1. No category

White paper - B3IT Init AB
Tieto 2013
UNDVIK
FALLGROPARNA
I DIN PKI
Av: Per-Olov Sjöholm, B3IT Init AB, [email protected]
PUBLIC KEY INFRASTRUCTURE (PKI) är lösningen på många säkerhetsrelaterade
utmaningar idag och används i princip överallt där någon form av autentisering, signe-ring
eller kryptering förekommer. VPN (Virtual Private Network), inloggning med smarta kort,
signering av mjukvara, kryptering av filer, säker e-post, mobila banklösningar, pass,
webbautentisering och, inte minst, säkra webbsajter över HTTPS är alla exempel på tilllämpningar där PKI är en bärande komponent.
Men att implementera en PKI-lösning anses komplext, och det finns onekligen många
fallgropar. Utmaningar består bland annat i avsaknad av kompetens med risk för dåliga
beslut, oförutsedda kostnader och, i värsta fall, sämre säkerhet som resultat. I slutänden
får köparen ofta en TCO som ligger långt ifrån vad organisationen hoppats på. I denna text
ska vi räta ut en del av de frågetecken som omger PKI och beskriva hur en köpare av PKIlösningar bör navigera för att undvika de större fallgroparna.
MEN FÖRST, VAD ÄR RIKTIG PKI?
En PKI-infrastruktur, Public Key Infrastructure, är en hörnsten i lösningar innehållande
signering, autentisering och kryptering. Dessa tillsammans är tre centrala delar inom ITsäkerhet och bidrar till ett starkt informationsskydd.
Tekniskt bygger PKI på en hierarki med digitala utgivare, så kallade Certificate Authorities
(CA). Grunden för PKI bygger på asymmetrisk kryptering och involverar ett par nycklar som
matematiskt har en bindning till varandra och hör ihop: en privat nyckel som är hemlig,
och en publik nyckel som ska/bör vara publikt tillgänglig. Den publika nyckeln läggs ofta
med i ett certifikat som ges ut och signeras av en CA. Certifikatet har stora likheter med
ett fysiskt certifikat: man kan se vem det är utställt till, det kan ha giltighetstider samt ett
sigill i form av en digital signatur.
En viktig skillnad är dock att ett elektroniskt certifikat inte är förfalskningsbart då det
genom en kryptografisk signaturkontroll ger ett skydd mot manipulation och att identiteten
kan styrkas. Med asymmetrisk kryptering behöver man inte som med symmetrisk kryptering utbyta hemligheter med varandra på distans med de risker det medför. Det är själva
kärnan i asymmetrisk kryptografi, PKI.
Men vad köparen av en PKI-lösning inte vet eller kanske tänker på, är att PKI ändå bara till
hälften är en teknisk fråga. Fördelningen över hur mycket som är teknik beror på vad och
hur din PKI-lösning skall användas. Har köparen intentioner att agera lokalt inom sin egen
organisation, på Sverige-basis eller kanske till och med som en så kallad Trusted Service
Provider (TSP) internationellt inom EU? Det senare kräver full kontroll från första stund
på EU:s hela regelverk runt eIDAS1 och kräver att du har kontroll på EU-krav såväl som
vad som gäller lokalt i Sverige hos e-legitimationsnämnden och kontrollorganet Post och
telestyrelsen (PTS).
BARA HÄLFTEN TEKNIK Många organisationer missbedömer hur stor
del av ett PKI-projekt som inte är teknikrelaterade. Det medför bland
annat att man ofta inte tar med all nödvändig kompetens in i projektet. Det kan i sin tur medföra att man i efterskott måste göra om vissa
delmoment om installationen skett i fel ordning eller att det missats
viktiga krav från policyn, alternativt att organisationen överväger att
acceptera en mindre säker lösning än vad man tänkt sig från början.
Ju större omfattning och ju fler intressenter desto mindre teknik blir det ofta frågan om.
