Zusammenfassung der Cybersicherheit für Januar 2022

Die Zusammenfassung dieses Monats diskutiert zwei Fälle, die auf wahrscheinliche Trends hinweisen, mit denen Regierungsbehörden konfrontiert sein werden, wenn es um Cyberangriffe geht. Als Unternehmen, das darauf abzielt, Regierungen und private Organisationen vor Cyberangriffen zu schützen, haben wir Links zu vollständigen Artikeln bereitgestellt, in denen die von uns angebotenen Produkte und Dienstleistungen erörtert werden, die die Cybersicherheit jeder Organisation verbessern. Schließlich besprechen wir auch zwei Service-Updates, die wir unseren Kunden anbieten. Weiter lesen!

Der Bezirk New Mexico wird diesen Januar zum ersten Opfer von Ransomware der lokalen Regierung

Am vergangenen 5. Januar war Bernalillo County, der größte Bezirk in New Mexico, gezwungen, die meisten seiner Regierungsgebäude als Reaktion auf einen Ransomware-Angriff zu schließen. 

Viele der Computersysteme der Bezirksregierung wurden vom Internet getrennt, um Aufzeichnungen und andere sensible Dateien zu schützen. Ebenfalls offline waren die Websites des Landkreises.  

Bis zum 14. Januar erhielten die Einwohner weiterhin keinen Service, wenn es um die Bearbeitung von Immobilientransaktionen, Wählerregistrierungen oder Heiratsurkunden ging. 

Gemäß einer Nachrichten, „die Grafschaft reichte auch eine Notfallbenachrichtigung beim Bundesgericht ein, dass es nicht in der Lage war, die Bedingungen eines Vergleichs mit Bedingungen im Bezirksgefängnis einzuhalten, weil der Ransomware-Angriff den Zugang zu den Überwachungskameras des Gefängnisses verhinderte.“ Die Nichteinhaltung der Bedingungen versetzte die Gefängniseinrichtung in einen Lockdown-Status und schränkte bestimmte Privilegien der Insassen erheblich ein, darunter Freizeit im Freien und Telefonzugang.

Der Cyberangriff wirkte sich auch auf Gerichtssysteme aus und zwang die Mitarbeiter, Backup-Pläne auszuarbeiten, die vorübergehend Strafverfahren ermöglichen könnten. 

Bis Ende Januar hat sich Bernalillo noch immer nicht vollständig von diesem Vorfall erholt.

Wenn Regierungsbehörden keine ernsthaften Schritte zur Verbesserung ihrer Cybersicherheit unternehmen, sind sie weiterhin dem Risiko schwächender Angriffe ausgesetzt. Im Jahr 2020 wurden bekanntermaßen 113 Ransomware-Angriffe gegen lokale Regierungen durchgeführt. Im Jahr 2021 gaben auch 76 Gemeinden zu, denselben Angriff erhalten zu haben.

Fazit von SSL.com: Regierungsbehörden werden auch 2022 ein Ziel von Cyberkriminellen sein. Wenn Sie Teil einer Regierungsbehörde sind, besteht die beste Methode zum Schutz Ihrer Website, Daten und Transaktionen darin, bewährte und bewährte Methoden zu erwerben PKI Dienstleistungen von Profis. Gehe rüber zu Dieser Artikel um zu lesen, wie wir Regierungen dabei helfen, ihre Cybersicherheit zu stärken PKI.

Verteidigungsministerium aufgefordert, sein Internet of Battlefield Things (IOBT) zu sichern

Das Verteidigungsministerium (DOD) entwickelt kontinuierlich das sogenannte „Internet of Battlefield Things“ (IOBT). Dabei handelt es sich um Netzwerke verschiedenster militärischer Ausrüstung, die mit intelligenter Technologie verbunden sind. Dazu gehören Schlachtfeldsensoren, Funkgeräte und Waffen. 

Während IOBT die Fähigkeiten des Militärs erhöht, prädisponiert es es auch für viele Cybersicherheitsprobleme. Je mehr mit dem Internet verbundene Geräte zum IOBT hinzugefügt werden, desto größer werden auch die Einstiegspunkte für Hacker, um das Netzwerk zu kompromittieren. Wenn vertrauliche Informationen und Technologien von Hackern gestohlen werden, kann dies eine Situation auf Leben und Tod bedeuten. Im Jahr 2018 wurde beispielsweise bekannt, dass Fitness-Tracker, die von Militärangehörigen getragen werden, durchdrungen werden können Leck die Bewegung der Truppen, die sie tragen. 

