PKI og digitale sertifikater for regjeringen

Regjeringer og PKI Teknologi

I økende grad henviser nasjonale myndigheter over hele verden aktivt til offentlig nøkkelinfrastruktur (PKI) og digitale sertifikater for formålene med:

• Nasjonale ID-programmer.
• Enkelt pålogging (SSO) for arbeidsstasjoner og programvare.
• Signert og kryptert regjerings-e-post.
• Autentisering av dokumenter gjennom digitale signaturer.
• Autentisering av innbyggernes identitet for online-tjenester som skattebetaling.

Nasjonale digitale ID-programmer er et verdensomspennende arbeid. I følge a Verdensbankens rapport 2016, "De fleste utviklingsland har en form for digital ID-ordning knyttet til spesifikke funksjoner og tjener en delmengde av befolkningen, men bare noen få har en flerbruksordning som dekker hele befolkningen." I følge samme rapport varierer årsakene til å ta i bruk digital ID fra land til land: "I høyinntektsland representerer digital ID en oppgradering fra veletablerte, robuste eldre fysiske ID-systemer som har fungert rimelig bra tidligere," mens " lavinntektsland ... mangler ofte robuste sivile registreringssystemer og fysiske ID-er og bygger sine ID-systemer på digital basis, og hopper over det mer tradisjonelle fysisk baserte systemet. " I begge tilfeller er det klart at den globale trenden går mot opprettelse av nye nasjonale digitale ID-systemer eller utvidelse av eksisterende systemer.

I mange tilfeller inkluderer tiltak som disse lovverk for å opprette et byrå som har til oppgave å utvikle og håndheve nasjonale standarder for infrastruktur for offentlig nøkkel (PKI), lisensiering lokalt sertifikatmyndigheter (CAs) å gi digitale sertifikater, og / eller utvikle myndighetsstyrt PKI og CAs. Disse byråene er ofte gitt tittelen Informasjons- og kommunikasjonsteknologimyndighet (eller IKT-myndighet). Denne artikkelen er ment å gi beslutningstakere hos nasjonale IKT-myndigheter og lisensierte myndighetsmyndigheter informasjonen de trenger for å svare på viktige spørsmål som:

• Skal vi utvikle vårt eget indre PKI, eller inngå tjenester fra eksisterende CA?
• Hva er den raskeste og mest effektive ruten til å tilby offentlig pålitelige sertifikater til innbyggerne?

PKI, Digitale sertifikater og CA: en rask gjennomgang

I et nøtteskall, Infrastruktur for offentlig nøkkel (PKI) brukes til å administrere par av offentlige og private nøkler og binde dem til identitetene til enheter, for eksempel personer og organisasjoner, gjennom utstedelse av elektroniske dokumenter som kalles digitale sertifikater. Matematikken bak PKI sørge for at hvis et sertifikat er det signert med en gitt enhets private nøkkel, kan alle som har den offentlige nøkkelen fra paret:

• Kontroller at enheten som presenterer det signerte sertifikatet har den tilhørende private nøkkelen (Autentisitet).
• Stol på at innholdet i sertifikatet ikke er endret siden det opprinnelig ble generert (integritet).
• Bruk den offentlige nøkkelen til å kryptere en melding som bare kan dekrypteres med den tilhørende private nøkkelen (Kryptering).

Ved å aktivere autentisitet, integritet og kryptering, PKI og digitale sertifikater tillater sikker kommunikasjon over usikre nettverk, for eksempel Internett. En organisasjon som opprettholder a PKI og administrerer utstedelse og tilbakekall av digitale sertifikater er kjent som en sertifikatmyndighet (CA).

Offentlig tillit til privat tillit

Selv om det er mange applikasjoner for digitale sertifikater, er deres mest kjente bruk for sikker nettlesing, mulig gjennom SSL /TLS og HTTPS-protokoller. For å forhindre nettleservarsler og feilmeldinger, må digitale sertifikater utstedt for publikum vendt mot nettsteder signeres av a offentlig pålitelig CA. Offentlig tillit er også ønskelig for at sertifikater kan brukes med e-postklienter, stasjonære operativsystemer og annen programvare for sluttbrukere, slik at brukere eller IT-ansatte ikke trenger å legge til private pålitelige sertifikater manuelt i OS-sertifikatbutikker.

