Infraestructura de clave pública (PKI) es una capa de gobernanza que ayuda a las organizaciones a gestionar los candados y las llaves de sus datos y recursos empresariales. Esto incluye la emisión y revocación de certificados, el cifrado y la autenticación.
Un aspecto que suele malinterpretarse sobre la PKI es la criptografía asimétrica. Se trata de un método de cifrado que utiliza claves públicas y privadas para validar el acceso autorizado a un recurso. En este artículo, repasaremos las diferencias entre la clave pública y la clave privada , cómo funcionan juntas y las mejores prácticas de PKI.
Esta técnica de cifrado mejora la confianza digital, disuade las infracciones y contribuye a una mejor postura de seguridad general.
Diferencias entre clave pública y clave privada
En la criptografía asimétrica, los datos se cifran utilizando claves públicas y privadas emparejadas. Las claves funcionan conjuntamente para cifrar y descifrar los datos de forma segura.
Clave pública
Las claves públicas no contienen detalles secretos ni información vital. Estas:
- Se comparten abiertamente: pueden distribuirse ampliamente sin comprometer la seguridad.
- Cifrar y verificar: Se pueden utilizar para cifrar datos o verificar una firma digital.
Por ejemplo,TLS de un servidor contiene su clave pública, que se puede utilizar para cifrar datos que solo se pueden descifrar con la clave privada correcta. Si comparamos los usos de las claves públicas y las claves privadas, las claves públicas funcionan de forma similar a las cerraduras. También se pueden considerar como direcciones de correo electrónico con instrucciones específicas sobre cómo devolver un mensaje (cifrado).
Clave privada
Las claves privadas nunca deben ser públicas, ya que su función es descifrar datos que han sido «bloqueados» por la clave pública correspondiente. Deben permanecer en secreto y estar estrictamente controladas en su organización. Claves privadas:
- Descifrar: Se pueden utilizar para descifrar datos cifrados con la clave pública correspondiente.
- Firma: Las claves privadas pueden crear una firma digital que demuestre el origen de los datos o la aplicación.
Si la clave privada se ve comprometida, los atacantes pueden suplantar la identidad de los sistemas, descifrar datos confidenciales o firmar software malicioso. Al comparar los usos de la clave pública y la clave privada, las claves privadas funcionan simplemente como llaves.
Cómo trabajan juntos
Las claves públicas y privadas funcionan conjuntamente para cifrar y autenticar datos en toda su organización. Por ejemplo:
- Cifrado: un cliente cifra una clave de sesión con la clave pública del servidor, y solo la clave privada del servidor puede descifrarla.
- Descifrado: Una firma digital creada con una clave privada es validada por otros utilizando la clave pública.
Esta dinámica entre clave pública y clave privada permite demostrar tanto la identidad como la confidencialidad a gran escala. Un caso de uso sencillo podría ser:
- Un cliente intenta acceder a los recursos de un servidor.
- El cliente utiliza su clave privada para crear una firma digital y, a continuación, utiliza la clave pública del servidor para cifrar la solicitud.
- El cliente envía la solicitud.
- El servidor recibe la solicitud y utiliza su clave privada para descifrarla, luego utiliza la clave pública del cliente para autenticar quién envió la solicitud.
La gestión automatizada de claves es esencial.
Las claves y los certificados protegen todo lo que podría incluirse en la arquitectura de su organización, desde sitios web y VPN hasta IoT y cargas de trabajo en la nube. Por lo tanto, la gestión de claves es vital en toda su empresa. Una clave extraviada o un certificado caducado podrían tener consecuencias de gran alcance, algunas de las cuales no se verían hasta años más tarde.
Sin embargo, una gestión inadecuada de las claves podría provocar interrupciones del servicio, auditorías fallidas e infracciones.
- Interrupciones: Los certificados caducados interrumpen los servicios, lo que provoca tiempos de inactividad para los empleados y los clientes.
- Fallos en las auditorías: Las deficiencias en la gestión de claves pueden dar lugar a sanciones por incumplimiento normativo.
- Incidentes de seguridad: Las claves privadas robadas o mal utilizadas permiten la suplantación de identidad y la violación de datos.
El principal reto en la gestión de claves es, sencillamente, la escala. Los certificados pueden ascender a millones, lo que hace imposible su supervisión manual. La dinámica entre la clave pública y la clave privada ayuda a su organización a proteger y validar los datos, pero solo si las claves se gestionan correctamente. Nunca deben almacenarse en archivos de texto sin formato; lo ideal es disponer de módulos hardware (HSM) o almacenes para las claves.
El papel de la PKI en la gestión de claves
La PKI ofrece un marco para vincular claves públicas y privadas a identidades de confianza mediante certificados digitales. Sus funciones principales incluyen:
- Autoridades de certificación (CA): Emiten certificados y avalan la autenticidad de las entidades.
- Listas de revocación de certificados (CRL) y OCSP: admiten la invalidación de claves comprometidas.