Das US-Verteidigungsministerium reagierte auf die zunehmende Sorge um IOBT mit der Schaffung des Comply to Connect (C2C)-Systems. Wie erklärt von Daniel Goure vom Think Tank Lexington Institute umfasst C2C vier Funktionen: „1) Identifizierung und Validierung neuer Geräte, die mit einem Netzwerk verbunden sind; 2) Bewertung ihrer Einhaltung der DoD-Sicherheitsrichtlinien; 3) kontinuierliche Überwachung dieser Geräte und; 4) Automatisches Beheben von Geräteproblemen, wodurch die Notwendigkeit der Aufrechterhaltung der Cyberhygiene für Cybersicherheitsadministratoren verringert wird.“

Anscheinend hat DoD zweimal gewesen beauftragt vom US-Kongress, C2C konsequent umzusetzen. Bisher haben sich nur die US Navy, das US Marine Corps und mehrere DoD-Elemente an die Anordnung gehalten, wobei die meisten Unterabteilungen des Ministeriums hinterherhinken. 

Das kontinuierliche Wachstum der Public Key Infrastructure (PKI)-Technologie im privaten Sektor stellt eine dringende Gelegenheit für DoD dar, mit Branchenexperten zusammenzuarbeiten, wenn es um die Sicherung ihrer IOBT geht. Diese Partnerschaft wird es dem Verteidigungsministerium ermöglichen, seine Aufgaben sicher auszuführen und sich gleichzeitig an sich ändernde militärische Bedürfnisse anzupassen.

Fazit von SSL.com: SSL.com ist ein Verbündeter der Regierung, wenn es um Cybersicherheit geht. Lesen Dieser Artikel um herauszufinden, wie wir Regierungsbehörden helfen, ihre IoT-Systeme durch Public Key Infrastructure zu schützen (PKI) Technologie.

SSL.com kündigt Unterstützung für an TLS Delegierte Anmeldeinformationen

Wir bei SSL.com geben bekannt, dass wir die Verwendung delegierter Anmeldeinformationen für alle Clients unterstützen. Die Ausstellung delegierter, berechtigungsfähiger Zertifikate kann durch die Verwendung von APIs für die Automatisierung unter Verwendung des ACME-Protokolls erfolgen. Da SSL.com ECDSA verwendet, um das zu implementieren PKI Kunden angeboten werden, sind die von unseren Kunden ausgestellten delegierten Anmeldeinformationen nicht anfällig für Signaturfälschungsangriffe.

Delegierte Anmeldeinformationen sind digital signierte Datenstrukturen, die aus zwei Teilen bestehen: einem Gültigkeitsintervall und einem öffentlichen Schlüssel (zusammen mit dem zugehörigen Signaturalgorithmus). Sie dienen als "Vollmacht" für die Server, die angeben, dass sie berechtigt sind, die zu beenden TLS Verbindung.

Delegierte Anmeldeinformationen wurden mit dem Ziel entwickelt, die Sicherheit zu erhöhen. Daher besitzen sie bestimmte Merkmale, wie sie im IEFT-Entwurf definiert sind. Zu diesen Eigenschaften gehören die folgenden:

• Die maximale Gültigkeitsdauer eines delegierten Ausweises beträgt sieben (7) Tage um die Gefährdung zu minimieren, wenn der private Schlüssel kompromittiert wird. 
• Die delegierten Anmeldeinformationen sind kryptographisch gebunden zum Endteilnehmerzertifikat. Konkret wird der private Schlüssel des End-Entity-Zertifikats verwendet, um die Signatur des DC über einen durch den Credential spezifizierten Algorithmus zu berechnen.
• Delegierte Anmeldeinformationen werden vom Client ausgestellt, was viel einfacher ist als das Erstellen eines von einer Zertifizierungsstelle signierten Zertifikats. Vom Client ausgestellte Zertifikate sind auch hilfreich, um den Dienst auch dann funktionsfähig zu halten, wenn die Zertifizierungsstelle eine Ausfallzeit hat.
• Delegierte Anmeldeinformationen haben per Definition kurze Gültigkeitsdauern. Beim Festlegen der Lebensdauer von delegierten Anmeldeinformationen müssen Server die Zeitverschiebung des Clients berücksichtigen, um die Ablehnung von Zertifikaten zu vermeiden.
• Es gibt keinen Widerrufsmechanismus für delegierte Anmeldeinformationen. Mit Ablauf der Gültigkeitsdauer verlieren sie ihre Gültigkeit.
• Delegierte Anmeldeinformationen sind für die Verwendung in TLS 1.3 oder später. Es gibt eine bekannte Sicherheitslücke, wenn TLS 1.2-Server unterstützen den Austausch von RSA-Schlüsseln, was das Fälschen einer RSA-Signatur über eine beliebige Nachricht ermöglicht.
• Organisationen können vorhandene automatisierte Ausstellungs-APIs wie ACME für die Bereitstellung delegierter Anmeldeinformationen verwenden.
• Delegierte Anmeldeinformationen können nicht in mehreren Kontexten wiederverwendet werden. 

