根據(jù)Ponemon研究所的最新報告顯示，移動證書使用很難驗證SSL和TLS。為什么這么難檢測到異常移動證書使用呢?是否有最佳做法可確保在移動設(shè)備上正確使用證書?

[[148984]]

Ponemon研究所發(fā)布的《2015年信任問題成本報告》中有一些令人震驚的結(jié)果，雖然我們越來越多地依靠數(shù)字證書來提供信任和安全，但我們管理證書的能力越來越差。例如，該報告發(fā)現(xiàn)，在過去兩年中，在Web服務(wù)器、網(wǎng)絡(luò)設(shè)備和云服務(wù)中部署的密鑰和證書數(shù)量已經(jīng)增長了34%，達到每個企業(yè)24000，這個數(shù)字甚至還不包括防火墻外移動設(shè)備、移動應(yīng)用或物聯(lián)網(wǎng)設(shè)備使用的證書。然而，54%的受訪企業(yè)承認他們不知道所有密鑰和證書的位置，這意味著他們不知道它們?nèi)绾伪皇褂没蛘呤欠駪?yīng)該信任它們。

這個問題特別嚴重的領(lǐng)域是，Wi-Fi、VPN、移動設(shè)備管理(MDM)和企業(yè)移動管理(EMM)產(chǎn)品等應(yīng)用中的企業(yè)移動證書的使用。最近Forrester研究發(fā)現(xiàn)，77%的IT安全專業(yè)人士沒有充分了解Wi-Fi、VPN和MDM/EMM使用的移動證書情況。

這里的危害是，濫用或孤立的移動證書可允許終止合同的雇員和承包商或者冒充用戶的攻擊者訪問Wi-Fi、VPN或受MDM/EMM系統(tǒng)保護的數(shù)據(jù)。Mandiant公司最新APT1報告顯示，在每次攻擊中，攻擊者都會獲取有效憑證，例如密鑰和證書。隨著企業(yè)中移動設(shè)備持續(xù)增加，密鑰和證書濫用的風(fēng)險也在增加，這需要引起企業(yè)的關(guān)注。

對于任何IT資產(chǎn)，企業(yè)應(yīng)該詳細記錄密鑰和證書以及它們的“主人”。這對追蹤有效密鑰很重要，并可幫助發(fā)現(xiàn)重復(fù)的、孤立和不需要的證書。

ISO 27001的A.12.3.2條款指出，“企業(yè)應(yīng)該部署密鑰管理來支持企業(yè)對加密技術(shù)的使用”。加密政策應(yīng)該包括密鑰長度、有效期和批準的證書機構(gòu)，并對移動證書頒發(fā)過程中執(zhí)行這些政策。通過映射用戶到證書，管理員可為已知證書和正常使用建立基準以幫助檢測異常使用情況。為了確保記錄保持最新，在員工更換工作或離開公司時，HR應(yīng)該及時通知IT，這樣與該員工相關(guān)的移動和用戶證書可以被撤銷以防止對網(wǎng)絡(luò)資源的未經(jīng)授權(quán)訪問。

大多數(shù)MDM/EMM技術(shù)不提供全面管理移動證書和密鑰的生命周期，因此，企業(yè)可能需要密鑰和證書聲譽服務(wù)(例如Venafi公司的TrustNet)來幫助自動化密鑰的管理和撤銷，以及發(fā)現(xiàn)惡意或異常的密鑰及證書使用。例如，微軟推出了自己的解決方案來提高證書的可信度：Certificate Reputation，其中涉及IE 11以及SmartScreen發(fā)送數(shù)據(jù)給微軟了解用戶在瀏覽網(wǎng)頁時遇到的證書。

企業(yè)應(yīng)該檢查可訪問敏感數(shù)據(jù)的企業(yè)應(yīng)用以確保它們正確部署了加密和證書使用。去年，IOActive發(fā)現(xiàn)，在40款iOS銀行應(yīng)用中，40%沒有驗證SSL證書，并且不能阻止理論的中間人攻擊。

管理員還應(yīng)該注意，在不同制造商、設(shè)備甚至國家，補丁和證書更新各有不同，本地運營商在分發(fā)更新中發(fā)揮著重要作用。這意味著，仍然在等待關(guān)鍵證書更新的設(shè)備在訪問企業(yè)網(wǎng)絡(luò)時應(yīng)該被隔離。