Comienza la cuenta atrás para Keyfactor Tech Days | ¡Asegura tu plaza hoy mismo!

  • Inicio
  • Blog
  • PKI
  • Pelando la cebolla de la PKI: ¿Puedo confiar en mi PKI?

Pelando la cebolla de la PKI: ¿Puedo confiar en mi PKI?

PKI

"¿Qué hace que un certificado digital sea seguro?"

Cuando hago esta pregunta a nuestros clientes, la respuesta que recibo la mayoría de las veces es algo así como "tiene un algoritmo seguro" o "está emitido por una autoridad de certificación (CA) y no autofirmado".

Aunque ambas respuestas son correctas, hay muchos más factores que hacen que una PKI sea fiable. La PKI no sólo consiste en la capacidad de emitir un certificado desde una CA, sino también en el plan y el proceso generales de seguridad y gestión de una CA.

Profundicemos un poco más.

El concepto erróneo de PKI en la alta dirección

Muchos CIOs y CISOs con los que hablo tienen la idea errónea de que sólo porque su organización tiene una PKI es intrínsecamente segura, lo que a menudo no es cierto. A menudo me encuentro con que los equipos de seguridad que implementan la PKI se centran únicamente en dotar a su organización de la capacidad de emitir certificados desde una perspectiva técnica.

Esto lleva al escenario común de que alguien haga clic en "Siguiente... Siguiente... Siguiente... " durante la instalación de la CA, y proclame "¡Ya lo tengo funcionando!". Aunque esto puede cumplir el objetivo de tener una PKI, no cumple los objetivos de seguridad a largo plazo de la empresa.

Creación de una PKI multicapa

Una buena implementación de la PKI debe tener varios niveles e ir más allá del enfoque limitado de la emisión de certificados. La implementación debe ser una ejecución bien pensada y planificada que tenga en cuenta todos los aspectos de la seguridad de la PKI. Esto debería considerar la protección de las claves frente a amenazas tanto externas como internas.

¿Quién tiene acceso a la infraestructura de virtualización y a los discos? ¿Quién tiene acceso físico al centro de datos? ¿Quién tiene acceso a las copias de seguridad? Todos ellos son puntos potenciales de peligro.

Componentes de la PKI multicapa

Desentrañemos la cebolla de la PKI. Como ejecutivo, ¿cómo sabe si la PKI de su organización es fiable? A continuación encontrará un rápido cuestionario que puede identificar algunos problemas en las áreas de seguridad de la PKI que a menudo se pasan por alto y ayudarle a evaluar la fiabilidad de su infraestructura de PKI.

Si responde con sinceridad a estas preguntas y se encuentra respondiendo "no" o "no lo sé" a muchas de ellas, es hora de replantearse su estrategia de PKI.

PKI Cebolla

Capa Preguntas
Arquitectura general
  • ¿Está bien diseñada la arquitectura con una CA raíz fuera de línea y una CA emisora dedicada?
  • ¿Existen documentos de PL y SPC y se realizan auditorías para garantizar que se siguen las prácticas?
Acceso al centro de datos
  • ¿Es adecuada la seguridad física del centro de datos? (Controles biométricos, antirretorno, videovigilancia)
  • ¿Todo el personal es de confianza y ha sido sometido a una exhaustiva investigación de antecedentes?
Acceso a servidores físicos
  • ¿Están los servidores CA protegidos contra el acceso físico? (bastidores con cerradura, jaulas, almacenamiento seguro)
  • ¿Se aplican controles multipersona al acceder a claves privadas?
Infraestructura de virtualización
  • ¿Quién tiene permisos sobre los servidores virtualizados? ¿Pueden acceder a los archivos del disco virtual administradores que no sean de la PKI?
  • ¿Existen procesos para evitar la migración de hardware virtualizada a una ubicación no segura?
Sistema operativo
  • ¿Quién tiene derechos de administrador de la CA? ¿Es más que el equipo designado el que debe tener acceso a las claves de la CA?
  • ¿Están cifrados y protegidos los datos de las copias de seguridad para que no puedan reconstruirse sin un acceso adecuado?
Autoridad de certificación
  • ¿El acceso a la CA está restringido únicamente a los administradores de la PKI o tienen permisos grupos más amplios, como los administradores de dominio?
  • ¿Se recopilan y archivan todos los archivos de registro durante un periodo de tiempo adecuado y se revisan para detectar actividades anómalas?
HSM
  • ¿Se almacenan todas las claves privadas en un HSM?
Claves
  • ¿Sabe si sus claves privadas se han almacenado en soportes no seguros o se han transferido por medios no seguros?

Avanzar

¿Puede una PKI que no es de confianza volver a serlo? Por desgracia, la respuesta suele ser no. Una vez que se ha desplegado una PKI con malas prácticas de gestión de claves, suele ser mejor empezar de nuevo con una nueva estrategia y una nueva implementación. Esto se debe al hecho de que no sabes si tus claves ya han sido comprometidas.

Existe el riesgo potencial de que una copia insegura de uno de sus certificados críticos ya haya sido descargada o almacenada en una ubicación insegura que podría verse comprometida más tarde. Por esta razón, probablemente sea mejor volver a diseñar correctamente y empezar de nuevo.

No intente recorrer este camino solo. Si descubre que puede haber llegado el momento de actualizar su PKI, Keyfactor cuenta con un equipo de expertos en PKI dispuestos a ayudarle. Podemos desplegar la infraestructura PKIaaS de mejores prácticas que le proporcionará el nivel de confianza que necesita para saber que sus datos y aplicaciones están protegidos y son fiables.