Cómo usar SCEP para asegurar la gestión de certificados móviles

Llevamos bastante tiempo trabajando en ello, pero por fin podemos anunciar públicamente un problema que hemos encontrado, relacionado con el uso del Protocolo simple de inscripción de certificados, o SCEP, en conjunción con dispositivos móviles.

Llevamos meses trabajando entre bastidores con la gente del United States Computer Emergency Readiness Team (US-CERT) y el CERT/CC de Carnegie Mellon, nuestros clientes y varios proveedores, para ayudar a concienciar sobre este problema. El informe del CERT puede consultarse aquí, y en nuestro sitio web tenemos un libro blanco y un vídeo con más información.

Cabe señalar que no todos los usos MDM de SCEP son igual de vulnerables. Los escenarios que más nos preocupan son los que implican el uso de SCEP para emitir certificados de autenticación a sistemas empresariales como ActiveSync, WiFi y VPN.

En algunos casos puede ser posible utilizar configuraciones alternativas que reduzcan o eliminen estos riesgos; en otros, puede ser más difícil. CSS está dispuesto a ayudar a los clientes a evaluar su uso específico de SCEP y PKI para determinar su grado de exposición.

Además, hemos incorporado un motor de validación SCEP a nuestro producto Mobile Certificate Management System (mCMS) que resuelve este problema de forma muy elegante. También ponemos este motor a disposición de terceros interesados en obtener licencias.