Die Bedeutung der CBOM

Verschlüsselung ohne Verwirrung: Mit "CBOM" den Überblick behalten
Warum Cryptography Bill of Materials (CBOM) zukünftig immer wichtiger wird

Von Nils Gerhardt, CTO von Utimaco

Ein zentrales Element der digitalen Sicherheit dabei sind kryptografische Systeme und ihre Algorithmen. Doch Kryptografie ist oft noch eine Black Box und nicht selten fehlt das Wissen, welche Algorithmen im Unternehmen zum Einsatz kommen. Um digitale Umgebungen bestmöglich abzusichern, müssen IT-Teams verstehen, welche kryptografischen Komponenten innerhalb eines Systems verwendet werden und wie sicher sie sind. Hier kommt die Cryptography Bill of Materials (CBOM) ins Spiel. Ähnlich wie die Software Bill of Materials (SBOM) im Allgemeinen zielt sie darauf ab, Transparenz und Sicherheitskontrollen für Kryptografiesysteme im Speziellen zu gewährleisten.

Eine Cryptography Bill of Materials ist eine detaillierte Auflistung der kryptografischen Algorithmen, Protokolle und Schlüssel, die innerhalb eines Softwareprodukts oder Systems verwendet werden. Die CBOM dokumentiert, welche kryptografischen Funktionen (z. B. Verschlüsselung, Hashing, Signierung) implementiert sind und welche Bibliotheken oder Komponenten dafür genutzt werden.

Typische Inhalte einer CBOM umfassen:
>> Algorithmen: Art und Anzahl der verwendeten Algorithmen, beispielsweise RSA, AES, SHA-256, ECC etc.
>> Schlüsselgrößen: Bit-Länge der verwendeten Schlüssel
>> Verwendete Bibliotheken: Kryptografiebibliotheken wie OpenSSL, BouncyCastle etc.
>> Zertifikate und Schlüssel: Informationen zu Zertifikaten, Schlüsseln und deren Gültigkeit
>> Verwendungszweck: Welche Daten oder Kommunikationskanäle durch die jeweiligen kryptografischen Methoden geschützt werden
>> Sicherheitslevel: Sicherheitsniveau der Verschlüsselung
>> Kryptografische Abhängigkeiten: Beziehungen zwischen einzelnen Krypto-Assets untereinander

Die Bedeutung der CBOM
Die CBOM ermöglicht es Unternehmen und Entwicklern, kryptografische Schwachstellen in einem System zu identifizieren. Veraltete Algorithmen oder unsichere Implementierungen von TLS-Protokollen können so frühzeitig erkannt und ersetzt werden. Wenn eine neue Schwachstelle in einer Kryptografiebibliothek bekannt wird (z. B. Heartbleed in OpenSSL), ermöglicht eine CBOM eine schnelle Identifizierung der betroffenen Systeme und Komponenten. Das minimiert die Reaktionszeit und beschleunigt die Einspielung von Sicherheits-Patches.

Software-Hersteller können eine CBOM dazu nutzen, um Transparenz zu schaffen, sodass Partner und Kunden entlang der Lieferkette genau nachvollziehen können, welche kryptografischen Methoden in einem Produkt zum Einsatz kommen und welches Sicherheitsniveau es erreicht. In hochregulierten Branchen wie dem Finanz- oder Gesundheitswesen trägt eine CBOM außerdem dazu bei, Standards einzuhalten und Audits zu vereinfachen.

CBOM und Post Quantum Cryptography (PQC)
Mit der Entwicklung von Quantencomputern rückt auch immer mehr die Gefahr für konventionelle kryptografische Systeme in den Vordergrund. Verschlüsselungen, die bisher als sicher gelten, könnten durch die überlegene Rechenleistung gebrochen werden.

Inzwischen wurden mehrere Algorithmen standardisiert, die als quantensicher gelten, also auch mit einen Quantenrechner nicht in reeller Zeit gebrochen werden können. Die Einführung dieser neuen Algorithmen wird sukzessive erfolgen und zu neuer Komplexität führen. Um schnell erkennen zu können, welche Anwendungen und Produkte bereits quantensicher sind und wo noch Handlungsbedarf besteht, wird eine CBOM zukünftig ein wichtiges Hilfsmittel sein. Außerdem hilft sie dabei, veraltete und potential unsichere Algorithmen in kritischen Systemen schnell zu erkennen. So können Unternehmen besser priorisieren, wo der dringendste Handlungsbedarf besteht.

Spezielle Crypto Discovery-Tools können Unternehmen dabei unterstützen, sich einen Überblick über die in ihren Software Supply Chains verwendeten Protokolle, Bibliotheken, Algorithmen, Zertifikate und Schlüssel zu verschaffen und bei der Migration zu PQC helfen.

Fazit
Durch die Integration von CBOMs in Sicherheitspraktiken können Unternehmen Schwachstellen schneller identifizieren, besser auf Sicherheitsvorfälle reagieren und regulatorische Anforderungen leichter erfüllen. Angesichts der wachsenden Zahl von Schwachstellen in Kryptografiesystemen wird die CBOM zukünftig eine wichtige Rolle in der Sicherheitsstrategie moderner Unternehmen spielen. (Utimaco: ra)

eingetragen: 11.12.24
Newsletterlauf: 20.02.25

Utimaco: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Fachbeiträge