Seminar Post-Quantum Cryptography – Kryptoinventar und Crypto Discovery

Ohne Kryptoinventar bleibt eine PQC-Migration eine Vermutung mit Tabellenkalkulation. Kryptografie befindet sich in Netzwerkprotokollen, Anwendungen, Bibliotheken, Zertifikaten, Hardware, Datenformaten und ausgelagerten Diensten. Das Seminar zeigt, wie diese Verwendungen mit mehreren Erkennungsmethoden erfasst, normalisiert und dauerhaft gepflegt werden.

Zielsetzung

Die Teilnehmenden entwerfen ein organisationsweit nutzbares Inventarmodell, wählen geeignete Discovery-Verfahren und sichern Abdeckung, Evidenz, Eigentümerschaft und Aktualität der Daten.

Geltungsbereich und Datenmodell

• Geschäftsprozesse, Daten, Anwendungen, Plattformen, Netze, Identitäten, PKI, Cloud, SaaS und OT abgrenzen
• Kryptografische Funktion, Algorithmus, Parameter, Protokoll, Bibliothek, Zertifikat und Schlüsseltyp erfassen
• Eigentümer, Betriebsverantwortung, Datenklasse, Schutzdauer, Schlüsselgültigkeit und Systemlebenszyklus ergänzen
• Lieferant, Produktversion, Supportende, PQC-Roadmap und Austauschbarkeit dokumentieren
• Fundquelle, Zeitstempel, Erkennungssicherheit und technische Evidenz nachvollziehbar speichern
• CBOM als transportierbare Sicht auf kryptografische Komponenten und Abhängigkeiten einordnen

Erkennungsmethoden

• Netzwerkbeobachtung für TLS, SSH, VPN und weitere verschlüsselte Protokolle einsetzen
• Zertifikatsspeicher, öffentliche Endpunkte, interne PKI und Vertrauensanker auswerten
• Konfigurationen von Servern, Appliances, Load Balancern, Datenbanken und Middleware untersuchen
• Quellcode, Binärdateien, Paketabhängigkeiten, Container und Firmware nach kryptografischen Funktionen analysieren
• KMS-, HSM-, Secret-Management- und Schlüsselverwaltungsdaten einbeziehen
• Cloud- und SaaS-Dienste über technische Einstellungen und verifizierbare Lieferantenangaben erfassen

Daten zusammenführen

• Algorithmenamen, Kurven, Schlüssellängen, Cipher Suites und Protokollvarianten normalisieren
• Mehrfachfunde erkennen und technische Objekte mit Anwendungen und Geschäftsprozessen verknüpfen
• CMDB, Asset-Inventar, SBOM, Schwachstellenmanagement und Architekturrepository anbinden
• Widersprüche zwischen Konfiguration, Laufzeitbeobachtung und Dokumentation behandeln
• Unbekannte oder nicht auslesbare Kryptografie als eigene Risikoklasse führen

Qualität und Betrieb des Inventars

• Abdeckungsmetriken für Assetklassen und Erkennungskanäle definieren
• Fehlalarme, veraltete Einträge und Schatten-IT systematisch bearbeiten
• Änderungsereignisse aus Entwicklung, Betrieb und Beschaffung zur Aktualisierung nutzen
• Eigentümerbestätigung, Stichproben und technische Re-Scans kombinieren
• Nur Metadaten und sichere Referenzen inventarisieren, niemals private Schlüssel oder andere Geheimnisse in das Inventar kopieren
• Zugriffsschutz für sensible Angaben zu Schlüsseln, Vertrauensankern und Sicherheitsarchitektur festlegen

Praxisübungen

• Ein Inventarschema und Pflichtfelder für eine heterogene Umgebung definieren
• Beispielfunde aus Netz, Zertifikaten, Code und Lieferantenangaben normalisieren
• Blindstellen und Datenqualitätsprobleme anhand von Evidenz bewerten
• Abdeckungskennzahlen und einen Aktualisierungsprozess für das Inventar entwickeln