Tekniken måste alltså stöttas upp med reglerverk, processer och rutiner. Finns inte dessa
på plats så blir inte en PKI-lösning så säker och tillförlitlig som många tror.
1 EU-förordning om elektronisk identifiering och betrodda tjänster.
2
Bland de viktigare regler, rutiner och dokument som behöver tas fram finns bland andra:
n
C
ERTIFICATE POLICY (CP) - innehåller bland annat regler och riktlinjer rörande certifi-
katutfärdare och policys inom flera områden som måste täckas av företagets CPS (se
nästa punkt).
n
C
ERTIFICATE PRACTICE STATEMENT (CPS) - en efterlevanderutin som beskriver hur utfär-
daren ger ut och hanterar certifikat. Dessa rutiner skall följa de regler som finns i CP.
n
NYCKELCEREMONI - beskriver hur de privata nycklarna som används av PKI-systemet
skapas, lagras, behandlas och förnyas.
Vidare så måste dessa delar implementeras i rätt ordning. För att PKI-lösningen ska kunna
följa relevanta policys så måste dessa först existera. Optimala PKI-lösningar kan inte
byggas om det inte först finns en certifikatpolicy. Ofta är större delen av en certifikatpolicy
inte teknisk, men dess krav på PKI-lösningen kan påverka hela installationen.
Som man kanske förstår av ovan så kan Certificate Practice Statement (CPS) i sin tur
referera till och kräva skapandet av flera ytterligare rutiner. Är till exempel hela företagets
inloggning beroende av att PKI-systemen fungerar, så bör den så kallade kontinuitetsplanen kanske prioriteras. Ovan nämnda delar är något man inte kommer undan oavsett
vilken PKI-lösning företaget väljer. Ja, i alla fall inte om köparen vill ha en säker och
funktionell PKI-lösning.
VAD ANVÄNDS PKI TILL?
PKI används idag i många olika typer av tillämpningar:
n
K
RYPTERING används för att stärka konfidens och begränsa andras åtkomst till
informationen. Exempel på det kan vara dokument man vill att ingen eller bara några få
skall komma åt, eller kanske en VPN förbindelse i form av en krypterad tunnel.
n
A
UTENTISERING används för att identifiera validiteten av avsändare och mottagare.
Exempel kan vara 802.1X1 autentisering av enheter i datanätverket, autentisering i din
mobila banklösning eller kanske inloggning mot företagsnätverket med smarta kort.
n
D
IGITAL SIGNERING av ett dokument eller annan elektronisk handling skyddar dessas
integritet genom att avslöja om data modifierats. Exempel på tillämpningar kan
vara allt från att säkerställa äktheten av Microsofts mjukvaror, Apples program från
AppStore eller kanske din elektroniska signatur du gör i din internetbank när du online
utökar huslånet för en badrumsrenovering. Möjligheten att skriva under en handling
elektroniskt och därmed applicera en digital signatur är nog en av de mest underskattade tillämpningarna och som allra mest har förändrat världen.
PRODUKTVAL
Idag när detta skrivs, i slutet av 2016, finner den potentiella PKI-köparen cirka dussintalet
PKI-produkter av rimlig kvalitet eller bättre på marknaden. Man brukar i produktjämförelser prata om områdena kärn-PKI, mobilitet samt Internet of Things (IoT).
n
KÄRN-PKI. utgivande CA-mjukvara, “self-service”, Registration Authority (RA)2, nyckel-
skydd med HSM3, API:er med mera.
1 Teknik för nätverksautentisering som kan förhindra hindra inkoppling av främmande utrustning i företagets
nätverk.
2 En RA eller “Registration Authority” är en instans som validerar slutanvändarbegäran för certifikat och sedan
ber CA:n att utföra detta.
3 En HSM eller “Hardware Security Module” är en enhet för lagring av de hemliga nycklarna. HSM:en uppfyller
normalt tuffa säkerhetsklassningar, ska vara manipulationsskyddad och har ingen möjlighet att exportera ut
nycklarna. Enheten skall även vara fysiskt inlåst enligt de säkerhetsramverk man följer och vill kunna granskas och certifieras för.
