Si está a cargo de PKI y de la gestión de certificados en su organización, ya lo sabe: los certificados autofirmados son un arma de doble filo. La PKI está diseñada para conciliar la confianza entre dos entidades públicas desconocidas entre sí. Pero puede utilizarse internamente, en el vacío, para esencialmente etiquetar e identificar entidades de modo que puedan autenticarse y obtener acceso a otros recursos internos (y ser un recurso ellos mismos).
Cuando una CA firma un certificado, básicamente actúa como un notario, verificando oficialmente la legitimidad de cada identidad, pero eso es innecesario para el uso interno en la emisión inicial. Pensemos en una fábrica con miles de dispositivos conectados por IP, muchos de los cuales necesitan comunicarse con otros dispositivos para realizar su tarea. No necesita que un tercero verifique cada certificado porque usted es el tercero en esta ecuación; sólo necesitan saber que pueden confiar unos en otros.
Por lo tanto, no sólo es más fácil autofirmar certificados para operaciones internas, sino que es lo más lógico. Sin embargo, la falta de verificación por terceros a través de una Autoridad de Certificación (CA) de confianza los hace arriesgados para materiales de cara al público. Y si un certificado autofirmado se cuela a través de la caja de arena en la producción, puede dar lugar a advertencias del navegador para los usuarios (menor) o fallos en la cadena de certificados (mayor).
Evitar estas trampas comunes es una cuestión de diligencia y atención a los detalles. Sumerjámonos en la gestión de certificados autofirmados: lo que hay que saber, lo que hay que hacer y lo que hay que evitar para proteger a su organización.
Problemas de los certificados autofirmados
Comprender los retos que plantean los certificados autofirmados y las mejores prácticas de gestión de certificados puede ayudar a su organización a evitar algunos escollos comunes. Algunos de los problemas más atroces incluyen:
Falta de confianza.
Los certificados autofirmados carecen intrínsecamente de los marcadores de confianza reconocidos por los navegadores y los sistemas operativos. Cuando un navegador encuentra un certificado autofirmado, lanza una advertencia que el usuario debe omitir manualmente para continuar con la conexión. La mayoría de los usuarios no están dispuestos a hacer esto: socava la confianza en el propietario del sitio y supone una barrera importante para cualquier sitio web o aplicación que utilice certificados autofirmados.
Aumento del potencial de ataques man-in-the-middle.
Sin la confianza de una CA para verificar la autenticidad, los atacantes pueden suplantar más fácilmente servicios legítimos utilizando certificados autofirmados falsificados. El cansancio de las alertas se extiende rápidamente, insensibilizando a los usuarios a las advertencias, y un certificado autofirmado de cara al público es fácil de falsificar. Un usuario que pase por alto la advertencia, asumiendo que el certificado es legítimo, podría abrir la puerta a un ataque sin darse cuenta.
Retos del mantenimiento de certificados.
Dado que no requieren la firma de una CA, los certificados autofirmados suelen emitirse, renovarse y revocarse manualmente. Esta gestión manual hace que sea fácil pasar por alto detalles importantes, lo que conduce a una mayor probabilidad de certificados caducados. Los certificados caducados pueden provocar interrupciones del servicio y lagunas de seguridad, y en un entorno en el que es necesario mantener miles de certificados, es sólo cuestión de tiempo que un certificado autofirmado caducado y erróneo paralice las operaciones.
Falta de visibilidad.
La gestión de certificados ya es compleja cuando se trata del ciclo de vida de los certificados, en constante cambio; los certificados autofirmados hacen aún más difícil el seguimiento de cada certificado en su entorno. Sin las herramientas, procesos y supervisión adecuados para supervisar los certificados autofirmados, el origen de una vulnerabilidad o infracción inesperada puede quedar oculto por una organización y gestión deficientes.
Incumplimiento de los requisitos de conformidad.