Sin PKI, la dinámica entre la clave pública y la clave privada carecería de confianza, ya que cualquiera podría reclamar una identidad sin verificación. Las empresas confían en PKI para:
- Servidores web yTLS
- Autenticación de usuarios y dispositivos
- Protección de los procesos de DevOps y las cargas de trabajo en la nube
- Protección de IoT
Repercusiones empresariales de la mala gestión clave y las mejores prácticas
Si la PKI de su organización no cuenta con procesos y protecciones sólidos, su organización podría enfrentarse a riesgos de mala gestión de claves como interrupciones del servicio, incidentes o problemas de cumplimiento normativo.
Interrupciones del servicio + automatización del ciclo de vida
Los certificados caducados o mal configurados pueden provocar interrupciones del servicio y tiempo de inactividad de los empleados. Cada minuto de inactividad no planificada pone en riesgo el dinero dinero y productividad.
Mejores prácticas: Implementar automatización del ciclo de vida de los certificados, renovando y proporcionando certificados automáticamente antes de su vencimiento.
Incumplimientos normativos + aplicación de políticas
Las auditorías fallidas por claves no gestionadas o mal utilizadas podrían dar lugar a multas, sanciones y/o daños a la reputación. Normativas como PCI DSS exigen que se demuestre control sobre los certificados en su organización, lo cual es difícil de demostrar si sus políticas y capacidades de gestión de claves son deficientes.
Mejores prácticas: Aplicar las políticas de PKI y mantenga registros auditables de cada evento del ciclo de vida de las claves. Esto garantiza que, cuando un organismo regulador necesite información para realizar una auditoría, usted la tenga a su disposición.
Incidentes de seguridad (robo/uso indebido de claves) + protección de claves privadas
Las claves privadas perdidas o robadas permiten a los atacantes suplantar la identidad de sistemas de confianza o firmar código malicioso. En el Incidente de claves de Azure de Microsoft en 2021 (divulgado en junio de 2023), una clave se incluyó accidentalmente en un volcado de memoria, fue encontrada por los atacantes y utilizada para eludir los sistemas de autenticación de Microsoft y obtener acceso no autorizado a los servicios de Microsoft 365.
Mejores prácticas: Almacenar las claves privadas en HSM o almacenes, aplicar controles de acceso basados en roles y exigir la generación de claves en el dispositivo siempre que sea posible.
Carga operativa + visibilidad centralizada e inventario
Los equipos dedican horas a realizar el seguimiento de los certificados mediante hojas de cálculo o herramientas aisladas. La mayoría de las organizaciones no saben cuántos certificados tienen ni en qué etapa del ciclo de vida se encuentran esos certificados.
Mejores prácticas: Implemente el descubrimiento continuo y el inventario centralizado en todos los entornos (nube, local, DevOps) para eliminar los puntos ciegos.
Daño a la reputación + criptoagilidad
Las interrupciones del servicio, las violaciones de seguridad y una criptografía débil erosionan la confianza de los clientes y el valor de la marca, lo que repercute negativamente en la reputación de su organización. Si sus clientes no pueden confiar en que sus datos personales estarán seguros en manos de su organización (o, peor aún, si se convierten en víctimas de fraude debido a una violación de seguridad), es mucho menos probable que sigan siendo sus clientes.
Mejores prácticas: Desarrollar la criptoagilidad en la PKI y los procesos de gestión de claves de su organización. Esto implica estandarizar algoritmos sólidos y aprobados, planificar la reemisión rápida a gran escala y prepararse para un período de cambios inminentes.
Cómo prepararse para el futuro de la criptografía
La criptografía está evolucionando rápidamente y las organizaciones deben prepararse para adelantarse a las amenazas. Las tecnologías están evolucionando rápidamente con nuevas normas que se están aplicando ahora y se esperan algunos requisitos en los próximos años, entre los que se incluyen:
- Vida útil más corta de los certificados: actualmente, TLS caducan a los 398 días. En la próxima década, el plazo de caducidad será de 47 días. Esto significa que su organización deberá renovar los certificados con mucha más frecuencia, ya que su vigencia se reducirá casi un 90 %.
- Criptografía poscuántica (PQC): Los ordenadores cuánticos acabarán algún día con los algoritmos actuales de clave pública y privada. Serán capaces de romper por fuerza bruta los estándares de cifrado actuales, por lo que su organización debe mejorar continuamente los procesos de PKI y gestión de claves para defenderse de los ataques que utilicen tecnologías cuánticas.
- Integración con DevOps/Cloud: La PKI debe alinearse con la infraestructura moderna: API, contenedores y canalizaciones CI/CD. Las integraciones con herramientas de IA también deben implementarse cuidadosamente y protegerse con certificados sólidos.
- Prioridad estratégica: Las organizaciones que avanzan hacia la automatización y la agilidad minimizan los riesgos y permiten la innovación. A menos que su organización esté expuesta a un riesgo extremadamente alto de violaciones de datos y otros incidentes de seguridad (gobierno, salud y pagos, entre otros), las pequeñas mejoras constantes a lo largo del tiempo serán más manejables para los equipos de seguridad y mantendrán su organización segura a largo plazo.
Elimine las interrupciones, reduzca el riesgo de auditoría y devuelva a su equipo un tiempo valioso con la automatización integral del ciclo de vida de los certificados. Desde el descubrimiento hasta la renovación y la preparación poscuántica, Keyfactor Command hace que la PKI sea escalable, visible y fiable, independientemente de dónde opere su empresa.
