Ciclos de vida más cortos, brechas de riesgo más amplias: Preparación para el cambio a certificados TLS de 90 días

De nuevo. El 3 de marzo, Google anunció una propuesta para reducir la vida útil de los certificados TLS públicos de los actuales 398 días a solo 90 días. Esto es como un déjà vu para los equipos de TI y seguridad, que han sido testigos de una vida útil cada vez más corta en los últimos años.

Cutting back the lifespan of digital certificates means that enterprises really need to level up their certificate management game. That means ensuring optimal visibility to quickly catch expiring certificates before they become problematic and cause costly outages and downtime.  

Here we share the implications of Google’s “Moving Forward, Together” project and how you can best prepare for the changes ahead.

Ciclos de vida más cortos requieren una gestión de certificados más frecuente

Enterprises are issuing certificates at a large scale, and according to Keyfactor’s annual State of Machine Identity report, the average volume of certificates issued within an organization is 256,000. But more certificates can lead to more problems if a company can’t manage them. 

Almost two-thirds (62%) of respondents said they don’t actually know how many certificates they have. Without visibility, they can’t easily determine who owns these certificates, who issued them, or what applications or servers they are installed on. The problem will only be compounded with shorter certificate lifespans because 72% say the growing use of keys and certificates is putting increased pressure on their teams.

El problema no son los certificados, sino la naturaleza humana. Las personas son olvidadizas y solo pueden concentrar su atención en un número limitado de cosas. Esto es importante recordarlo en el contexto de la disminución de la vida útil de los certificados y el aumento de 4 a 5 veces en la carga de trabajo para renovarlos.

Ventajas de seguridad vs. dificultades operativas

El proyecto de Google “Moving Forward, Together” incluye varias propuestas de cambio, y la más impactante podría ser el período máximo de validez de 90 días para los certificados. La intención de este cambio es mejorar la seguridad al tener el certificado disponible por un período de tiempo más corto. Es un concepto similar al de cambiar la contraseña con frecuencia. 

Sin embargo, ha habido cierto debate sobre si el beneficio de seguridad justifica la carga operativa. Por eso, existe un impulso para aliviar la carga operativa mediante la automatización de tareas relacionadas con los certificados, como la inscripción, la renovación y el aprovisionamiento. 

Aunque ACME puede ayudar a las organizaciones a empezar a adoptar la automatización, no es una solución universal. Los equipos de TI y seguridad necesitan un enfoque multifacético para la automatización, que incluya el uso de protocolos de inscripción estándar de la industria como ACME, SCEP y EST, así como herramientas de automatización del ciclo de vida de los certificados, para asegurar que estén bien equipados para manejar la amplitud de casos de uso en toda su empresa. 

También deben asegurarse de que no solo la renovación esté automatizada, sino también el aprovisionamiento y la instalación de certificados. Ahí es donde a menudo surgen los problemas. Un propietario de aplicación puede renovar un certificado, pero olvidar instalarlo, instalarlo incorrectamente o simplemente perder horas de su tiempo que podrían dedicarse a sus prioridades. Automatizar el ciclo de vida de un certificado de principio a fin ayuda a reducir estos errores humanos y a disminuir, o incluso eliminar por completo, el tiempo dedicado a tareas repetitivas y tediosas como esta.

Deje de entrar en pánico y comience a prepararse

Existe incertidumbre sobre cuándo – y si – se producirá el cambio a certificados de 90 días. El cambio requiere una votación que podría tardar entre seis y doce meses, seguida de un período de transición. Además, el cambio ya está encontrando resistencia por parte de las leyes antimonopolio de la UE.

The only constant is change when it comes to security, and it’s just a matter of how and when that change will play out. Preparing for a change like this doesn’t happen overnight, and it takes time and careful planning. 

¿Qué pasos pueden tomar las empresas para asegurar su preparación? Son exactamente las mismas acciones que ya debería estar realizando para sus certificados de 398 días e incluyen:

• Visibility: Develop an understanding of where all the certificates live across your network.
• Accountability: Define certificate ownership and delegate responsibility for the lifecycle of the certificate. 
• Policy and process: Simplify certificate requests and approvals with self-service enrollment.
• Automation: Automate the entire lifecycle with alerts, renewals, and provisioning. 

Remember, automation is more than just getting the certificate to the asset. It’s configuring the asset to use the certificate and then reporting back that the certificate has been updated and is now being used by the device. Then, if something has not gone according to plan, you’ll have time to be able to react and take remediation actions.

To learn more about the impact of Google’s “Moving Forward, Together” project and how Keyfactor can help you prepare for shortened certificate lifespans, watch the on-demand webinar The Shift to 90-Day TLS Certificates: How to Prepare.