Inżynierowie bezpieczeństwa często żartują, że certyfikaty są niewidoczne, dopóki nie złamią czegoś ważnego. Jednak w nowoczesnej infrastrukturze certyfikaty w milczeniu umożliwiają niemal każdą bezpieczną interakcję. Od komunikacji z usługą do tożsamości maszyny, stanowią one rdzeń cyfrowego zaufania. W całej branży certyfikaty długotrwałe dają miejsce certyfikatom krótkotrwałym, zautomatyzowanym i ciągłym.Ta zmiana odzwierciedla rosnącą świadomość, że statyczne modele zaufania starają się utrzymać tempo z rozproszonymi systemami, które stale się rozwijają. Temat ukształtowany przez dialog wspólnotowy Inżynierowie i liderzy ds. bezpieczeństwa wymieniają doświadczenia na forach Brytyjskiego Towarzystwa Komputerowego, dyskusjach z partnerami Gartner, rozmowach Rady Technologicznej Forbes i konferencjach IEEE, na których otwarcie omawiane są praktyczne wyzwania. W ramach tych dyskusji, Arun Kumar Elengovan jest często odsyłany za wyjaśnienie, w jaki sposób zarządzanie certyfikatami pasuje do szerszej architektury zaufania. Dyrektor ds. Bezpieczeństwa Inżynierii dla organizacji zorientowanej na bezpieczeństwo tożsamości, prowadził i przyczyniał się do programów bezpieczeństwa na dużą skalę w złożonych środowiskach. Nagradzany lider z uznaniem obejmującym Stany Zjednoczone, Kanadę, Indonezję, Tajlandię, Indię, Malezję i Australię, jest powszechnie uważany za wybitnego wkowego wkładu w zarządzanie certyfikatami. Jego ciągłe zaangażowanie w profesjonalne rady i fora techniczne przyczyniło się do ukształtowania wspólnego zrozumienia, że automatyzacja certyfikatów nie jest już opcjonalnym ulepszeniem. Fragmentacja długowiecznego zaufania Tradycyjne praktyki certyfikacji zostały zaprojektowane na wolniejszą erę. Certyfikaty były wydawane ręcznie, osadzone w aplikacjach i rzadko obracane.W dyskusjach w całej społeczności inżynierii bezpieczeństwa, Arun Kumar Elengovan wskazał, że ten model był praktyczny, gdy środowiska były małe i zmiany były rzadkie, ale jego założenia nie są już utrzymywane w nowoczesnej infrastrukturze. Dziś organizacje działają na platformach chmury hybrydowej, mikroserwisach, klastrach kontenerów, obciążeniach roboczych bez serwera i integracjach zewnętrznych.Każda warstwa wprowadza certyfikaty, które muszą być wydane, przechowywane, obracane i wycofywane bezpiecznie.Arun podkreślił, że gdy certyfikaty utrzymują się przez dłuższy czas, kompromis często pozostaje niezauważony, odwołanie staje się powolne, odkrycie niepełne, a ryzyko operacyjne gromadzi się bez wyraźnej widoczności. Incydenty bezpieczeństwa coraz częściej pokazują, że niepowodzenia nie wynikają ze słabości kryptograficznych, ale z zaświadczeń, które pozostają aktywne przez długi czas po ich zamierzonym użyciu.Na forach zawodowych i technicznych ten wzór odzwierciedla szersze zrozumienie, że trwałość zaufania, a nie sama siła kryptograficzna, jest tym, co najczęściej podważa bezpieczeństwo w dużych systemach. Certyfikaty czasowe i zaufanie Agility Tymczasowe certyfikaty oferują inną ścieżkę do przodu. Zamiast trwale włączać zaufanie do systemów, zaufanie jest stosowane dynamicznie w czasie pracy. Takie podejście wspiera elastyczność zaufania. Aplikacje nie posiadają już długoterminowych uprawnień. Zamiast tego decyzje dotyczące zaufania są scentralizowane i konsekwentnie egzekwowane w różnych środowiskach. Korzeń zaufania pozostaje chroniony w trybie offline, podczas gdy zaufanie pośrednie jest delegowane bezpiecznie poprzez automatyzację. Rezultatem jest postawa bezpieczeństwa, która dostosowuje się do zmian systemów, a nie spada za nimi. Automatyzacja jako podstawowy wymóg Tymczasowe certyfikaty nie mogą działać bez automatyzacji. Odkrywanie, wydawanie, odnawianie, cofanie i monitorowanie muszą działać w sposób ciągły.W dużych środowiskach organizacje często nie mają pełnego zapisu certyfikatów, dopóki nie będą je aktywnie szukać. Skuteczna automatyzacja odzwierciedla rzeczywistość operacyjną. Certyfikaty pojawiają się w repozytorium kodu, budują rurociągi, pliki konfiguracyjne, usługi sieciowe i zaawansowane systemy. Niektóre aplikacje bezproblemowo odświeżają certyfikaty, podczas gdy inne wymagają koordynacji. Automatyzacja przekształca zarządzanie certyfikatami z delikatnego procesu ręcznego w niezawodną zdolność inżynieryjną. Od certyfikatów do systemowego myślenia Jednym z najważniejszych zmian w nowoczesnej inżynierii bezpieczeństwa jest odwrócenie się od traktowania certyfikatów jako odizolowanych artefaktów. Emisja opiera się na prywatnych organach certyfikacji. Przechowywanie integruje się z systemami tajemnic. Decyzje dostępu zależą od tożsamości platformy. Korzenie wyborów zaufania określają, co pozostaje w trybie offline i co można bezpiecznie zautomatyzować. Poprzez dyskusje społecznościowe i wymiany techniczne, Arun konsekwentnie udziela wskazówek dotyczących oceny tych zależności jako jednolitego systemu zaufania, a nie odłączonych kontroli. Myślenie w systemach zamiast narzędzi umożliwia organizacjom projektowanie zaufania, które rośnie wraz z infrastrukturą, zamiast się jej opierać. Dlaczego to jest ważne dla inżynierów i organizacji Okresowe certyfikaty zmniejszają promień wybuchu, skracają okno ekspozycji i upraszczają odzyskiwanie. Wpływają również na zachowanie. Inżynierowie zaczynają oczekiwać obrotu zamiast się go bać. Arun często podkreśla, że ta zmiana zachowania jest tak samo ważna jak samą kontrolę techniczną. Ponieważ systemy stają się bardziej rozproszone, zaufanie musi stać się bardziej dynamiczne. Zaufanie, które utrzymuje pokój ze zmianą Arun Kumar Elengovan zauważył, że efemeryjne certyfikaty stanowią praktyczną odpowiedź na tę rzeczywistość, dostosowując mechanizmy bezpieczeństwa do sposobu, w jaki nowoczesne systemy są faktycznie budowane i obsługiwane, a nie do sposobu, w jaki zostały zaprojektowane w wcześniejszych erach. Zauważył również, że bieżące rozmowy między społecznościami zawodowymi coraz częściej zbliżają się do krótkotrwałego zaufania jako oczekiwania bazowego, a nie zaawansowanej praktyki. Według Aruna zaufanie, które jest zautomatyzowane i celowo tymczasowe, zmniejsza ryzyko, a jednocześnie zwiększa zaufanie operacyjne, szczególnie w dużych i wysoko rozproszonych środowiskach. W tym kontekście certyfikaty efemeryjne nie są jedynie ulepszeniem technicznym; odzwierciedlają zrozumienie kierowane przez przywództwo, że bezpieczeństwo musi poruszać się w tym samym tempie, w jakim chroni systemy, lub może stać się przeszkodą, a nie ułatwieniem. Poglądy i opinie wyrażone w tym artykule są własne autorowi i niekoniecznie odzwierciedlają te jakichkolwiek stowarzyszeń lub instytucji stowarzyszonych. " 
 
