Kimlik, sıfır güven ortamlarının kilidini açmanın anahtarıdır, ancak aynı zamanda değerli şirket verilerini ve kişisel bilgileri satan siber suçlular için kazançlı bir maaş gününün anahtarıdır.
Son yıllarda, veri ihlalleri (ve bunların şirketler ve etkilenen bireyler üzerindeki etkileri) manşetlere taşındı. Veri ihlalleri, finansal hizmet kuruluşları Equifax ve CapitalOne, enerji şirketi Colonial Pipeline ve fast-food zinciri Chick-Fil-A dahil olmak üzere çeşitli sektörleri etkiledi. Bu şirketler veri ihlallerinden önce iyi bilinirken, dünya ihlaller için manşetlere çıkmadan önce isimlerini bilmiyorsa, şimdi biliyorlar.
PKI’nın Gücünü Anlamak
Herhangi bir şeyi korumanın en iyi yolu, onu kilit altında tutmaktır, ancak bulutta depolanan veya elektronik olarak değiş tokuş edilen bilgiler için, fiziksel bir kilit ve anahtar boşunadır. Açık anahtar altyapısı (PKI), verileri ve kaynakları korumanın yanı sıra erişimi doğrulayan, iletişimleri güvence altına alan ve veri bütünlüğü ve reddedilemezlik sağlayan bir siber güvenlik kilit ve anahtar sistemi olarak hizmet eder. PKI, güvenli e-posta iletişiminde, dijital imzalarda, güvenli Web’de gezinmede (HTTPS), sanal özel ağlarda (VPN’ler) ve güvenli çevrimiçi işlemlerde ve diğer uygulamalarda yaygın olarak kullanılır.
PKI’nın özünde, anahtar çiftlerini kullanan asimetrik kriptografi vardır: bir genel anahtar ve bir özel anahtar. Genel anahtar yaygın olarak dağıtılır ve bilgileri şifrelemek için kullanılırken karşılık gelen özel anahtar gizli tutulur ve şifre çözme için kullanılır. Bu anahtarlar, ayrı cihazlara ve uygulamalara yerleştirildikten sonra, verileri şifrelemek ve bağlı cihazların ve uygulamaların kimliğini doğrulamak için çalışırlar.
Kuruluşunuzun, şirketteki tüm departmanlar için geri bildirim kutularını barındıran bir posta odasına sahip olduğunu hayal edin. Her departmanın geri bildirim kutusu ve posta odası, şirketteki herkesin herhangi bir departmanın kutusunu açıp içine bir mesaj bırakmasına izin veren bir genel anahtara sahiptir. Ancak, her bölümün başkanının yalnızca kendisinin sahip olduğu özel bir anahtarı vardır. Bu özel anahtar, matematiksel olarak genel anahtarla ilişkilidir ve tüm şirkette, bir departmanın geri bildirim kutusunun kilidini açarak mesajlara erişebilen veya kutudaki şifreli herhangi bir şeyin şifresini çözebilen tek anahtardır.
PKI Verileri Nasıl Şifreler?
PKI, verileri şifrelemek ve şifresini çözmek için matematiksel olarak ilişkili anahtarlar kullandığından, yalnızca özel anahtar, genel anahtarla şifrelenen verilerin şifresini çözebilir. Bu nedenle, aktarılan verilere müdahale edilemez ve bir cihazda veya veritabanında dururken, şifrelenmiş veriler çalınsa bile okunamaz çünkü hırsızların kilidini açacak özel anahtarı olmayacaktır.
PKI’yı bir şirket ağında dağıtır ve kullanırsanız, bir sunucuya veya cihaza yazılan veya buradan alınan her şeyin kimliğini doğrulayarak ve şifreleyerek sıfır güven ortamı oluşturabilirsiniz. Örneğin, web siteniz bir müşterinin tarayıcıları ile web sitenizin sunucusu arasındaki iletişimi şifrelemek için bir TLS/SSL sertifikası kullanıyorsa, PKI şifreleme kullanıyorsunuz demektir. Kurumsal ağ güvenliğinin omurgası olarak PKI’yı dağıtmak son derece karmaşıktır.
Bulut Tabanlı PKI’nın Avantajları
PKI’yı dağıtmak ve sürdürmek çok fazla kaynak ve yetenek gerektirir, ancak şirket verilerini korumak için kritik öneme sahiptir. Birçok kuruluş, PKI’yı bulutta ve bir hizmet olarak (PKIaaS) dağıtmayı, hepsini şirket içinde yapmaktan daha iyi bir seçenek olarak görmektedir. Cloud PKIaaS, her büyüklükteki işletme için aşağıdakiler gibi çeşitli avantajlar sunar:
Hızlı dağıtım: PKI, başlangıcından bu yana uzun bir yol kat etti. Eskiden şirket içi devreye alma gerektiren bir sistemken, artık tamamen bulut aracılığıyla devreye alınabiliyor. Cloud PKI, mevcut güvenlik sistemlerine entegre edilebilir ve birkaç gün içinde çalışabilir.
Çeviklik: PKI onlarca yıldır kullanılmaktadır ve halihazırda çoğu altyapıda Microsoft Sertifika Yetkilisi (CA) ile konuşlandırılmıştır. PKIaaS, kurumsal altyapınızı değiştirmeden Microsoft CA’dan geçiş yapmak için basit bir yol sağlar.
ölçeklenebilirlik: Cloud PKIaaS, kuruluşların ek donanım veya altyapı maliyetlerine maruz kalmadan büyüdükçe ve kullanım alanlarını genişlettikçe ölçekleme yapmasına olanak tanır.
Güvenlik: Şifre çözme anahtarı olmadan yalnızca şifrelenmiş veriler işe yaramaz değil, aynı zamanda krallığın anahtarları da işe yaramaz: özel anahtarlar. PKIaaS, coğrafi olarak dağınık veri merkezlerinde depolanan ve nükleer saldırılara dayanabilen Federal Bilgi İşlem Standartları (FIPS) uyumlu donanım güvenlik modüllerindeki (HSM’ler) özel anahtarları korur.
Tasarruf: Cloud PKI, kuruluşunuzun cihazlarının, yazılımlarının ve donanımlarının mevcut yeteneklerinden yararlanarak, yeni cihaz veya araç edinme maliyetlerini ortadan kaldırarak BT yatırımınızı en üst düzeye çıkarır.
2022’de bir veri ihlalinin ortalama maliyetinin 4,35 milyon ABD Doları olmasıyla, PKI’yı devreye almak ve verileri şifrelemek, bir ihlalin kurbanı olmaktan daha uygun maliyetlidir. PKI şifreleme hakkında daha fazla bilgi için, bir veri ihlali savaş planı geliştirmeye yardımcı stratejiler içeren Her Şeyi Şifrele e-kitabımızı okumanızı öneririz.
yazar hakkında
.jpg?width=480&quality=80&format=webply&disable=upscale)
Mrugesh Chandarana, IoT ve PKI çözümlerine odaklandığı HID Global’de Kimlik ve Erişim Yönetimi Çözümleri Ürün Yönetimi Direktörüdür. Risk yönetimi, tehdit ve güvenlik açığı yönetimi, uygulama güvenliği ve PKI gibi alanlarda 10 yıldan fazla siber güvenlik sektörü deneyimine sahiptir. RiskSense, WhiteHat Security (NTT Security tarafından satın alındı) ve RiskVision’da (Resolver, Inc. tarafından satın alındı) ürün yönetimi pozisyonlarında bulundu.