Reflexiones del Director de Seguridad, Chris Hickman, sobre el Informe 2019 Keyfactor -Ponemon Institute: El impacto de las identidades digitales inseguras
La ciberseguridad nunca se detiene. Como las amenazas evolucionan cada día que pasa, ni siquiera los controles preventivos más sofisticados detendrán todos los ataques.
Por este motivo, cada vez son más las empresas que están pasando de la prevención y la protección a una respuesta eficaz frente a las amenazas.
La infraestructura de clave pública (PKI) es una piedra angular en cualquier estrategia de ciberseguridad empresarial. Las claves y los certificados digitales están prácticamente en todas partes y ofrecen protección criptográfica para casi todos los sitios hardware y software que utilizamos a diario.
Pero a pesar del cambio hacia una respuesta eficaz, PKI no recibe la misma atención que otras herramientas de ciberseguridad en la empresa. Aun así, se aplica el mismo principio, y un reciente aluvión de incidentes relacionados con la criptografía revela que la mayoría de las organizaciones están mal equipadas para responder eficazmente cuando las cosas van mal.
Por qué no puede permitirse ignorar la criptoagilidad
Como suele decirse, "las cosas pasan", y cuando pasan, a menudo ponen a prueba lo preparados que estamos.
Como ejecutivos de ciberseguridad y TI, generalmente planificamos cualquier incidente de seguridad que pueda amenazar a nuestra organización, pero ¿tiene un plan en marcha para responder a eventos relacionados con criptomonedas?
Un estudio reciente del Ponemon Institute sobre el impacto de las identidades digitales inseguras revela que las organizaciones tienen una media de casi 140.000 claves y certificados en su entorno, pero más del 60% de los encuestados están preocupados por su capacidad para mantenerlos seguros.
Entonces, ¿qué ocurre cuando las claves y certificados en los que confía hoy se convierten en su mayor riesgo mañana?
Echemos un vistazo a algunos de los incidentes relacionados con las criptomonedas que pueden amenazar su negocio.
1. Compromiso de la autoridad de certificación (CA)
Los certificados son de confianza de dos maneras: explícita y ubicua.
- Se habla de confianza explícita cuando se permite que un dispositivo confíe en un determinado certificado o en la CA de la que procede.
- La confianza ubicua es cuando una CA es de confianza nativa de un navegador, aplicación o sistema operativo (por ejemplo, Google Chrome o Windows OS) y el certificado se guarda en un "almacén de confianza".
Pero, ¿qué ocurre cuando ya no se puede confiar en una autoridad de certificación? Puede que la CA haya sido vulnerada o no haya cumplido las normas criptográficas.
Independientemente de cómo haya sucedido, su fuente de confianza para claves y certificados le ha fallado, y ahora le toca recoger los pedazos.
Cuando se producen violaciones de las CA -el informe Ponemon muestra que las organizaciones experimentaron dos incidentes de compromiso de CA en los últimos 24 meses- el impacto es enorme. Según ese mismo informe, el coste medio de recuperación de estos incidentes es de 13,2 millones de dólares.
Ni siquiera se puede confiar en GoDaddy, Apple y Google para garantizar que sus certificados sean seguros y cumplan las normas del sector, ya que recientemente han emitido erróneamente casi un millón de certificados de confianza para navegadores que no cumplían las normas vigentes.
A pesar del riesgo mínimo, el coste para las organizaciones de encontrar y sustituir estos certificados era considerable.
2. Errores en la criptobiblioteca
El descubrimiento de un fallo en una criptobiblioteca también puede dar lugar a la necesidad de generar nuevas claves y reemitir certificados en función de la tecnología utilizada para parchearla o sustituirla.
En octubre de 2017, un fallo descubierto en una biblioteca software utilizada por los módulos de plataforma segura (TPM) de Infineon para generar claves privadas RSA dejó vulnerables a millones de dispositivos de seguridad. En este caso, no bastaba con instalar actualizaciones de firmware: casi todas las grandes empresas del mundo se vieron obligadas a revocar y sustituir manualmente las claves de cifrado débiles.
3. Eliminación de algoritmos
Los algoritmos criptográficos evolucionan. De hecho, es difícil encontrar algún algoritmo criptográfico o mecanismo de hash que no nos haya fallado en los últimos años, sustituido por una alternativa más fuerte y menos quebradiza.
Basta pensar en las claves y algoritmos hash en los que confiábamos en 2007, desde MD5 y SHA-1 hasta claves RSA de 1024 bits. Ninguno es aceptable hoy en día.
Los expertos en el campo de la computación cuántica predicen que los ordenadores cuánticos serán viables en los próximos 15 años. Es probable que este salto adelante altere componentes clave de la criptografía tal y como la conocemos, obligando a las empresas a pivotar hacia nuevas estrategias, normas criptográficas y tecnologías.
La búsqueda y sustitución de claves y certificados en los sistemas afectados sigue siendo en gran medida un proceso manual, con un coste y un riesgo enormes para la organización. En el cambio de SHA-1 a SHA-2, varias organizaciones informaron de gastos superiores a 5 millones de dólares. Y eso suponiendo que no haya auditorías fallidas por el camino, en cuyo caso los costes podrían superar con creces los 14 millones de dólares.
4. Uso indebido de claves y certificados
Las claves privadas son esenciales para descifrar datos y permitir el acceso a información crítica. Pero en las manos equivocadas, pueden utilizarse para hacerse pasar por una entidad de confianza y obtener acceso sin restricciones a su red.
Los atacantes pueden atacar las claves de confianza utilizadas por cortafuegos, equilibradores de carga y servidores, lo que les permite ocultarse en el tráfico cifrado. Al no saber con certeza qué clave ha sido robada, los equipos de TI y seguridad se ven obligados a generar nuevas claves y certificados en cientos de sistemas.
Las organizaciones estiman que experimentaron una media de más de cuatro incidentes de uso indebido de certificados y claves de servidor, con un coste medio de 13,4 millones de dólares en los dos últimos años.
Criptoagilidad - Ahora es el momento de empezar
A la escala de la infraestructura de clave pública actual, las secuencias de comandos manuales y las hojas de cálculo son sencillamente ineficaces.
La criptoagilidad proporciona la capacidad de gestionar sus claves y certificados de forma proactiva y con capacidad de respuesta. Si su empresa no es criptoágil, ahora es el momento de empezar a serlo. La agilidad criptográfica es imprescindible a medida que nos acercamos a la era de la criptografía post-cuántica.
Desarrollar una estrategia eficaz de gestión de claves y certificados e invertir en automatización puede ayudarle a mantenerse un paso por delante de la curva de seguridad y reducir el impacto y el coste de los incidentes relacionados con las criptomonedas para su empresa.
¿Desea obtener más información? Descargue este eBook e inicie su camino hacia una PKI cripto-ágil, o eche un vistazo a nuestra última versión - Keyfactor Command 6 - diseñada para permitir la gestión cripto-ágil de claves empresariales a escala.
