Cuando no se tiene un dominio sólido de la Infraestructura de Clave Pública (PKI), las cosas se rompen rápidamente y a menudo sin previo aviso.
A medida que su empresa crece, también lo hace su infraestructura y su huella de clave pública. Sin una supervisión centralizada, la proliferación de claves es inevitable. Y con ello vienen las lagunas de visibilidad, los procesos de revocación incoherentes, el aumento del riesgo operativo y la alta posibilidad de que se produzca una brecha.
Los CISO y los líderes de TI deben dejar de tratar la PKI como una tarea secundaria y empezar a reconocerla como una capa crítica de la seguridad empresarial. Dar prioridad a una higiene de claves sólida no solo reduce el riesgo operativo, sino que también protege la confianza de los clientes y posiciona a su organización para una resiliencia a largo plazo.
Considere la infracción de Microsoft revelada en junio de 2023. Se originó en 2021, cuando un volcado de fallos de un sistema de firma de consumidores de Microsoft incluyó involuntariamente una clave criptográfica utilizada para firmar tokens de autenticación. Debido a unas prácticas inadecuadas de análisis de seguridad y almacenamiento, se accedió posteriormente al volcado desde un entorno conectado a Internet. Los atacantes recuperaron la clave y la utilizaron para falsificar tokens web JSON (JWT) válidos, lo que les permitió eludir los sistemas de autenticación de Microsoft, hacerse pasar por usuarios y obtener acceso no autorizado a los servicios de Microsoft 365.
Incluso después de que Microsoft invalidara la clave, algunos accesos persistían debido a tokens de larga duración que no se rastreaban o revocaban adecuadamente. Esto amplió la ventana de ataque y aumentó el riesgo de movimiento lateral a través de entornos en la nube.
La mayoría de los ingenieros y equipos de seguridad comprenden la importancia de las claves públicas, así que ¿por qué sigue habiendo una mala gestión?
Por qué ocurre
Propiedad fragmentada y TI en la sombra
La cuestión de quién es el propietario de las claves públicas y los certificados lleva años debatiéndose, especialmente en las empresas que no cuentan con un equipo dedicado a la PKI.
Algunos desarrolladores sostienen que el administrador de la red debería comprar y gestionar los certificados SSL , y luego dárselos al desarrollador web para que los instale. Otros dicen que los desarrolladores web no deberían tocar las claves públicas ni con un palo de tres metros porque "no forma parte de sus competencias básicas."
También hay gente que insiste en que es una responsabilidad de DevOps o de los administradores de sistemas, mientras que otros argumentan que es demasiado crítica para dejarla en manos de alguien que no sea la oficina del director de tecnología o del CISO.
Esta ambigüedad crea un riesgo institucional. Cuando la única persona informalmente responsable se marcha, nadie sabe qué certificados caducan, cuáles están obsoletos o dónde se almacenan las claves. El resultado son cadenas de confianza rotas, servicios interrumpidos y esfuerzos de recuperación precipitados.
Seguimiento manual e inventarios incompletos
Algunos equipos de TI y seguridad siguen confiando en Google Calendar, hojas de cálculo de Excel, Snipe-IT, scripts PowerShell caseros, IT Glue e incluso tickets programados del servicio de asistencia técnica para realizar el seguimiento y la gestión de claves públicas y certificados. Este enfoque puede haber sido viable cuando los certificados duraban dos o tres años y las empresas sólo gestionaban un puñado. Pero con Google proponiendo un periodo de validez de los certificados de 90 díaslos equipos que sigan haciéndolo manualmente se verán peligrosamente desbordados y correrán un riesgo mucho mayor de que clave pública pública.
Falta de integración entre la nube y los sistemas locales
Los modelos de PKI suelen dividirse en tres categorías: usuarios totalmente en la nube, usuarios sólo en local y usuarios híbridos.
Algunos equipos prefieren la PKI basada en la nube por su escalabilidad, automatización y menor mantenimiento del servidor. Sin embargo, a menudo conlleva la dependencia de un proveedor, una integración limitada y un control reducido sobre las autoridades de certificación (CA) raíz o intermedias.
On-prem PKI le ofrece un control total sobre las plantillas, el tamaño de las claves y las políticas. Pero exige un mantenimiento manual intensivo, personal especializado e infraestructuras resistentes.
Luego está el modelo híbrido, nube + on-prem, que algunos usuarios consideran el término medio más lógico. Pero el modelo híbrido plantea complejos retos de integración.
Por ejemplo, si los certificados 802.1X caducan en 10 horas pero la Lista de Revocación de Certificados (CRL) se actualiza cada 12 horas, se produce un desfase temporal. En configuraciones híbridas que se basan en CRL u OCSP para validar certificados, los certificados revocados pueden seguir siendo de confianza, lo que introduce un riesgo evitable.
Del mismo modo, la emisión de certificados on-prem, mientras que la gestión de dispositivos en la nube a menudo requiere la exposición de los componentes internos de PKI, tales como CRL u OCSP a Internet. Esto añade complejidad y amplía la superficie de ataque. Incluso con un aislamiento estricto, la visibilidad limitada y los procesos manuales crean puntos ciegos y tiempos de respuesta lentos.