Offentlig pålitelige CAer blir regelmessig og nøye revidert for å overholde bransjestandarder, som WebTrust for CA-er, for å bli inkludert i de offentlige tillitsbutikkene til store operativsystem- og programvareleverandører som Microsoft, Apple, Google og Mozilla. Det kan ta mange år for en CA å få inkludering i alle disse programmene, og de må gjennomgå regelmessige, strenge revisjoner for å opprettholde denne statusen. I motsetning til dette er privat pålitelige CA ikke underlagt disse standardene, men er ikke like nyttige for offentlige applikasjoner.

Hvorfor skal regjeringer gå videre PKI-basert cybersikkerhet?

Den økende digitaliseringen av offentlige registre og transaksjoner i regjeringen de siste årene har tent de nysgjerrige øynene til nettkriminelle. Regjeringer er innehavere av enorme offentlige midler, og cyberskurkere har vist seg å være utholdende i å prøve ut forskjellige metoder som kan tillate dem å få tak i disse pengebelønningene. Statene er også innehavere av store mengder klassifisert informasjon som etter vellykket hacking har blitt brukt til ransomware og utpressingstaktikk.  

En artikkel fra Sikkerhetsmagasin stater som "anslagsvis to millioner cyberangrep i 2018 resulterte i mer enn 45 milliarder dollar i tap verden over da lokale myndigheter slet med å takle ransomware og andre ondsinnede hendelser. ” 

År 2018 var også tiden da USA ble landet som mottok de største økonomiske tapene på grunn av cyberangrep, med tall på mer enn 13.7 milliarder dollar. 

Kanskje en av de sentrale årsakene til at stater kontinuerlig bør forbedre sin cybersikkerhet er at de samler inn mye personlig informasjon fra borgere som overlater velferden til disse offentlige institusjonene.

Bemerkelsesverdige cyberangrep fra myndighetene

Dette første eksemplet er ikke et ondsinnet angrep, men en hvit hat -hack utført av sikkerhetsforsker Chris Vickery tilbake i 2015. Han oppdaget en feilkonfigurert database som avslørte personopplysningene til 191 millioner velgere over hele landet for praktisk talt hvem som helst på internett. Blant den ubeskyttede informasjonen er velgerens navn, fødselsdato, adresse og telefonnummer. En politimann som var intervjuet angående denne lekkasjen uttrykte hans bekymring for hans sikkerhet fordi kriminelle da kunne få tilgang til informasjon om ham. 

SolarWinds-angrepet i 2019-regnet for å være den mest alarmerende internettbaserte spionasjen som ble utført mot den amerikanske regjeringen-gjorde tusenvis av offentlige nettverk sårbare for cyberangrep. E -postkontoen til 27 amerikanske påtalemyndigheter ble hacket, og sensitiv informasjon om offentlige etterforskninger og informanter ble muligens kompromittert. E -postkontoen til tjenestemenn i handels- og finansdepartementene ble også brutt. 

Alaska Department of Health and Services (DHSS) ble rammet i mai 2021 da nettstedet ble funnet å være sårbart av hackere som deretter potensielt avslørte privat identifiserende informasjon (PII) til utallige personer, inkludert telefonnumre, personnummer og økonomisk informasjon. En fare med at så sensitiv informasjon blir stjålet er at hackerne kan bruke disse til å bruke sosialteknisk taktikk som å ringe banker og arbeide for å lure bankansatte til å forårsake endringer i ofrenes bankkontoer. 

Byens tjenestemenn i Peterborough i New Hampshire ble utsatt for ofre i juli i fjor av sosialtekniske hackere ved å bruke en strategi kalt Business Email Compromise (BEC). Tjenestemennene som tilhører byens finansavdeling ble sendt med skjulte e -poster som instruerte dem om å videresende offentlige tjenester til en annen bankkonto. Denne svindeltaktikken ble vellykket implementert to ganger i løpet av en måned, og totalt 2.3 millioner dollar ble stjålet av cyber -tyvene.

