Después de más de 20 años trabajando con infraestructuras de clave pública (PKI), pocas cosas suenan más ciertas que ésta: La PKI puede ser compleja para empezar, pero el verdadero reto es encontrar los recursos y la experiencia adecuados para mantenerla en funcionamiento después de su implantación. Si no fuera así, no me dedicaría a ayudar a las organizaciones a afrontar este reto cada día.
Nueve de cada diez veces, las organizaciones con las que hablo o bien no diseñaron y construyeron su PKI correctamente desde el principio, optando por tomar atajos para reducir la complejidad y los gastos. O bien la PKI que construyeron hace años se ha vuelto cada vez más difícil de gestionar con el paso del tiempo. Con demasiada frecuencia, se toman decisiones en la gestión de la PKI que, inesperadamente o sin saberlo, tienen como resultado la degradación de la seguridad de la infraestructura global. Lo que una vez fue una herramienta de seguridad fundamental se ha convertido ahora en un pasivo de riesgo.
Construir sobre lo que ya está roto
Muchas de las PKI creadas hace años contaban con un equipo de expertos detrás, pero ahora la mayoría de las organizaciones han traspasado esa responsabilidad al equipo de seguridad, de TI o de identidad. Por desgracia, no es raro que las políticas y prácticas establecidas desde el principio se pierdan en la traducción, ya sea en la transición del equipo del proyecto al equipo responsable de ejecutar la PKI en producción, o cuando la responsabilidad de la PKI cambia de manos entre individuos con el tiempo. Simples errores de configuración, vulnerabilidades de seguridad y lagunas en la aplicación de las políticas se cuelan en la PKI y, con demasiada frecuencia, pasan desapercibidos, no se documentan y la hacen prácticamente irreconocible.
Hoy en día, los equipos de TI y de seguridad se enfrentan al reto de intentar adaptar y rediseñar de forma segura su PKI existente para dar soporte a nuevas aplicaciones como IoT, DevOps y Cloud. Pero por mucho que intenten superar ese reto, la realidad es que solo se tiene una oportunidad de acertar con la PKI: en la instalación. Después de eso, la única forma de corregir un error es reconstruir desde cero.
Las implantaciones de PKI del pasado no se diseñaron para satisfacer las necesidades, la escalabilidad y la complejidad de los entornos de TI hiperconectados de hoy en día, y la mayoría de las organizaciones están construyendo sobre lo que ya está roto.
El ejemplo obvio: Equifax
Es demasiado fácil señalar con el dedo a Equifax, pero la realidad es que las brechas de seguridad subyacentes que condujeron a esta brecha no son en absoluto infrecuentes en muchas empresas hoy en día, en particular cuando se trata de su PKI.
Aunque una serie de errores de seguridad condujeron a la filtración -en concreto, una vulnerabilidad de Apache Struts sin parchear-, fue un único certificado caducado en un dispositivo utilizado para supervisar el tráfico de red de ACIS lo que hizo que Equifax no detectara la filtración de datos fuera de su entorno. No fue hasta que renovaron el certificado (unos 19 meses después de su fecha de caducidad) cuando se detectó el tráfico sospechoso.
Resulta que no se trataba de un solo certificado. Según el informe del Congreso, "Equifax permitió que caducaran al menos 324 de sus certificados SSL . Setenta y nueve de los certificados caducados eran para dispositivos que monitorizaban dominios altamente críticos para el negocio."
A medida que las organizaciones dependen cada vez más de su PKI, aumenta también el riesgo de infracciones, interrupciones y auditorías fallidas relacionadas con los certificados. Los equipos de seguridad no sólo deben automatizar la gestión de claves y certificados, sino que también deben asegurarse de que los componentes subyacentes de su PKI (es decir, autoridades de certificación, listas de revocación de certificados, copias de seguridad, recuperación ante desastres, etc.) funcionan con los niveles de seguridad esperados por la organización.
Prevenir -no parchear- las vulnerabilidades de PKI
La PKI simplemente no se puede parchear. Una vez que se ha tomado una decisión que rebaja el nivel de seguridad de la infraestructura, nunca se puede volver a subir. Piense en ello como en una calle de sentido único con una dirección de viaje que comienza en seguro y conduce a inseguro o arriesgado. Con demasiada frecuencia las auditorías PKI fallan debido a un intento de "arreglar" un error que se ha cometido por el camino. Hay cosas que no se pueden deshacer, como poner una CA raíz en línea, permitir el uso de claves sensibles en los certificados y muchas más.
Para muchas organizaciones, la única forma de garantizar que su PKI sea segura y capaz de seguir el ritmo de las demandas de nuevos casos de uso, tecnologías y crecimiento empresarial, es crear y diseñar una nueva PKI desde cero. No me malinterprete, es una tarea desalentadora, pero con la inversión adecuada en infraestructura, personal y operaciones, el coste operativo, el riesgo y la complejidad de la PKI pueden reducirse drásticamente.
Por dónde empezar
Si no está seguro de por dónde empezar, obtenga más información sobre nuestra PKI como servicio, que hace el trabajo pesado por usted, o consulte estas herramientas que nuestro equipo ha desarrollado para ayudarle en su camino hacia el éxito de la PKI:
- Pruebe nuestra calculadora interactiva de evaluación de riesgos PKI
- Descargue nuestro libro blanco: PKI: las nuevas prácticas recomendadas
- Descargue nuestro whitepaper: 5 razones para trasladar su PKI a la nube
