Cuatro consejos para resolver problemas de certificados sin crear otros nuevos

Machine identities are exploding as businesses shift to the cloud, adopt containerization, and use more mobile and IoT devices. As mismanaged certificates cause painful outages and disruptions, the challenge of managing digital certificates is rising to critical for many organizations and leaders.

Keyfactor’s 2023 State of Machine Identity Management report shows that executive support for certificate management is improving, yet more organizations say they lack the adequate staffing to deploy and maintain their public key infrastructure. 

Even in the security realm, managing cryptography and public key infrastructure are niche specialties. A lack of proper tooling makes certificate lifecycle management (CLM) more difficult for general security and IT teams, significantly detracting from their primary responsibilities and duties. 

Keyfactor’s new Certificate Lifecycle Automation Buyer’s Guide helps organizations navigate the market of CLM solutions to identify solutions that keep their certificate usage on track.

La carga de la gestión manual de certificados

The day-to-day office work of almost any unit within a business runs on a patchwork of tools and shadow IT assembled by users to support their workflows. It’s not their fault. They are trying to be as productive as possible. They are too busy staying above the tide of work to step back and identify a better way.

Los equipos que gestionan certificados a menudo no son diferentes. Es probable que utilicen una combinación de estas soluciones:

Hojas de cálculo

Aunque son una herramienta digital, las hojas de cálculo siguen siendo muy manuales y engorrosas cuando se utilizan para rastrear miles y miles de certificados. Además, las hojas de cálculo solo rastrean los certificados que su equipo conoce, no tienen en cuenta los certificados desconocidos que acechan en los rincones más remotos del panorama de los sistemas. Y aunque se utilizan ampliamente, las hojas de cálculo carecen de cualquier tipo de proceso de notificación inteligente o de cualquier concepto de automatización de PKI.

Herramientas de proveedores de autoridades de certificación

A certificate authority (CA) is an entity that generates, signs, and issues digital certificates. Often, a CA vendor will offer a tool for managing certificates from that particular CA. However, most organizations use several CAs. Respondents to Keyfactor’s 2023 State of Machine Identity report used nine CAs on average — managing nine different tools is barely a step up from using spreadsheets. 

Herramientas Open-source

While open-source CA tools can be flexible and low-cost, they rarely cover the full spectrum of use cases within an organization. They still don’t supply centralized visibility and control across all CAs and certificates in use by the enterprise. 

Una mejor manera de gestionar los ciclos de vida de los certificados

Existen mejores soluciones, y quienes las buscan deben comprender dos verdades clave sobre la gestión del ciclo de vida de los certificados para identificar la opción correcta para su organización. 

• Cada certificado importa: Según el  informe de 2023 sobre el estado de la gestión de identidades de máquinas, la organización promedio tiene más de un cuarto de millón de certificados. Cualquiera de ellos podría causar una interrupción al caducar inesperadamente.
• Su solución debe ser un ajuste perfecto: Una herramienta que solo hace el 90% de lo necesario es 100% incorrecta. Si una solución no puede brindarle visibilidad total, sentar las bases para automatizar los ciclos de vida de los certificados e implementarse de una manera que se adapte a su entorno, creará más problemas de los que resuelve.

Every organization has its own unique set of needs. However, in searching for a certificate lifecycle management solution, there are a few universal pitfalls to avoid. 

1. No se quede atado.

Utilizar varias CA no es un error, es una característica. El uso de múltiples proveedores de CA proporciona redundancia si una CA falla o se ve comprometida. Múltiples CA otorgan mayor flexibilidad en la creación de procesos de revocación y más opciones de servicio que ayudan a adaptarse a las necesidades de seguridad particulares de una organización.

That said, organizations must find a CLM platform that can issue and manage certificates from all the CAs used by the organization — and those the organization might use in the future. 

No hacerlo requerirá la adopción de múltiples herramientas, lo que no logra la centralización y crea redundancias, trabajos de mantenimiento y costos innecesarios.

2. No confunda protocolo con plataforma.

Several protocols accelerate the issuance and renewal parts of the certificate lifecycle, but they are far from a complete solution. ACME, EST, SCEP, and other protocols are basically process frameworks that allow communication with certificate authorities. You can think of these as different languages that different CAs are designed to speak in. 

Si bien estos protocolos ayudan con la automatización básica, no proporcionan visibilidad a nivel de toda la organización. Tampoco ofrecen la funcionalidad necesaria para revocar certificados masivamente o automatizar las configuraciones de los puntos finales que vinculan los certificados y la gestión de las raíces de confianza. 

3. Tenga cuidado con el “middleware”.

Evite las arquitecturas de middleware que se interponen entre las CA y los dispositivos finales. Estos proveedores solo gestionan los certificados emitidos por su plataforma y no los que ya existen en su entorno. Esto implicaría el redespliegue de todos los certificados a través de su herramienta y la reingeniería de los flujos de trabajo para adaptarlos a su solución. 

Este camino es arriesgado y laborioso. Recuerde que es beneficioso utilizar múltiples CA; sin embargo, este método obliga a las organizaciones a emplear una única CA si desean lograr una visibilidad totalmente centralizada.

En su lugar, busque soluciones modulares y débilmente acopladas que actúen como orquestadores de certificados, en lugar de como conductos de transacciones o cuellos de botella. 

4. Elija una solución que se adapte a su entorno particular.

La forma en que una solución puede (o no puede) desplegarse es tan crucial como sus capacidades. Ya sea que una organización opere en local o en la nube, o a través de una arquitectura multinube o híbrida, la solución debe ser lo suficientemente flexible como para implementarse sin modificaciones. 

While many organizations have embraced the cloud to one degree or another, legacy PKI infrastructures are likely still hosted on-premise. Most organizations need the ability to run parts, if not all, of their CLM infrastructures in the cloud while still managing on-premise assets.

Es fundamental evaluar su infraestructura y sus requisitos de crecimiento al considerar un modelo de despliegue. Una solución ideal se expandirá con el crecimiento de su organización y sus necesidades criptográficas a lo largo del tiempo.

Resuelva el problema de CLM, no lo cambie por otro.

Tenga en cuenta que la visibilidad sigue siendo el mayor desafío para las organizaciones que buscan madurez en CLM. Esto significa que, al buscar soluciones, desconocen el alcance total de su panorama de certificados. Los líderes de seguridad quieren evitar adquirir una herramienta para luego descubrir que necesitan otra, o que su nueva solución solo cubre el 90% de sus necesidades (o requiere una drástica alteración de los procesos y flujos de trabajo actuales). 

To see what else organizations should consider — and the key features they should look for — check out our new Certificate Lifecycle Automation Buyer’s Guide.

Existen algunas señales positivas que cualquier solución debería ofrecer.

• Debe descubrir, registrar y supervisar proactivamente cada certificado en toda la organización, eliminando por completo el riesgo de certificados no detectados.
• Debe centralizar la gestión de todos los certificados. Esto significa que debe ser capaz de controlarlos todos desde un único centro.
• Debe automatizar los ciclos de vida de las claves y los certificados, eliminando la carga de mantenimiento manual que suponen las hojas de cálculo, las múltiples herramientas de CA de proveedores y las soluciones open-source.