3
n
M
OBILITET. Koppling av CA till den lösning som hanterar mobila enheter, avancerad
enrollment, hanterar nyckelgenerering i chip och mycket mer.
n
I NTERNET OF THINGS (IOT). Elektronikförsedda vardagssaker som vitvaror, bilar, bygg-
nader, kläder med mera.
UPPHANDLING För att framgångsrikt utvärdera och upphandla PKIlösningar krävs kunskaper om teknik, säkerhet, organisationen samt
viss insikt i organisationens IT-strategi. Ofta saknas viktiga kunskapsbitar när produkter skall köpas, och momentana tekniska behov får
alltför ofta styra istället för välgrundade beslut baserat på TCO
Få tillgängliga lösningar är starka på alla tre områdena, vissa är medelgoda på alla tre,
medan andra är bra bara på något område. I detta kan köparna på sikt riskera onödiga
ekonomiska bakslag om de väljer en produkt utifrån ett smalt specifikt, momentant behov.
Behöver organisationen eventuellt utveckla egna applikationer framöver? Då behöver man
t ex kanske se över vilken/vilka produkter som har bra programmatiska API:er.
KÖPAREN BÖR ÄGNA EN DEL TID ÅT SITT PRODUKTVAL.
Det ansedda analysföretaget Gartner gör löpande teoretiska utvärderingar av bland annat
PKI-produkter och kan eventuellt vara ett delstöd vid produktvalet. De senare Gartnerrapporterna går mer i riktning mot nyckelfärdiga lösningar som innebär att köparen ska
slippa resurskrävande uppgraderingar och komplexitet. Köparen bör dock tänka på att
Gartner inte ger tydliga indikationer på kostnader runt implementation, drift och underhåll,
varför deras utvärderingar är mer inriktade för att ge en bild av lösningarnas tekniska
egenskaper.
4
DEN LOGISKA DESIGNEN
Har din organisation nått så långt som till den logiska designen så har ni förstått att ni
behöver en PKI-lösning och är förmodligen redan en bit in i ett projekt.
I detta läge är det lämpligt att stanna till en stund och se upp för några olika fallgropar.
Det är viktigt att att se till så den produkt ni väljer stödjer er logiska design - ni ska inte
behöva anpassa verksamheten till till en produkt som inte stödjer era behov. Se även till
att ni har en certifikatpolicy, samt ett certificate practice statement på plats då design och
implementation ska luta sig mot dessa.
Några viktiga aspekter din organisation behöver tänka på är bland annat era CA-hierarkier,
vilket slags data certifikaten skall innehålla, på vilket sätt revokering skall ske, med mera.
CA-HIERARKIER
Här behöver organisationen fundera på om ni vill eller kan använda er av en rot-CA för
hela organisationen eller om ni av olika anledningar behöver flera olika rot-CA:s. Det finns
flertalet aspekter att ta höjd för som styr om man vill/behöver ha flera olika rot-CA:s. Det
kan vara praktiska anledningar eller att man för vissa tjänster velat följa och kunna arbeta
internationellt och följa till exempel EUs nya lagkrav runt eIDAS.
Det är vanligt är att man har en (1st), eller högst några få rot-CA:s och under den/dessa
använder flera så kallade utgivande CA:s. I olika
sammanhang förekommer även benämningar som
“Issuing-CA” och “Sub-CA”, vilka båda är synonymer
för samma sak, det vill säga CA:s underställda rot-CA
som står för utgivningen av certifikaten till slutanvändare eller andra komponenter4. En rot-CA ligger ofta
off-line när den inte används medan en utgivande CA
oftast är online även när den inte används.
Frågor att ta ställning till är till exempel om organisationens utgivande CA:s skall användas tjänstebaserat
eller baserat på “tillit”, så kallade “trust level”. Som exempel på typiska tjänstebaserade
CA:s kan en utgivande CA användas för “auto enrollment” av certifikat till windowsklienters autentisering, det vill säga användarnas inloggning, och en annan utgivande CA för
autentisering av server- och nätverksutrustning baserat på 802.1X.
