver einen Exploit ausführt, um Zugriff auf wertvolle, unverschlüsselte Daten zu erlangen.
Es reicht nicht aus, unsere Fähigkeit zur Stärkung der Verschlüsselung voller Bewunderung zu betrachten, wenn diese Verschlüsselung zugleich jene Angriffe, die Anwendungen und APIs auszunutzen drohen, direkt ins Herz unserer digitalen Wirtschaft trägt. Der Schutz unserer digitalen Ressourcen (Anwendungen) und der Kanäle, über die auf sie zugegriffen wird (APIs), erfordert einen ganzheitlicheren Ansatz für die Anwendungssicherheit, der neben starker Kryptografie auch Bedrohungsinformationen, Identitätsmanagement und Angriffserkennung umfasst.
Über den Autor
Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.
Weitere Blogbeiträge von Lori Mac VittieÄhnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...