Sind selbstsignierte Zertifikate auf internen Servern ein Problem?

Nicht weil sie selbstsigniert sind, sondern wegen dessen, was meist mit ihnen einhergeht. Ein selbstsigniertes Zertifikat verschlüsselt so gut wie jedes andere; das Problem ist das Vertrauen. Clients können es nicht gegen eine bekannte Stelle prüfen, also lernen Nutzer und Admins, Warnungen wegzuklicken oder die Prüfung in Skripten abzuschalten, und dieselbe Gewohnheit lässt ein echtes Abfangen unbemerkt. Selbstsignierte Zertifikate auf Appliances haben oft schwache oder voreingestellte Schlüssel, keine Ablaufverfolgung und keinen Verantwortlichen. Besser ist eine interne Zertifizierungsstelle, die nach Möglichkeit automatisiert ausstellt, deren Stammzertifikat auf verwaltete Geräte verteilt ist, mit einem Inventar aller Zertifikate und ihrer Ablaufdaten. Bei Geräten, die nur mit selbstsignierten Zertifikaten kommen, etwa Druckern oder Steuerungen, ersetzen Sie das Zertifikat, wo das Gerät es erlaubt, und halten das Gerät in einem Segment mit eingeschränktem Zugriff. Selbstsignierte Zertifikate gehören auch in Ihr Post-Quanten-Inventar: Jedes hat einen Schlüsseltyp und eine Länge, die eines Tages wechseln müssen.

← Alle 40 Fragen zu Verschlüsselung und verschlüsselter VerkehrAlle Themen