Alternativt så kan vi i det tillitsbaserade fallet (trust level) till exempel bestämma att för
att en enhet skall kunna få ett certifikat tilldelat från en utgivande CA med högsta tillitsnivån, så måste enheten ha nycklar genererade i hårdvara, annars får enheten certifikat från
en utgivande CA med lägre nivå av tillit. Allt fler tilltalas idag av tillitsmodellen idag.
Tillitsmodellen skulle potentiellt kunna blanda klienter/system där certifikat utgivits av
olika CA:s. Exempelvis kan en bärbar dator med certifikatnyckel i TPM-chip5 få sitt certifikat tilldelat från en utgivande CA med högre tillitsnivå än en bärbar dator utan TPM-chip,
som därmed får sitt certifikat utgivet av en CA med lägre tillitsnivå. Denna separation
skulle eventuellt kunna skapa andra nyttor på sikt.
4 Kallas också ibland “End Entities”.
5 Ett hårdvarubaserat system med en säkerhetskrets inbyggd i datorn.
5
UTFORMING AV CERTIFIKAT
Vad ska organisationen använda certifikaten till? Det är en mycket viktig fråga. Det kan
verka frestande att försöka få till ett allt-i-ett-certifikat som kan användas till klientinloggning i windows, användas för S/MIME kryptering och signering av e-post, 802.1X
autentisering i nätverket och mycket annat med samma certifikat.
BRISTANDE UNDERLAG En ofta uppkommen situation vid utformningen av certifikaten är att man saknar tillräckligt underlag för vad
och hur dessa skall användas. Det kan röra olika typer av ”extensions” (utökningar) som är mer eller mindre säkerhetskritiskta. Det kan
även röra t ex tidskodningen i certifikat som ska hanteras olika före
och efter år 2049, och nu börjar CA certifikat med lång livslängd nå
dit, varpå vi kan se att proboblemet ses här och var. Certifikat baserat
på elliptiska kurvor7 är lockande, men supportas inte av alla system.
Normalt är ett “certifikat för allt” ur flertalet aspekter oftast ingen bra idé. Det kan vara
till exempel säkerhet, hantering med mera. På samma sätt brukar ett separat certifikat för
varje system inte heller vara att föredra, bland annat ur praktiskt synvinkel. Var gränsen
går för just er organisation är en fråga som inte har ett enkelt svar utan mer information.
Faktorer som påverkar utformningen av certifikatet och till vad det kan/bör användas
avgörs annars bland annat vad certifikatpolicyn säger. Av policyn kan exempelvis framgå
huruvida ett certifikat ska kunna kopplas till en individ eller ej, vilka kryptografiska algoritmer som ska/får användas, giltighetstider, vad certifikatet får/kan användas till med mera.
Några av de viktiga delarna i certifikatet är till exempel följande utökningar (så kallade
extensions):
n
K
EY USAGE som i princip säger vad ägaren (“Subject” på certifikatet) får göra med cer-
tifikatet. En CA har ofta “Digital Signature”, “Key Cert Sign”, “CRL Sign” som avgränsningar på vad den publika nyckeln i detta CA certifikat får göra. Dessa innebär i princip
att denna begränsas till att kunna hantera sina utgivande CA:s samt ge ut CRL:er.
n
EXTENDED KEY USAGE används oftast på slutanvändarcertifikat och talar om syftet
för den publika nyckeln i certifikatet. Ett klientcertifikat skulle till exempel kunna ha
“Client Authentication” och “E-mail Protection” vilket indikerar klientautentisering samt
säkring av e-post.
n
R
EVOKERING är en eller flera extensions i certifikatet av typen CRL (CRL Distribribution
Points) eller OCSP (Online Certificate Status Protocol). Det är adresser som pekar ut var
man kan ladda ner information om eller kontrollera om certifikatet i fråga är giltigt eller ej.
