Los mayores cortes de suministro de certificados de 2023 y lo que podemos aprender de ellos

Las organizaciones dependen de la PKI, las claves criptográficas y los certificados digitales para conectar de forma segura a más usuarios, máquinas y aplicaciones que nunca en su entorno de TI. Sin embargo, las empresas tienen cada vez más dificultades para gestionar su creciente panorama de PKI e identidades de máquinas. 

Awareness of certificate-related challenges does not always translate into solving them, as Keyfactor’s 2023 State of Machine Identity Management Report reveals:

• El apoyo a nivel ejecutivo para la gestión de identidades de máquinas está aumentando... sin embargo, más organizaciones afirman que la gestión de claves y certificados ha incrementado la carga operativa de sus equipos. 
• Más organizaciones afirman tener una estrategia madura de gestión de identidades a nivel de toda la organización... sin embargo, más organizaciones también dicen no saber exactamente cuántas claves y certificados poseen.
• Reducir la complejidad de la PKI y prevenir las interrupciones relacionadas con los certificados son las principales prioridades para la gestión de identidades de máquinas... sin embargo, la organización promedio utiliza nueve soluciones diferentes de PKI y autoridad de certificación.

These complications increase the likelihood of certificate-related outages and downtime. Such disruptions compromise the brand in the minds of customers and result in significant remediation costs. 

Con la explosión de identidades digitales y certificados dentro de la organización promedio, gestionar cientos de miles de certificados no es tarea fácil. 

En 2023, observamos que incluso las empresas más sofisticadas encuentran desafiante la gestión de certificados. Estos fallos ofrecen lecciones sobre cómo las organizaciones pueden comprender y prevenir las interrupciones relacionadas con los certificados y gestionar mejor su PKI.

Microsoft Sharepoint

In July, a certificate outage disabled Microsoft Teams, Outlook, and other services. Though Microsoft found and fixed the issue within a few minutes, users still experienced interruption for a few hours. 

Tras una investigación adicional, se descubrió que el certificado TLS alemán de sharepoint.de había sido añadido incorrectamente al dominio principal sharepoint.com. 

La conclusión

Though this incident is by no means a disaster, it shows how easy it is to make a certificate mistake. Removing certificate management from human hands as much as possible reduces the chance of human error. As organizations seek to streamline certificate management, they should seek to automate as much as possible.

SpaceX Starlink

In April, SpaceX’s Starlink satellites went down for several hours, affecting users across the globe. SpaceX’s CEO, Elon Musk, took to Twitter/X to cite an “expired ground station certificate” as the cause. 

Más específicamente, los expertos especularon que el certificado caducado era un certificado TLS, lo que habría provocado que un sitio web o una aplicación basada en la web quedara fuera de línea. Musk lamentó que esta 'vulnerabilidad de punto único' fuera 'inexcusable'.

La conclusión

He’s right. For one thing, the average organization maintains over a quarter million certificates at any given time. It only takes one un-tracked certificate expiring to bring operations to a halt.  

Por otro lado, las empresas de Musk se posicionan como disruptoras. Starlink alcanzó el millón de usuarios en 2022. En la batalla por convencer a la gente de que confíe en una nueva forma de hacer las cosas, interrupciones como esta pueden ralentizar la adopción, dañar la marca y causar interrupciones significativas mientras tanto. 

La función de Spotify de Microsoft

En 2021, Microsoft rediseñó su aplicación Reloj para Windows 11, añadiendo una integración con Spotify que reproduce canciones perfectas para un trabajo profundo y concentrado. Spotify incluso seleccionó algunas listas de reproducción centradas en la productividad para enriquecer la experiencia de integración.

But in February of 2023, the feature went down and stayed down for months. Users could no longer link their Spotify accounts to the Clock app. After users complained in both Spotify and Microsoft support forums, Spotify identified an issue. 

Debido a un certificado caducado, el encabezado oATH que se enviaba a la API de Spotify ya no era válido. En otras palabras, el error recaía en Microsoft.

Esto debería haber sido una solución rápida, y los usuarios estaban frustrados por la persistencia del problema.

La conclusión

Este incidente demuestra cómo una interrupción por certificado puede comprometer el éxito de una nueva funcionalidad o integración.

En nuestro mundo de servicios digitales, es fácil olvidar que la creación de cualquier nuevo servicio conlleva cierto grado de mantenimiento —certificados, en este caso—. Al lanzar nuevas ofertas, las organizaciones deben pensar más allá de su implementación y disponer los recursos necesarios para mantener las funcionalidades operativas a largo plazo.

A partir de ahí, es el momento de profundizar en la configuración de seguridad real. Para ello, es necesario:

Repositorio de GitHub

In January 2023, intruders gained unauthorized access to some of GitHub’s code repositories and stole code signing certificates for GitHub’s Desktop and Atom applications. If the stolen certificates were decrypted, attackers could create maliciously altered versions of the app and pass them off as official updates from GitHub. 

Afortunadamente, los certificados de firma de código de GitHub estaban protegidos con contraseña, por lo que no se produjo ningún daño. GitHub simplemente revocó los certificados robados y publicó nuevas versiones de las aplicaciones equipadas con certificados nuevos. 

La conclusión

Nvidia suffered a similar attack in 2022, in which the hacker group Lapsus$ leaked Nvidia’s code signing certificates so that other malicious actors could use them to sign malware. 

GitHub’s crypto agility proved pivotal in avoiding such a disaster. These days, cyberattacks aren’t a matter of “if” but “when.” Organizations must make plans to contain threats as much as prevent them so that when an attack happens, they can detect and remediate the issue without affecting users.

Cisco SD-WAN

In May, certificates on Cisco’s Viptela and Meraki SD-WAN hardware expired, affecting over 20,000 customers. The expired certificates disrupted cloud, data storage, e-commerce tools, and other services. 

Los certificados y el Hardware fueron heredados por Cisco cuando la empresa adquirió Viptela en 2017. Los certificados llevaban cuatro años de una vida útil de diez años, pero parece que Cisco no previó su caducidad. 

Parece que Cisco tardó en solucionar el problema, lo que un usuario de Reddit bromeó que era “lo más típico de Cisco”.

La conclusión

Incluso en 2024, no existe una forma de integrar sin problemas un sistema con otro adquirido en un contexto post-fusión. Hay muchísimas variables, configuraciones y permisos que tener en cuenta —el estado de los ciclos de vida de los certificados es uno de ellos—.

Finding an unaccounted-for certificate in your own environment is hard enough. Finding it in an unfamiliar, acquired environment is even more difficult. This incident shows the risks of M&A activity, as well as the benefit of an automated, centralized certificate management solution.

Año nuevo, nuevas interrupciones

Quizás sea tanto un consuelo como una advertencia que las interrupciones por certificados les ocurran a algunas de las empresas más innovadoras del mundo. Casi con toda seguridad, podemos esperar más interrupciones en 2024.

Las interrupciones relacionadas con certificados son un subproducto de la falta de visibilidad y control sobre el panorama de certificados de una organización. Cuando las organizaciones automatizan el descubrimiento de certificados y los rastrean a través de un centro unificado, las interrupciones por certificados simplemente dejarán de ser una amenaza. 

Ready to learn how your organization can put a stop to disruptive outages this year? Get in touch — our team is ready to help.