{"id":442,"date":"2020-12-13T16:38:40","date_gmt":"2020-12-13T15:38:40","guid":{"rendered":"http:\/\/www.consulting-hager.at\/?p=442"},"modified":"2023-02-12T07:51:13","modified_gmt":"2023-02-12T06:51:13","slug":"wenn-ocsp-zum-risiko-fuer-unternehmen-werden","status":"publish","type":"post","link":"http:\/\/www.consulting-hager.at\/?p=442","title":{"rendered":"Wenn OCSP zum Risiko f\u00fcr Unternehmen werden"},"content":{"rendered":"\n

Wie G. Farough von der FSF (Free Software Foundation) berichtete kam es im November zu Problemen mit propriet\u00e4re Software die nicht von Apple selbst stammte. Diese konnte auf den Rechnern der Anwender nicht gestartet werden. Was war die Ursache und welche Schl\u00fcsse sollten daraus gezogen werden.<\/p>\n\n\n\n

Seit dem Umstieg auf MacOS Mojave, fragt das Betriebssystem beim Start eines Programmes den Zertifikatsstatus, bez\u00fcglich des Entwicklers, mittels OCSP (Online Certificate Status Protocol) ab. Durch den Serverausfall kam es zu ung\u00fcltigen Antworten und die Programme konnten nicht gestartet werden. Das Problem wurde zwar rasch behoben zeigte aber eine Grundproblematik auf, welche in der IT-Strategie von Unternehmen beachtet werden m\u00fcssen.<\/p>\n\n\n\n

Hinter OCSP steht ein Konzept mit Vor- und Nachteilen. Die Online Abfrage beim Programmstart soll sicherstelle, dass Programme nur vom richtigen Hersteller, in der aktuellen Version und mit g\u00fcltiger Lizenz gestartet werden. Die ersten beiden Punkte sch\u00fctzen den Anwender, der letzte Punkt die Hersteller und bis zu einem bestimmten Grad auch das Unternehmen um zu verhindern, dass unlizenzierte Software oder Schadsoftware eingesetzt wird.<\/p>\n\n\n\n

Einer der weiteren Vorteile von OCSP ist gegen\u00fcber Blacklisting die h\u00f6here Aktualit\u00e4t. OCSP ist eine Netzwerkprotokoll um X.509 Zertifikate bei einem Validierungsdienst abzufragen. Es ist eine Internetstandard und im RFC6960 beschrieben. Dies sieht auch bestimmte \u201eExeption Cases\u201c vor wenn ein Validierungsdienst nicht oder versp\u00e4tet antwortet. Wie diese \u201eTryLater“ Response verarbeite wird, h\u00e4ngt vom Programm ab. Dar\u00fcber hinaus ist es abh\u00e4ngig ob die Request vom Operating System oder der Anwendung selbst geschickt wird. In Apples Fall war es das Operating System.<\/p>\n\n\n\n

Einige Anwendungen lassen eine TryLater-Response zu und starten die Anwendung trotzdem. Andere lassen dies nicht zu und die Anwendung kann nicht mehr gestartet werden. Dies war hier der Fall. Wie schon oben erw\u00e4hnt gibt es gute Gr\u00fcnde f\u00fcr OSCP Konzepte aber auc Risiken und dieser sollte man sich bewusst sein. Risiken die man kennt kann man managen – unbekannte Risiken \u00fcberraschen die Anwender.<\/p>\n\n\n\n

Mit der zunehmenden Umstellung vom einmaligen Lizenzerwerb zu Abo-Lizenzmodellen zeigt sich welche Risiken sich f\u00fcr Unternehmen auftun k\u00f6nnen. Dies vor allem dann wenn systemkritische Systeme mit derartigen Lizenzmodellen laufen. Ein Ausfall von Validierungsdiensten oder Teilsystemen im Internet kann zu einem vollkommen Stillstand bestimmter IT-Systeme im Unternehmen f\u00fchren. Handelt es sich dabei um systemkritische Anwendungen bedeutet dies den Stillstand des Unternehmens.<\/p>\n\n\n\n

Dieser Vorfall zeigt einmal mehr auf wie wichtig in einer sich immer st\u00e4rker werdenden digitalisierten Welt eine integrierte IT-Strategie f\u00fcr Unternehmen ist. Geh\u00f6rt die IT zu den Backbones des Unternehmens und bauen alle, die meisten oder zumindest die wichtigsten Gesch\u00e4ftsprozesse auf diese auf ist es grob fahrl\u00e4ssig nicht eine vollsta\u00e4ndigen \u00dcberblick \u00fcber die eigen Landschaft zu haben. <\/p>\n\n\n\n

Es stellt sich die Frage, wie am schnellsten diese Herausforderung managen kann? Dies ist f\u00fcr jedes Unternehmen nat\u00fcrlich anders aber es gibt zumindest einige gemeinsame Grundbausteine \u00fcber die jedes Untenehmen verf\u00fcgen sollte.<\/p>\n\n\n\n