Exempel på “extensions” i ett slutanvändarcertifikat
7 Kryptografi baserat på elliptiska kurvor är inte nytt, men marknaden har varit mycket långsam att addera stöd
för detta, och fortfarande 2016 förekommer ofta enheter och system som inte har stöd för detta. Att vissa elliptiska kurvor anses “broken”, alltså ej längre pålitliga, samt att vissa är patenterade har också gjort elliptiska
kurvor till en väg med minfält.
6
REVOKERINGSSTRUKTURER
En åtgärd som organisationen behöver göra efter utgivningen av ett certifikat är att ibland
revokera, eller spärra certifikatet och förhindra att det används. Det kan exempelvis vara
på grund av att certifikatbäraren avslutat sin anställning, ett eventuellt försök till dataintrång eller andra anledningar.
OGENOMTÄNKT REVOKERINGSHANTERING Vissa tar inte ens med
revokering i sin design från början. Och tar man med det så missar
man ibland de tidsaspekter som behövs för följandet av Certifikat
Policyn. Vanligt är också felbedömningar vid uppsättning av CRL
och/eller OCSP
Om organisationen behöver spärra ett certifikat innan dess giltighetstid passerats, hur
skall det ske på bästa sätt? Oftast sker valideringen av utfärdade certifikat mot en så
kallad revokeringslista (Certificate Revocation List, CRL) eller via direkta uppslag mot en
OCSP-tjänst (Online Certificate Status Protocol).
Finns inte certifikatet i revokeringslistan eller OCSP-tjänsten så anses certifikatet giltigt.
Kontroll kan även ske med varianter på OCSP, till exempel så kallad “OCSP stapling” där
till exempel en webbserver svarar över HTTPS och säger att det egna certifikatet inte är
revokerat och klienten inte själv behöver kontakta en OCSP tjänst.
Tyvärr ser man ofta PKI-lösningar byggda utan att organisationen ägnat en tanke åt
rutinerna runt revokeringskontroll. Om din organisation till exempel vill använda certifikat
för inloggning i er Windowsmiljö, eller kanske inpassering genom en dörr, hur lång tid får
det ta att spärra det? Om revokeringstjänsten inte är tillgänglig, ska personen få åtkomst/
inpassering då? Troligen inte. Men detta har ni så klart policys och rutiner för, vilket vi
redan nämnt skall finnas på plats innan ni bygger er PKI-lösning. Revokeringskraven är en
viktig faktor som ibland kan påverka även produktval och teknik i er lösning.
DE TEKNISKA BITARNA
Beroende på PKI-lösning så kan mjukvaran vara halvt integrerad i operativsystemet som
till exempel i Microsofts Server-produkter, eller installeras på i efterhand som fristående
installationspaket. Är det en programvara som är paketerad eller alternativt skall installeras i flera olika komponenter på ett operativsystem, så sker det vanligtvis på Linux- eller
Windows-system. Delarna som beroende på produkt kan innefattas är till exempel PKIapplikation, applikationsserver, databas med mera.
KOSTNADER FÖR HSM En ofta förbisedd, och nästan avgrundsdjup
fallgrop är att PKI-projektet ofta missar att man behöver en HSM: Att
man kanske till om med ibland behöver 2st, saknar kompetens att
upphandla en HSM, saknar kompetens att testa, och driftsätta den
och/eller saknar kompetens för löpande drift och underhåll. Detta kan
kraftigt påverka TCO och i vissa fall stjälpa hela projektet
Redan vid ganska modesta installationer är det dumdristigt att inte inkludera en Hardware
Security Module (HSM) för organisationens privata CA-nycklar, eftersom säkerheten vilar
tungt på dessa. Just den tekniska hanteringen med kompetens om HSM:er är något som
många projekt fastnar på ofta först när de kommit en bit på vägen. Det finns helt enkelt
väldigt lite kompetens att tillgå på området. Och vill organisationen kunna hantera detta
utan konsulter så behöver personalen oundvikligen utbildas.