Regjeringen PKI Utvikling: Internt vs vert

Når en regjering bestemmer at den trenger en PKI å utstede sertifikater til innbyggerne (eller et lokalt selskap søker lisensiering for å tilby sertifikater på vegne av myndighetene), er en vanlig første tanke å investere i utvikling av en uavhengig infrastruktur. Tross alt er programvare for implementering av en selvsignert CA tilgjengelig med lav eller ingen kostnader gjennom programvare som Windows Server, OpenSSL og EJBCA. Ved andre øyekast har imidlertid dette alternativet flere potensielt avbrytende utfordringer og kostnader å overvinne:

• Å oppnå offentlig tillit for sømløs bruk med stasjonære operativsystemer og programvare som nettlesere, e-postklienter og kontorpakker er vanligvis en lang, vanskelig prosess, og vellykket oppnåelse og vedlikehold av denne statusen er ikke garantert.
• Kostnadene ved å finne og ansette kvalifisert personale for å sikre og effektivt betjene a PKI i nasjonal skala er betydelige.
• Maskinvare- og nettverkskostnadene knyttet til etablering og vedlikehold av en nasjonal PKI kan være større enn først antatt. Videre forsøk på å skalere PKI (for eksempel for å dekke flere innbyggere og muliggjøre ytterligere viktige offentlige tjenester) vil trolig kreve ekstra kompetanse og infrastruktur over tid.

Etter hvert som digital teknologi og tilhørende sikkerhetsbehov blir mer sammenvevd i regjeringsprosesser, og flere byråer og innbyggere utnytter digitale sertifikater fullt ut, kan det forventes at alle utgifter til maskinvare, nettverk og personell vil øke. Disse utvidende kostnadene kan være en begrensende faktor ved bruk PKI til sitt fulle potensiale for å tjene en nasjon og dens innbyggere.

Fordeler med vert PKI

Noen kommersielle offentlige CAer, inkludert SSL.com, tilbyr for øyeblikket vert offentlig og privat klarert PKI som en tjeneste, og tilbyr potensialet for myndigheter og deres rettighetshavere å omgå mange av problemene beskrevet ovenfor. Videre er bransjestandardene for sikkerhet og pålitelighet som disse CA-ene holdes til allerede i samsvar med PKI standarder og retningslinjer gitt av nasjonale IKT-myndigheter. Ved å velge en vert PKI med en anerkjent offentlig CA, kan regjeringer forvente å finne:

• Effektive systemer som allerede er på plass for sertifikatutstedelse, livssyklusvedlikehold og utløp, sammen med automatiske varsler om forestående sertifikatutløp.
• A PKI som allerede opererer på en global skala.
• En CA som er underlagt hyppige, detaljerte revisjoner som oppfyller eller overgår standardene som er satt inn av landets IKT-myndighet, og som er pålagt å holde seg oppdatert på utviklende industristandarder og beste praksis.

I de fleste tilfeller - og spesielt for utviklingsland - vil den hostede løsningen være rimeligere, enklere å implementere og sikrere enn å prøve å utvikle en hjemmevokst PKI.

Hosted PKI fra SSL.com

For våre offentlige kunder globalt, SSL.com tilbyr følgende fordeler i verdensklasse:

• Tilpassede løsninger: SSL.com samarbeider med myndigheter og lisensinnehavere over hele verden for å optimalisere generering, installasjon og livssyklus av sertifikater for smarte ID-kort og andre applikasjoner.
• Underordnet CA: En vert underordnet CA (også kjent som en utsteder CA) fra SSL.com tilbyr full kontroll over utstedelse og forvaltning av offentlig eller privat pålitelige sertifikater, til en brøkdel av kostnadene for å etablere sin egen root CA og PKI infrastruktur. For eksempel kan en lokal CA som har lisenser til å utstede sertifikater på vegne av myndighetene, umiddelbart oppnå offentlig tillit, overholdelse av regelverkog merkevare digitale sertifikater.
• Administrasjonsverktøy: SSL.coms online administrasjonsverktøy lar brukerne enkelt utstede store volumer av sertifikater og administrere livssyklusen.
• API: Administratorer kan enkelt automatisere sertifikatutstedelse og livssyklus med SSL.com SSL Web Services (SWS) API.

