PKI y certificados para el IoT industrial: Qué son y por qué los necesita

Cybersecurity must be a top priority for every industrial company: not only because of the increasing threat of cyber attacks, but also because compliance with security regulations such as CRA (Cyber Resilience Act) and NIS2 is more important than ever. 

Y todo comienza con la gestión de certificados y la infraestructura de clave pública (PKI), que proporcionan los pilares fundamentales para implementar y cumplir con las normativas de ciberseguridad. A continuación, analizamos lo que se necesita.

Motivaciones y desafíos de la transformación digital industrial

La digitalización de la red de tecnología operativa industrial está ocurriendo en este mismo momento. Empresas de todo el mundo están abriendo entornos de red previamente cerrados al mundo de la conectividad en la nube y los servicios distribuidos.

Whereas the industrial network has traditionally followed a very clear and structured communication pyramid from the field to the enterprise level, these communications are now opened up to the point where each part and sensor can communicate with any other actor in the service mesh.

Este nuevo nivel de conexión ofrece enormes ventajas debido a su flexibilidad, pero también plantea nuevas preocupaciones sobre la seguridad y la confianza. Como resultado, es absolutamente esencial establecer un nuevo paradigma de seguridad para la Industria 4.0, en el que la seguridad esté integrada en cada paso del proceso. Con una base de PKI (infraestructura de clave pública) sólida y robusta como fundamento de la confianza en los procesos y procedimientos.

El estado de los estándares y regulaciones de PKI para el IoT industrial

Hasta hace poco, los estándares y regulaciones que rigen la seguridad PKI necesaria para el IoT industrial eran similares al Salvaje Oeste. Pero, afortunadamente, eso ha cambiado en los últimos años. Y apenas estamos comenzando.

Ahora contamos con varios estándares y regulaciones que rigen el IoT industrial, entre ellos:

62443 IEC standard: This standard offers a basic framework for the security and functionality of the machinery and component manufacturing environment. It’s a very solid framework on which all of the upcoming regulations and directives rely since it gives clear guidelines in terms of product development, service providers, operators, machine builders, and what’s required to reach a dedicated security level, as well as which functionality is needed to implement those guidelines. It’s important to note that PKI is one of the main building blocks of this standard.

Cyber Resilience Act, NIS2, and Machinery Directive: These EU regulations and directives provide requirements for products with digital elements, overall cybersecurity standards, and how to increase trust in digital technologies. Organizations must now consider how to fulfill these requirements within their infrastructure.

IEEE 802.1 AR Secure Identity standard: This is an older standard, but it provides a guide for issuing secure device and machine identities. It’s referenced in many other standards, such as OPC 10000-12, which governs discovery and global services, including the need for a built-in certificate management service, and OPC 10000-21, which looks at secure device onboarding.

RFC 8995 (BRSKI): This standard addresses bootstrapping remote secure key infrastructure, which takes a different angle to secure device onboarding, with the same goal as the OPC standard of bringing devices into a network in such a way that teams can trust in the network in front of them.

Since the 62443 IEC standard underpins everything else, it’s important to understand exactly what it entails. This is a suite of international standards focused on cybersecurity for industrial automation and the control system environment. It splits the market into the component manufacturer, the machine builder, and the plant operator, with the goal of establishing a trusted and secure relationship between each one. 

El estándar 62443 define varios requisitos que deben cumplirse, incluyendo la identificación y el control de acceso, el control de uso, la integridad del sistema, la confidencialidad, el flujo de datos y la disponibilidad. En última instancia, las empresas deben utilizar la tecnología PKI para satisfacer estos requisitos. Por ejemplo, se necesita una identificación y un control de acceso adecuados para emitir certificados, se requieren procesos de firma de código y de actualización inalámbrica (over-the-air) apropiados para establecer la integridad del sistema, y se necesita conectividad TLS para mantener la confidencialidad de los datos.