7
På större företag är IT-driftsorganisationen ofta uppdelad på så sätt att vissa personer
jobbar med operativsystem och andra med applikationsservrar, databaser respektive
backup. Då PKI-lösningen ofta skall användas globalt inom organisationen så måste organisationen också skydda och eventuellt begränsa vad de som jobbar med operativsystem,
databaser och backup kan göra i PKI-systemet. Detta innebär att olika typer av problemställningar dyker upp och måste hanteras oavsett vald PKI produk.
Några av de problemställningar som kan uppstår är till exempel:
DUBBELKOMMANDO (eller så kallad “dual control”). För viktiga delar av systemet ställer man i princip alltid krav på dubbelkommando. Det innebär att två behöriga personer
behöver närvara eller aktivt göra något för att systemet skall utföra något. Är det då
acceptabelt att en enskild tekniker kan få åtkomst till systemet under motorhuven för att
säkerhetsuppdatera och/eller uppgradera operativsystemet?
n
n
BACKUP. Är det acceptabelt att en person i backupgruppen får ensam åtkomst för att
installera och/eller konfigurera en backupklient på PKI-systemet? Är backupen krypterad?
Vart tar backupen vägen? Finns det kopior, och vart tar dessa vägen? Har backupsystemet
och dess personalgruppen samma säkerhetsklassning som PKI-systemet i sig?
HSM-KOMPETENS. För att säkerställa systemets integritet är det bästa skyddet att
använda en HSM för att skydda de privata CA-nycklarna. En bra hantering av HSM:er
kräver dock hög kompetens, något som många PKI-projekt inte inser förrän projektet kört
fast. Allt från inköp, till design, implementation, nyckelceremonier, dokumentation m.m. är
något som nästan alla projekt missbedömer rejält.
n
SERVER- ELLER APPLIANCEBASERAD PKI-INSTALLATION?
Denna fråga påverkar kostnader och säkerhet mycket mer än många organisationer tror.
Båda lösningarna har sin egen uppsättning för- och nackdelar.
SERVERBASERAD INSTALLATION. Med en serverbaserad installation får organisationen
tillgång till större flexibilitet och, genom att välja rätt hårdvara, mer prestanda vid extrema
förhållanden. Samtidigt blir vissa delar av lösningen kostsamma i olika utsträckning:
Vanligtvis strategi för säkerhetskopiering och återställning, uppgradering, avsäkring och
nedlåsning, lösningar för hantering av dual-control, eventuella tillgänglighetskrav, livscykelstrategi med Long Term Service (LTS) samt, på större företag, inblandning av många
avdelningar.
Andra utmaningar som ofta syns är: Mer tidskrävande än tänkt, avsaknad av kunskap till
exempel om HSM-lösningar, komplicerade uppgraderingar, hantering av flera leverantörer vid
uppgraderingar och support samt en TCO som ofta i slutändan visar sig vara felkalkylerad.
Fördelar:
n
Beroende på hårdvara, bättre prestanda.
n
Större flexibilitet.
n
Större urval av HSM:er.
Nackdelar:
n
Dolda och/eller svårkalkylerade kostnader.
n
Tidskrävande.
n
Kompetensbrist.
n
Komplicerade uppgraderingar.
n
Disparata leverantörer.
n
Svårt att beräkna TCO.
8
APPLIANCE. En PKI-appliance (nyckelfärdig apparat) är en färdig “låda” som innehåller
alla nödvändiga komponenter som ett PKI-system behöver: CA, RA8, VA (OCSP), CRL-publicering etcetra. Lådan är från början säkrad och nedlåst enligt “best practice” och brukar
innehålla en FIPS-certifierad9 integrerad HSM. Vidare brukar lösningen inkludera någon
form av “Long Term Available” hårdvara (LTA) som klassificerats enligt någon Common
Criteria (CC) klassning10. Supportavtal ska innehålla signerade patchuppdateringar.