 Lesen Sie mehr zum Thema TLS delegierte Anmeldeinformationen, indem Sie darauf klicken Link zu unserem vollständigen Artikel.

SSL.com führt eSigner CKA vollständig ein

In diesem Januar hat SSL.com eSigner CKA veröffentlicht – ein Microsoft Crypto Next Generation (CNG)-Plug-in, das es Windows-Tools wie certutil.exe und signtool.exe ermöglicht, den eSigner CSC für Codesignaturvorgänge zu verwenden. Es gibt fünf identifizierte Vorteile für Softwareentwickler und Herausgeber bei der Verwendung von eSigner CKA.

1. Verhält sich wie ein virtueller USB-Token – Im Zertifikatsspeicher werden nur digitale Zertifikate angezeigt, denen Windows vertraut. Da eSigner CKA ein von SSL.com (a PKI Unternehmen, das von Windows als Zertifizierungsstelle anerkannt wird), wird ihm ebenfalls Vertrauen entgegengebracht, da es das EV Code Signing-Zertifikat ohne Probleme erfolgreich in den Benutzerzertifikatspeicher laden kann.  
2. Kann direkt auf Windows SignTool verwendet werden – EV Code Signing mit eSigner CKA ist so bequem, dass Sie SignTool buchstäblich nur öffnen und die Befehlszeile eingeben müssen. Wenn Sie lieber Einmalpasswörter auf Ihrem Mobiltelefon erhalten und eine Authentifizierungs-App verwenden, können Sie den manuellen Modus wählen. Wenn Sie Code in Ihrer Software schneller signieren möchten, aber dennoch das gleiche hohe Sicherheitsniveau erhalten möchten, und wenn Sie die Kontrolle über Ihren privaten Schlüssel zum Signieren haben möchten, können Sie sich für den automatisierten Modus entscheiden.
3. Einfache und übersichtliche Benutzeroberfläche – Die benutzerfreundliche Plattform von eSigner CKA spart Softwareunternehmen viel wertvolle Zeit und ermöglicht ihnen, sich auf die eigentliche Entwicklungsarbeit zu konzentrieren. Installieren Sie das Programm, wählen Sie Ihren Signaturmodus aus, geben Sie Ihre Anmeldeinformationen ein und signieren Sie Ihren Code. Alle diese Schritte werden für Sie auf übersichtlichen Bildschirmen dargestellt. Schnelle Installation und noch schnellere Ausführung. 
4. Keine verlorenen Token – eSigner CKA löst die Einschränkung durch die Verwendung physischer Token im Signiercode. Mit diesem Programm benötigen Sie keine separaten USB-Token, um EV Code Signing erfolgreich durchzuführen. eSigner CKA ist selbst das „Token“. Sobald Sie es installiert haben, müssen Sie nur noch Ihr EV Code Signing-Zertifikat aus dem Zertifikatsspeicher abrufen, und schon können Sie signieren. Das bedeutet, dass Sie sich keine Sorgen machen müssen, dass Sie Ihr Hardware-Token verlegen oder ausgesperrt werden, weil Sie Ihr Passwort vergessen und Ihre verbleibenden Token-Passwortwiederholungen verbraucht haben.   
5. Unterstützt EV Code Signing in CI/CD-Umgebungen – eSigner CKA kann jederzeit und überall remote verwendet werden. Dieses Programm erhöht die Sicherheit der DevOps-Pipeline, indem sichergestellt wird, dass die Softwarekomponenten, die von Ingenieuren gemeinsam genutzt werden, die zu unterschiedlichen Zeiten und an unterschiedlichen Standorten arbeiten, mit einem SSL.com EV Code Signing-Zertifikat authentifiziert werden. Hacker werden daher daran gehindert, Ihren Software-Erstellungsprozess zu kompromittieren, da eine schädliche Datei, die sie einzufügen versuchen, als nicht sicher signiert identifiziert wird.

Laden Sie eSigner CKA herunter, indem Sie hier klicken: eSigner CKA (Cloud Key Adapter) 

Holen Sie sich Ihre SSL.com EV Code Signing-Zertifikate hier. 

Und klicken Sie darauf Guide zur Installation und Verwendung von eSigner CKA.