El estándar también proporciona niveles de seguridad que van del cero al cuatro, basados en escenarios de hacking, recursos, habilidades y motivación, que dictan las medidas necesarias a implementar. A partir del Nivel 2, que cubre un escenario simple para un hacker con pocos recursos, habilidades generales y baja motivación, la PKI se vuelve obligatoria.

Estableciendo la base de confianza para las identidades digitales con PKI

¿Cómo se aplican exactamente todas estas directrices en la práctica? En última instancia, los certificados digitales (gestionados a través de PKI) son la base de la confianza para todas las comunicaciones seguras. 

On the authentication side, having all components certificate-enabled ensures that only authenticated communication parts can connect to the OT environment and establish a trusted communication network. On the signing side, having signing and encryption functionality based on X.509 certificates protects against data interception for all communications, including software updates, over-the-air updates, and more.

Sin embargo, esos requisitos son tan buenos como la tecnología y la gobernanza implementadas. Desafortunadamente, esas implementaciones a menudo se quedan cortas. Por ejemplo, muchas empresas enfrentan desafíos relacionados con certificados autofirmados, que no se gestionan y pueden causar interrupciones. Estas situaciones pueden crear vulnerabilidades graves.

Comprender el problema subyacente se reduce a TLS, que es la base de muchos protocolos en el entorno OT para establecer una conectividad segura. Lo hace a través de dos pasos:

1. Handshake TLS: Autentica al socio de comunicación solicitando un certificado
2. Registro TLS: Utiliza la clave simétrica para establecer un canal de comunicación seguro

But what if you use a self-signed certificate? A self-signed certificate means that someone generates a certificate on their own, similar to writing your name down on a piece of paper and presenting that to border control as your passport. There’s simply no proof of identity and no basis for trust. Beyond that, the expiration date for the certificate is completely unmanaged, which creates further challenges for future authentication.

Un programa PKI gestionado correctamente resuelve este problema creando una infraestructura fiable con las unidades fundamentales necesarias para:

• Emitir identidades digitales en forma de certificados X.509
• Vincular cada identidad a una clave criptográfica
• Verificar la fiabilidad del emisor

En conjunto, esto crea una identidad digital de confianza para dispositivos y unidades como servidores y componentes. Y, dado que un programa PKI centralizado emite los certificados, también permite a los equipos de seguridad gestionarlos y rastrearlos a lo largo de su ciclo de vida para renovaciones más fluidas a medida que los certificados caducan o se ven comprometidos.

El futuro de la PKI y los certificados para el IoT industrial

Ahora contamos con varias regulaciones y directrices que han establecido estándares claros para el uso de PKI y certificados X.509 en el IoT industrial y más allá. Y veremos aún más estándares en el futuro.

En este contexto, toda empresa que trabaje en el IoT industrial debe tener una estrategia PKI clara y enfocada, basada en su caso de uso y construida sobre una infraestructura escalable.

Keyfactor Command and EJBCA Enterprise are examples of modern PKI solutions built to support this focus and scalability. A version of EJBCA is also offered as an open-source solution, available in an extensive GitHub repository, which provides a variety of samples, especially for the industrial world, of how to implement and configure certificates for device and machine identities based on today’s standards. You can also find Keyfactor in the Node-RED, where you can use EJBCA nodes in your workflow engine to design your workflows and implement PKI management and fetching mechanisms directly into the Node-RED workflow engine.

Finalmente, Keyfactor se unió recientemente a un nuevo proyecto llamado TrustPoint, con el objetivo de desarrollar una solución PKI como un stack open-source para el fabricante de máquinas y el fabricante de plantas. Esta solución se basa en la comprensión de que, especialmente en el entorno del fabricante de máquinas, no se necesita una PKI completa, sino un servicio pequeño y dedicado disponible offline que pueda emitir y gestionar certificados dentro de su entorno.

Ready to learn more? Watch our recent webinar on PKI and certificates for the industrial IoT.