Utmaningar med en appliance kan vara att hårdvaran inte anpassad till de extrema lösningarna utan designas för att prestandamässigt täcka 90-95% täckning av alla kundscenarier. Har man behov av specialanpassningar i PKI-logiken kan en appliancelösning vara
till nackdel.
Fördelar:
n
Krypterad automatisk “all-in-one”-backup av hela enheten inklusive HSM.
n
Möjlighet till så kallad “bare metal restore”, vilket innebär att man kan göra återställning i en ny appliance enhet direkt ur kartong på några minuter.
n
En säker källa för hårdvara, mjukvara och uppdateringar.
n
Inbyggda High Availability-möjligheter (HA).
n
En inbyggd HSM som innebär att man oftast inte behöver anlita externa konsulter.
n
En upphandling/ett inköp, och inte flera olika med hård- respektive mjukvaror.
n
En väsentligt snabbare och enklare implementation
n
Möjlighet till dubbekommando (Dual Control) på hela systemet.
n
Mindre specialkompetens behövs, till exempel för HSM och HA (High Availability).
n
Enklare kostnadskontroll och bättre TCO.
n
Möjlighet att i större utsträckning fokusera på sin PKI-verksamhet istället för systemadministration.
Nackdelar:
n
Täcker ej extrema behov/krav.
n
Svårare att anpassa för speciella behov.
Även i en serverbaserad installation är det möjligt att med bra processer och rutiner
åstadkomma samma säkerhet som med en appliancebaserad lösning, men beroende på
organisation och kravställning kan det bli mycket kostsamt. Det är förstås inte säkert att
en appliance är rätt för just er organisation, men ur både ekonomisk och säkerhetsteknisk
synvinkel bör appliancealternativet undersökas innan ni fattar ert beslut.
8 RA är en instans som till exempel verifierar förfrågningar för digitala certifikat mot CA.
9 En amerikansk säkerhetsklassning
10 En väletablerad ISO-standard för att utvärdera och klassificera säkerheten i IT-system.
9
SLUTSATSER
PKI-lösningar för autentisering, signering och kryptering förekommer överallt utan att vi
tänker på det. Det är en naturlig, central och livsviktig funktion i dagens IT-samhälle.
Allt kan kokas ner till TCO. Att t.ex upphandla en HSM till din PKI-lösning, utföra tester,
installera, skapa nödvändiga rutiner och dokumentation, och slutligen produktionssätta
HSM:en, kan kosta 100 000 - 500 000 kronor (inklusive HSM-hårdvara). Då är detta bara
kostnaden för din HSM och inte för hela PKI-lösningen.
GROVT FELKALKYLERAD TCO Beror ofta på att projektet missat
kostnader runt HSM, att projektet på ett sent stadium upptäcker de
stora icke-tekniska aspekterna, samt brist på utvärdering av appliancelösningar.
BERÄKNAD TID FÖR IMPLEMENTATION OCH ÖVERDRAGEN BUDGET
Kombinationen av en serverbaserad installation och bristande förtståelse för behovet av HSM och dess kringkostnader leder ofelbart till
implementationer som drar över tid och sprängda budgetramar.
Men oavsett om du behöver en konsult som skall arbeta med en HSM och kostar
250.000kr eller om du drabbas av ett dataintrång så är resultatet detsamma. Ett dataintrång baserat på en felaktig lösning kan ge “bad will”, minskade intäkter, ökade kostnader
och i värsta fall konkurs. På samma sätt som den längsta formen av energi är värme så
blir allt i IT-världen i slutändan en fråga om pengar.
Om din organisation genomför ert PKI-projekt i rätt ordning med regelverk, processer och
rutiner, ser över kraven före inköp, tar med den kompetens som behövs, samt utvärderar
installationsalternativen för att få kontroll på era kostnader och öka säkerheten - då kommer ni att lyckas med ert PKI-projekt.
10