Thought Leadership
Welche Zukunftschancen PKIs im Zeitalter von IoT und Blockchain noch haben, beschreibt Anne-Sophie Gógl, Geschäftsführerin des Vereins ‚Sichere Identität Berlin-Brandenburg e.V‘ im zweiten Teil der PKI-Serie.
PKI-Lösungen sind ein bewährtes Sicherheitskonzept in der Informationstechnologie (IT). Mit ihnen lassen sich digitale Identitäten sicher ausstellen, verwalten und nachweisen. Zudem können elektronische Daten und Informationen verschlüsselt sowie Dokumente mit digitalen Signaturen vor Manipulation geschützt werden. Doch ist die PKI auch für die zukünftigen Trends und Entwicklungen geeignet?
PKI und DSGVO
Rechtliche Vorgaben zum Informations- und Datenschutz sind ein großer Business-Treiber für die PKI. An erster Stelle steht hier die europäische Datenschutzgrundverordnung (EU-DSGVO).
„Die DSGVO verpflichtet Unternehmen, personenbezogene Daten mit technisch-organisatorischen Maßnahmen nach dem ‚Stand der Technik’ zu schützen. Genau diesen ‚Stand der Technik’ bieten PKI-Lösungen“, sagt Dr. Kim Nguyen, Geschäftsführer der D-TRUST GmbH.
So werden sich auf PKI-Technologien basierende SSL/TLS-Zertifikate im Internet flächendeckend durchsetzen. SSL/TLS-Zertifikate ermöglichen einen verschlüsselten
Datentransfer zwischen dem Computer des Internet-Nutzers und Webseiten. Zudem erhält das Thema ‚E-Mail-Verschlüsselung’ neuen Schwung. Ein großer deutscher Automobilhersteller verlangt bereits von all seinen Lieferanten, E-Mails zu verschlüsseln und zu signieren.
PKI schließt Einfallstore bei IoT-Geräten
Einer der großen Zukunftstrends ist das Internet der Dinge (Internet-of-Things / IoT), in der „intelligente“ Geräte und Maschinen untereinander vernetzt sind und ständig Daten austauschen. Die zunehmende Vernetzung schafft jedoch neue Einfallstore für Cyberangriffe.
„In Public-Key-Infrastrukturen liegt die Zukunft sicherer und gesicherter Geräte. Denn hier kommen die Vorteile von PKI-Lösungen – eine sichere Authentifizierung von Anwendern und Maschinen sowie eine verschlüsselte Datenübertragung – voll zum Tragen. Dadurch können ‚Smart Devices’ sicher elektronisch kommunizieren“, betont Peter Rost von Rohde und Schwarz.
Ein gutes Beispiel für diese Aussage ist die Verkehrsvernetzung, auch als V2X (Vehicle-to-everything) bezeichnet. Im Mittelpunkt steht die elektronische Kommunikation zwischen den Akteuren und Komponenten des Straßenverkehrs: Fahrzeug, Straße, Infrastruktur, Netzwerk und Personen. Mit V2X-Kommunikation wird die Verkehrssicherheit erhöht, der Verkehrsfluss verbessert und damit zusammenhängend der Energieverbrauch reduziert.
„Bei der Verkehrsvernetzung weist eine Public-Key-Infrastruktur vertrauenswürdige digitale Identitäten nach und sorgt damit für eine sichere Fahrzeugkommunikation“, erläutert Bernd Dieckmann von der Nexus Group. Aktuelle PKI-Plattformen statten die Fahrzeuge bereits ab Werk mit unterschiedlichen Zertifikaten aus. Bernd Dieckmann: „Die Zertifikate können aus der Ferne signiert und aktualisiert werden. Jedes von einem Datensicherheitsproblem betroffene Fahrzeug kann aus dem System ausgeschlossen werden, bis das Problem gelöst und die Vertrauenswürdigkeit wieder hergestellt ist“.
Neue Standards in Sicht
Public-Key-Infrastrukturen können zu einer der zentralen Sicherheitstechnologien im Internet-der-Dinge werden. Doch noch gilt es Hürden zu überwinden.
„Viele vernetzte Geräte besitzen nur eingeschränkte Ressourcen, wie eine geringe Rechenleistung, wenig Speicherplatz und wenig Energie. Aktuelle Protokolle, mit denen PKI-Komponenten auf die Geräte verteilt werden, sind demgegenüber zu ressourcenintensiv. Um PKI-Technologie auch für Geräte mit begrenzten Ressourcen nutzen zu können, muss diese ‚schlanker’ werden“, beschreibt Bernd Dieckmann die Herausforderung.
An der neuen Generation ressourcenschonender Protokolle für PKI-Anwendungen wird aktuell intensiv gearbeitet. Ein Beispiel dafür ist das CEBOT-Projekt (Certificate Enrollment for Billion of Things). Bernd Dieckmann: „Mit CEBOT können Geräte mit eingeschränkten Ressourcen eine vertrauenswürdige Identität in Form eines signierten digitalen Zertifikats erhalten“.
Ist die Blockchain-ID eine Alternative zur PKI?
Nach dem Hype um die Kryptowährungen, wird die Blockchain jetzt auch als Lösung für das Identitätsmanagement stark diskutiert. Das Prinzip ist ähnlich wie bei Bitcoin & Co. Alle Einträge, die vorher geprüft und verifiziert wurden, werden an alle aktiven Teilnehmer einer Blockchain verteilt und in deren Registern gespeichert. Kryptografische Verfahren sorgen dafür, dass Änderungen an den Inhalten sofort erkannt werden. Am Ende entsteht eine Art Blockchain-ID.
Arno Fiedler von der Technologieberatung Nimbus ist skeptisch, was den Einsatz der Blockchain für das Identitätsmanagement betrifft: „Die Blockchain-ID ist keine Alternative zu Public-Key-Infrastrukturen. PKI’s setzen auf eine ganzheitliche Sicherheitsinfrastruktur, die mit Blockchain-Technologie allein nicht abgedeckt werden kann.“ So ist zum einen die Dateigröße in einer Blockchain-ID stark begrenzt. Zum anderen lässt sich mit einer Blockchain-ID keine echte Willenserklärung abgeben, da für qualifizierte Signaturen überprüfte Vertrauensdienste und starke Authentisierung erforderlich sind.
„Wichtige Datenschutzanforderungen – wie das Recht auf Vergessenwerden – können mit Blockchain-Technologie nicht erfüllt werden. So lassen sich Identitätseinträge, die personenbezogene Daten enthalten, in einer Blockchain nicht mehr löschen. Das ist im Zeitalter der Datenschutzgrundverordnung (DSGVO) nicht akzeptierbar“, weist Arno Fiedler auf ein weiteres Problem hin.
Weiterhin führen Blockchains in der Regel zu einem sehr starken Datenwachstum. Denn für jede zusätzliche Information muss ein neuer Block erzeugt und an die Kette angehängt werden. Dies schränkt die Durchsatzraten und die Performanz erheblich ein. Gerade für Systeme und Geräte mit begrenzter Speicherfähigkeit ist die Blockchain-Technologie nicht gut geeignet. Die Blockchain-ID kommt darum für Anwendungen mit Millionen von digitalen Identitäten – wie im Internet-der-Dinge der Normalfall – kaum in Frage.
Arno Fiedler: „Klassische PKI-Verfahren sind und bleiben der zuverlässige Motor der IT-Sicherheit“.
Die PKI hat in den letzten drei Jahrzehnten bewiesen, dass sie ein ausgereiftes und bewährtes Sicherheitskonzept ist und sich auch neuen Herausforderungen und Entwicklungen erfolgreich anpassen kann. Mit diesen Eigenschaften wird sie auch in Zukunft eine wichtige Rolle beim Schutz digitaler Geschäftsprozesse spielen.
Anne-Sophie Gógl, Geschäftsführerin des Vereins ‚Sichere Identität Berlin-Brandenburg e.V‘.