Los costes ocultos de la mala gestión de las claves públicas
Para la mayoría de las empresas, los daños derivados de la mala gestión de una clave pública pueden clasificarse de tres maneras:
Costes directos (pérdidas inmediatas y cuantificables)
Cuando una clave o un certificado caducan o están mal configurados, sistemas críticos como sitios web, API, VPN o servicios de autenticación pueden dejar de funcionar. Los equipos internos pierden el acceso a herramientas, archivos o flujos de trabajo vinculados a claves caducadas o revocadas, lo que paraliza la productividad hasta que se resuelve el problema.
En sectores como el comercio electrónico o las finanzas, cada minuto de inactividad puede costar entre miles y millones de dólares. Además, desencadena acciones de reparación de emergencia, que pueden quemar horas de servicios profesionales de alto coste.
Costes indirectos (impacto empresarial a largo plazo)
Las claves no rastreadas o mal utilizadas infringen normativas de seguridad y privacidad como PCI-DSS, HIPAA o GDPR. Esto podría dar lugar a multas reglamentarias.
Además, los clientes, inversores y socios ven las claves mal gestionadas, los certificados caducados o los cortes de servicio como signos de una higiene de seguridad deficiente. Lo que puede erosionar la confianza, especialmente tras un incidente público.
Costes de oportunidad (ventajas estratégicas desaprovechadas)
La gestión manual de los certificados es una de las principales causas de la mala gestión de la clave pública, y ralentiza los procesos CI/CD y la adopción de la nube. Esto hace que los ingenieros dediquen tiempo a renovar certificados, buscar ubicaciones de claves o depurar problemas de PKI, en lugar de introducir código o lanzar funciones. Además, una PKI poco fiable amenaza las posibles inversiones y asociaciones tecnológicas.
Principios de gestión eficaz de claves públicas
Visibilidad centralizada de claves y certificados
Sin un inventario central, su equipo corre el riesgo de perder el rastro de los certificados dispersos por cargas de trabajo en la nube, contenedores, puntos finales de usuario y sistemas de terceros. Los certificados en la sombra caducan silenciosamente, las claves no autorizadas se reutilizan y los procesos de revocación se convierten en conjeturas.
Centralizar la visibilidad:
- Crea una única fuente de verdad para cada clave y certificado activos en el entorno.
- Permite la supervisión en tiempo real para detectar a tiempo errores de configuración o anomalías.
- Mejora las capacidades de auditoría para satisfacer los requisitos de conformidad
Esta base permite una respuesta más rápida durante los incidentes y reduce el riesgo de que los certificados no rastreados o las claves no gestionadas se filtren en los procesos CI/CD.
Automatizar la gestión del ciclo de vida de los certificados
La gestión manual de certificados no es escalable. Depender de ingenieros o administradores de sistemas para renovar, revocar o desplegar certificados introduce errores humanos, retrasos operativos e incluso interrupciones por caducidad.
Ahí es donde entra en juego la automatización.
Herramientas de gestión de certificados como Keyfactor Command alivian la carga de los equipos individuales y reducen el riesgo de tiempo de inactividad. Al automatizar la emisión, renovación y revocación de certificados, puede:
- Garantice la expedición, renovación y revocación oportunas sin intervención manual.
- Reduzca las interrupciones causadas por certificados olvidados o mal configurados.
- Libere a sus equipos de ingeniería y seguridad para que puedan centrarse en tareas de mayor valor.
La automatización también refuerza la coherencia de las políticas, elimina las configuraciones débiles y mejora la higiene criptográfica general en todos los entornos.
Implantar políticas Crypto-Agile
La criptografía estática y codificada puede dejar sus sistemas vulnerables cuando los algoritmos quedan obsoletos o en peligro.
Criptoagilidad significa ser capaz de adaptarse rápidamente desplegando algoritmos nuevos o múltiples. Requiere:
- Sistemas que pueden intercambiar algoritmos o tamaños de clave sin necesidad de un rediseño completo.
- Evitar la dependencia de herramientas o bibliotecas obsoletas.
- Cumplimiento de los requisitos normativos a medida que se orientan hacia protocolos de cifrado más estrictos.
Exija flexibilidad de algoritmos en sus políticas de uso de claves e insista en que los proveedores soporten capacidades cripto-ágiles. Esto mejora la resistencia de su organización para adaptarse a futuras amenazas y riesgos.
Mala gestión de la clave pública = Riesgo empresarial
Gestionar mal las claves públicas no es sólo un descuido técnico; es un riesgo empresarial. Cuando las organizaciones carecen de visibilidad, automatización y gobernanza en su PKI, abren la puerta a interrupciones, incumplimientos y daños a la reputación que podrían haberse evitado. Por este motivo Los CISO y los líderes de TI deben reconocer que se trata de una capa crítica de la seguridad empresarial. Dar prioridad a una sólida higiene de claves reduce el riesgo operativo, mantiene la confianza de los clientes y posiciona a su organización para una resistencia a largo plazo.