 Ten artykuł został opublikowany w ramach Business Blogging Program HackerNoon. Ten artykuł został opublikowany w ramach Business Blogging Program HackerNoon. Ten artykuł został opublikowany pod HackerNoon's . Blog biznesowy Blog biznesowy Blog biznesowy

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

The writer is smart, but don't just like, take their word for it. #DoYourOwnResearch before making any investment decisions or decisions regarding your health or security. (Do not regard any of this content as professional investment advice, or health advice)

Ten dźwięk jest produkowany w oryginalnym języku historii!

Dlaczego certyfikaty krótkotrwałe rewolucjonizują bezpieczeństwo we współczesnej infrastrukturze

About Author

UWAGI

ZAWIEŚĆ TAGI

ARTYKUŁ TEN ZOSTAŁ PREZENTOWANY W

Related Stories

Meet Klink Finance: HackerNoon Company of the Week

Meet the Writer: HackerNoon's Contributor Emmanuel Nwaka, Content Marketing Professional

Meet Sekurno: HackerNoon Company of the Week

Reach More Readers! BOOST Your Story on HackerNoon

Meet Klink Finance: HackerNoon Company of the Week

Meet the Writer: HackerNoon's Contributor Emmanuel Nwaka, Content Marketing Professional

Meet Sekurno: HackerNoon Company of the Week

Reach More Readers! BOOST Your Story on HackerNoon

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps