Keyfactor ha publicado hoy un nuevo estudio con datos propios de sus capacidades de Inteligencia de Riesgo Command que pronto se lanzarán en Keyfactor Command. La investigación, titulada "Breaking Digital Trust: Keyfactor Uncovers Risks in 18% of Certificates Used Online" descubre una serie de riesgos comunes impactantes en los certificados en línea.
¿El hallazgo más sorprendente? Existen riesgos en 18% de TODOS LOS certificados utilizados en línea.
Por qué es importante
Demos un paso atrás por un segundo.
Hoy en día hay miles de millones de dispositivos en el mundo y, al igual que los seres humanos, los dispositivos requieren identificación. Sin embargo, a diferencia de los humanos, las identificaciones de los dispositivos vienen en forma de claves criptográficas y certificados digitales que deben gestionarse y protegerse adecuadamente. No es tarea fácil. Una sola organización puede tener cientos de miles de certificados digitales en toda su infraestructura.
Los certificados son la base de confianza digital y gestión de identidades de máquinasEl objetivo de Keyfactor es garantizar la confianza en redes, aplicaciones y entornos en la nube. Con la última investigación de Keyfactorrevelando riesgos en muchos certificados digitales en línea, la gestión y la seguridad de las identidades de máquinas, normalmente bajo la responsabilidad de los CISO y los equipos de seguridad, se hizo mucho más difícil.
Los riesgos descubiertos pueden dar lugar a brechas de seguridad, fallos de cumplimiento y una mayor exposición a las ciberamenazas.
El Keyfactor los riesgos al descubierto
El equipo de investigación Keyfactor analizó 500.000 certificados en línea para descubrir defectos comunes en los certificados que podrían afectar a las organizaciones y a sus correspondientes equipos de seguridad. A grandes rasgos, los defectos de certificados descubiertos pueden clasificarse en cuatro tipos de riesgos: problemas criptográficos que comprometen una clave individual; fallos en la validación de la cadena que impiden el uso de un certificado para el fin previsto; infracciones de políticas que indican una Autoridad de Certificación (CA) mal configurada; y errores en la jerarquía de confianza que comprometen toda la PKI.
Entre los distintos tipos de riesgos de certificados, el equipo de investigación Keyfactor descubrió varios defectos:
-
- Certificados con números de serie negativos: Uno de cada 27 certificados no tenía un número de serie positivo.
- Certificados con larga vida útil: Uno de cada 13 certificados tiene una vida útil de más de 2 años.
- Certificados con archivos de gran tamaño: Por defecto, OpenSSL asigna sólo 100kB para toda una cadena de certificados, y las cadenas más grandes no se pueden validar en sistemas que funcionen con este valor predeterminado.
- Sin uso de teclas: Uno de cada 29 certificados no especificaba el uso de la clave. Los certificados que no incluyen explícitamente un campo de uso de clave se interpretan como utilizables para todos los los fines disponibles.
- Certificado CA sin restricciones básicas: Uno de cada 32 certificados no fue emitido por una CA con Restricciones Básicas.
Según las cifras: Por qué es importante
Aunque cifras como "uno de cada 29 certificados" pueden no sonar como alarmas inmediatas a primera vista, el número de muestra de la investigación de Keyfactorpuede generalizarse a 8.000 millones de certificados conocidos en línea.
Es decir millones de certificados tienen vulnerabilidades críticas que pueden provocar brechas de seguridad, fallos de cumplimiento y una mayor exposición a las ciberamenazas. Aunque algunos de estos riesgos pueden parecer menores, sus posibles repercusiones no lo son.
Cómo pueden abordar estos riesgos los CISO y los equipos de seguridad
Estos resultados ponen de relieve la necesidad crítica de que los CISO y los equipos de seguridad descubran continuamente certificados, automaticen la gestión del ciclo de vida y apliquen políticas estrictas.
Sin una visibilidad y un control proactivos, las organizaciones corren el riesgo de permitir que los certificados débiles socaven su postura de seguridad más amplia. Abordar estas vulnerabilidades de los certificados no es solo una cuestión de cumplimiento, sino de mantener la confianza en el ecosistema digital y prevenir las brechas antes de que se produzcan.
Los clientes de Keyfactor Command PKIaaS y CLAaaS ya están en buenas manos cuando se trata de gestionar y asegurar certificados. Pero, con el inminente lanzamiento de Command Risk Intelligence, obtendrán una visibilidad sin igual de los riesgos específicos de los certificados, antes de que se conviertan en un problema - equipando a los CISOs y a los equipos de seguridad con un enfoque proactivo para la gestión de certificados. La emoción no acaba ahí: cada riesgo recibe una puntuación que permite a los CISO y a los equipos de seguridad priorizar los riesgos más preocupantes para su organización, ayudándoles a gestionar su tiempo de forma eficiente.
Keyfactor Command Risk Intelligence es la primera solución de gestión de riesgos de certificados del mundo, creando un nuevo enfoque para la gestión de certificados basado en su riesgo. Le invitamos aleer el informe de investigación completo aquí y, por supuesto, a sumergirse en cómo Keyfactor descubrió específicamente los datos leyendo nuestro nuevo blog de producto.
