En la era del trabajo a distancia y del Internet de las cosas (IoT), las empresas de seguridad no cesan de predicar sobre la confianza digital, ¡porque es una batalla interminable! Tara ganar la batalla, debe convertirse en uno con su PKI y aportar equilibrio a su organización.
Por desgracia, el lado oscuro de la PKI puede corromper su programa de seguridad y dejar a la rebelión -error, su organización- vulnerable a los ataques.
Por suerte, hemos desarrollado una nueva guía (¡más información sobre el libro electrónico a continuación!) para exponer el lado oscuro de la PKI y ponerle en marcha en su viaje para convertirse en un Jedi de la PKI.
Visibilidad y control de PKI
Los certificados TLS son fundamentales para el cifrado de datos y las conexiones seguras, pero un solo certificado caducado o mal configurado puede provocar fallos en el sistema e interrumpir servicios esenciales.
Como cuando el sistema CHAPS del Banco de Inglaterra durante 91 minutos debido a un certificado caducado. O cuando el Starlink de SpaceX -una constelación de satélites en órbita alrededor del mundo- se cayó cuando el certificado de una estación terrestre expiró. estación terrestre caducódejando sin conectividad a millones de personas en todo el mundo.
Hay que tener en cuenta que esas interrupciones se produjeron en organizaciones punteras con equipos técnicos cualificados, por lo que es probable que las organizaciones más pequeñas sufran interrupciones que duren más de una hora. De hecho, el informe de Keyfactor2024 PKI & Digital Trust de Keyfactor revela que las interrupciones de certificados provocan una media de 5 horas de inactividad, incluso cuando la causa se detecta rápidamente.
Más allá del tiempo de inactividad, las interrupciones causadas por certificados en peligro pueden tener consecuencias mucho peores. Para reducir estos riesgos, Google y Apple han sugerido acortar la validez de los certificados a 90 y 45 díasrespectivamente. Aunque estas sugerencias son prometedoras, no se someterán a votación hasta 2025 y 2027. Incluso entonces, el resultado sigue siendo incierto, por lo que no es prudente depender únicamente de sus plazos para su seguridad.
Si quiere controlar la seguridad de sus certificados, ésta es la primera regla: omita los procesos manuales como las hojas de cálculo y los scripts personalizados. No se adaptarán a medida que se multipliquen los certificados, por lo que las interrupciones serán inevitables.
En su lugar:
- Centralice su inventario de certificados en servidores, clientes, firma de código y raíces de confianza.
- Realice un seguimiento de las fechas de caducidad, las ubicaciones y la propiedad en todas las CA, los puntos finales de la red, los servicios en la nube, los registros de CT y los almacenes de certificados.
- Utilice herramientas como Keyfactor Command para automatizar la detección de certificados y la gestión del ciclo de vida.
Seguridad optimizada en todos los equipos
Los certificados Rogue son una seria amenaza para la seguridad, como un Lord Sith disfrazado con planes para hacerse un día con el control de la República.
Del mismo modo, los certificados falsos son amenazas silenciosas que pueden provocar costosas interrupciones del servicio. De hecho, el 42% de las organizaciones han hecho de la eliminación de los certificados falsos una de sus principales prioridades.
Estos certificados falsos suelen surgir cuando:
- Los empleados se precipitan en el proceso de creación de certificados sin seguir los procedimientos adecuados.
- Los propietarios de aplicaciones se saltan los protocolos de seguridad para obtener certificados por su cuenta (certificados autofirmados)
- Los equipos de seguridad carecen de visibilidad o control sobre cómo utilizan los certificados los servidores y las aplicaciones.
- Un certificado comprometido se utiliza para proteger varios subdominios (certificados comodín)
Para proteger a su organización de certificados falsos, haga lo siguiente:
- Trabaje con los equipos de aplicaciones y operaciones para comprender sus necesidades y proporcionarles certificados conformes con las políticas.
- Limite el uso de certificados autofirmados y comodín en toda su organización.
- Consolidar las herramientas PKI y CA para reducir costes y complejidad.
- Facilitar a los equipos la obtención de certificados conformes a las políticas
- Implemente una solución PKI como Keyfactor Command para soportar despliegues en la nube y basados en contenedores.
Garantizar la firma de código
La cadena de suministro de software es una de las mayores amenazas para la confianza digital, y el abuso de la firma de código es el vector de ataque más común. En los últimos años, hemos sido testigos de ataques de gran repercusión en los que los agresores vulneran los entornos de firma e infectan directamente el código, con lo que el malware escapa a las defensas. Esto se debe en parte a que los equipos de TI almacenan las claves de firma de código en estaciones de trabajo (53%) y construyen servidores (52%) en lugar de utilizar HSM seguros.