Hvilke spesifikke tjenester tilbyr SSL.com som hjelper til med å bekjempe cybersikkerhetstrusler som offentlige etater står overfor?

SSL-sertifikater

Våre SSL-sertifikater kan sikre offentlige nettsteder ved å kryptere personlig og sensitiv informasjon lastet opp på dem av offentlige brukere, inkludert deres hjemmeadresser, brukernavn og passord, personnummer og økonomiske detaljer. Vi bruker industristandard offentlig nøkkelkryptering referert til som 2048+ Bit SHA2 som er veldig veldig vanskelig å bryte av hackere. Vi tilbyr også Wildcard SSL -sertifikatet som er veldig praktisk å bruke for offentlige kontorer. Wildcard SSL lar et statlig byrå beskytte hovednettstedet og filialnettstedene/underdomenene med bare ett sertifikat. Med tanke på at statlige avdelinger har flere byråer under seg, som har en omfattende beskyttende PKI sertifikat reduserer sannsynligheten for at angriperne kan utføre bakdørangrep. Klikk her. å velge mellom flere typer SSL -sertifikater vi tilbyr, inkludert Wildcard.  

Sikre/flerbruks Internett -postutvidelser (S/MIME)

Som diskutert i den tidligere delen, har e-poster vært en primær strategi brukt av nettkriminelle for å stjele enorme mengder penger og sensitive data fra offentlige etater. Dette er hvor S/MIME kommer inn som et sterkt defensivt verktøy for å beskytte statlige e -postsystemer og transaksjoner. Ved hjelp av PKI og asymmetrisk kryptering, en S/MIME sertifikat fra SSL.com lar et statlig organ sikre e -postenes ekthet blant sine ansatte og tjenestemenn. Hvis to eller flere offentlige avdelinger eller byråer kommuniserer, vil S/MIME sertifikat gir også forsikring om at e -postene virkelig kommer fra en autentisk kilde, og at e -postmeldingene er beskyttet under transport fordi de er kryptert. I tillegg S/MIME er også en sterk avskrekkende for statlige ansatte og tjenestemenn fra å bli lurt av hackere eller opptre uforsiktig fordi det skaper et system der innkommende e -post først blir evaluert for å se om de er kryptert med en kryptografisk nøkkel som beviser at identiteten til e -postens kilde er legitim . Så uansett om en svindel -e -post er blitt sosialt konstruert for å se ut som om den kommer fra en autentisk kilde, fraværet av en S/MIME sertifikatet vil straks advare selv den minst teknisk kunnskapsrike ansatte om ikke å underholde det. Gå til denne siden for å se hvilken S/MIME sertifikat fra SSL.com passer best for dine behov.

eSigner Cloud Signering

Offentlige etater håndterer mange dokumenter. Å sende falske autoritative dokumenter har vært en taktikk brukt av hackere for å stjele klassifisert informasjon, penger og brukerdata fra offentlige etater. Ved hjelp av PKI kryptering og skyteknologi, SSL.com sin eSigner Express webapplikasjon lar offentlige kontorer trygt signere og autentisere dokumenter fra en internett-tilkoblet enhet. Denne funksjonen er spesielt nyttig under denne Covid-19-pandemien der mange kontorer implementerer et visst nivå av fjernarbeid for sine ansatte. Skyteknologi har vist seg å være mye billigere enn maskinvarebundet lagringsutstyr. Fordi eSigner er et programvarebasert lagringssystem, tilbyr det også beskyttelse som er praktisk talt ugjennomtrengelig mot ulykker som branner, jordskjelv og flom og fysiske innbrudd.

SSL.com har alle verktøyene som er nødvendige for vert, merkevare, offentlig eller privat klarert PKI som tilfredsstiller retningslinjene til de fleste lands IKT-myndigheter eller andre IT-regulerende organer. Hvis du ønsker å kontakte oss for mer informasjon, for å gi oss beskjed om dine spesifikke behov, eller få våre ansatte til å gjennomgå og bekrefte vår evne til å overholde dine nasjonale retningslinjer, kan du kontakte oss via e-post på Sales@SSL.com or Support@SSL.com, anrop +1-SSL-SIKKER, eller bare klikk på chat-koblingen nederst til høyre på denne siden.