Un ejemplo de vectores de ataque de firma de código en acción es CVE-2023-51634donde la validación incorrecta de certificados HTTPS en routers NETGEAR RAX30 permitió a los atacantes comprometer los datos descargados.
Otro ejemplo de ataque de firma de código se produjo cuando las claves de firma de código de AnyDesk fueron robadaslo que provocó una ventana de mantenimiento de 48 horas y obligó a los usuarios a actualizar su software para evitar accesos no autorizados.
Para ayudar a frenar los ataques de firma de código, el programa CA/B requiere ahora que las claves privadas de los certificados de firma de código se almacenen en HSM.
Pero eso no basta. Para proteger aún más su organización de los ataques de firma de código:
- Imponga el mínimo privilegio mediante controles de acceso a claves y firmas.
- Automatice e integre la firma segura en los flujos de trabajo existentes mediante herramientas como SignServer.
- Genere una lista de materiales de Software (SBOM) en el momento de la firma para garantizar la confianza y la transparencia.
- Marca el tiempo de tu código firmado con una Autoridad de Sellado de Tiempo (TSA) fiable.
- Utilice la autenticación multifactor en toda la cadena de suministro de software .
Seguridad de las claves SSH
El protocolo SSH (Secure Shell) es esencial para realizar tareas administrativas seguras, como inicios de sesión remotos y transferencias de archivos. Sin embargo, muchos equipos informáticos creen erróneamente que el uso de contraseñas o pares de claves para la autenticación SSH es infalible, lo que deja a las organizaciones vulnerables a los ataques.
Aunque las claves SSH son potentes herramientas de seguridad, si caen en las manos equivocadas, pueden utilizarse para pasar desapercibidas entre sistemas. A diferencia de los certificados, las claves SSH no caducan, lo que significa que, una vez comprometidas, pueden utilizarse indefinidamente. Además, como a menudo se comparten o copian, pueden conceder a los atacantes privilegios excesivos.
Los vectores de ataque habituales suelen deberse a claves olvidadas o inactivas por accesos temporales, claves compartidas dentro de los equipos de TI, claves débiles encontradas en código fuente o repositorios públicos, etc. Un ejemplo del mundo real es el malware SSH-Snake, descubierto en 2024, que aprovechaba las credenciales SSH para propagarse por las redes, afectando al 36% de las empresas con sede en Estados Unidos.
Para mantener seguras tus claves SSH:
- Desactiva la autenticación basada en contraseñas que es vulnerable a ataques de fuerza bruta.
- Cree un inventario de pares de claves y asigne relaciones de confianza.
- Supervise el uso, la antigüedad, la solidez y las cuentas asociadas de las llaves.
- Aplique políticas de rotación de claves y elimine las claves débiles o inactivas.
- Utilice certificados SSH de corta duración para una autenticación más segura.
Nota: Lleve a cabo estos consejos de reparación con precaución porque eliminar o rotar las claves SSH precipitadamente puede provocar la pérdida de acceso y cortes de servicio.
Llega Quantum
Los ordenadores cuánticos son prometedores para campos como la medicina y la climatología, pero también suponen una amenaza para los algoritmos de cifrado que protegen los certificados PKI. La computación cuántica podría permitir a atacantes con recursos avanzados forzar incluso nuestros algoritmos criptográficos más seguros.
Podrías pensar: "Bueno, no se va a manifestar pronto", pero las agencias gubernamentales advierten de que los actores maliciosos podrían estar recopilando tus datos cifrados ahora, planeando descifrarlos una vez que los ordenadores cuánticos estén completamente desarrollados. Además, se sabe que las nuevas tecnologías avanzan lentamente hasta que se aceleran de forma inesperada. De hecho, Gartner predice que en 2029 la informática cuántica estará plenamente desarrollada.
No olvidemos que la transición de la criptografía no-cuántica a la post-cuántica es compleja y podría llevar muchos años dominarla. Además, es seguro que llegarán nuevos mandatos y normativas a medida que los gobiernos y los organismos de normalización impulsen la adopción de la cuántica.
Prepararse para la era cuántica:
- Cree un inventario criptográfico completo, que incluya claves y certificados.
- Hable con los proveedores, incluidos los de PKI y HSM, para asegurarse de que están preparados para la seguridad cuántica.
- Invierta en herramientas PKI, como EJBCA, que estén preparadas para la cuántica.
- Prepare sus sistemas adoptando procesos automatizados para la renovación y el aprovisionamiento de certificados.
Mirando al futuro: Explore el libro electrónico
El lado oscuro de la confianza digital va más allá de lo que hemos tratado aquí, y también las soluciones. Consulta nuestro interesante libro electrónico para obtener toda la información que necesitas para reforzar tu confianza digital y proteger la infraestructura de tu organización.
Sumérjase y explore: ¡esperamos que disfrute con esta guía!