Los certificados autofirmados a menudo no cumplen las normas de seguridad exigidas por los marcos de cumplimiento modernos, como PCI-DSS, GDPR e HIPAA. En entornos de producción, el incumplimiento de estas normas podría dar lugar a incumplimientos, sanciones legales y graves daños a la reputación de una organización. Es cierto que los certificados autofirmados pueden aplicarse rápidamente para satisfacer las pruebas en entornos de pruebas aisladas, pero jugar rápido y suelto no forma parte de las mejores prácticas de seguridad. Si los certificados autofirmados son un aspecto esencial de las operaciones de su organización, considere el valor de una PKI centralizada.
Romper la cadena de certificados
Admitámoslo: no confiamos en los certificados autofirmados por la misma razón por la que el Tesoro de Estados Unidos pone marcas de agua en los billetes de veinte dólares. La cadena de confianza del certificado, que se remonta a una CA raíz de confianza, es fundamental para asegurar las comunicaciones entre usuarios, aplicaciones y dispositivos. Al igual que la FDIC asegura el valor de veinte dólares, las CA de confianza validan la autenticidad de los certificados. Los certificados autofirmados pueden interrumpir esta delicada cadena, exponiendo a las organizaciones a riesgos de seguridad y causando problemas de accesibilidad a sitios web y aplicaciones.
Cuando un navegador web intenta verificar la autenticidad de un certificado, rastrea la cadena de firmas hasta la CA raíz de confianza. Sin una autoridad superior con la que verificar, el proceso de validación falla, lo que provoca errores de confianza en el navegador. Acompañadas de un lenguaje firme como "Su conexión no es privada" o "El certificado de este sitio no es de confianza", estas advertencias pueden ser suficientes para alejar a los usuarios de un sitio web o aplicación, dañando la experiencia del usuario y la credibilidad del servicio.
La pérdida de un certificado autofirmado puede parecer un problema fácil de solucionar, pero lo que está en juego es la disponibilidad, el cumplimiento y su reputación. Implantar una solución PKI segura y centralizada y limitar el número de certificados autofirmados en su organización son los primeros pasos cruciales para mantener su cadena de certificados de confianza.
Prácticas recomendadas para la gestión de certificados autofirmados
Puede que sus desarrolladores no estén preparados para renunciar por completo a los certificados autofirmados, pero puede adoptar las mejores prácticas en toda la empresa para una gestión de certificados segura y fiable:
- Utilice certificados firmados por CA siempre que sea posible. Algunas soluciones de CA de nivel empresarial le permitirán distribuir certificados firmados por CA a voluntad, con la misma rapidez y eficacia que lo haría un certificado autofirmado. Siempre que sea posible, utilice certificados vinculados a una CA de confianza y use certificados firmados por CA sólo para sitios web o aplicaciones de cara al público.
- Implantar la gestión automatizada de certificados. Los procesos manuales son un campo fértil para el error humano. Automatice el proceso de gestión de certificados para minimizar los errores cometidos en la emisión, renovación, caducidad y revocación manuales. Además, la automatización libera tiempo para tareas más estratégicas y proactivas.
- Utilice certificados intermedios para establecer un puente en la cadena de confianza. Los certificados intermedios son como ramas de los certificados raíz, que proporcionan una capa adicional de seguridad al distribuir la confianza a través de la jerarquía de certificados. Aunque es habitual tener un solo certificado intermedio en una cadena de certificados, las organizaciones más grandes o las infraestructuras más complejas pueden necesitar varios intermedios para mejorar la seguridad.
Centralizar toda la gestión de PKI, incluso los certificados autofirmados, puede minimizar el riesgo de que estos certificados útiles causen problemas más adelante. Establezca flujos de trabajo para auditar y supervisar los certificados autofirmados y utilice la gestión automatizada de certificados para ahorrar tiempo en el proceso.
Llama a los expertos.
Los certificados autofirmados pueden ser útiles en entornos de pruebas y sandbox, pero plantean importantes riesgos de seguridad cuando se introducen en entornos de producción. Utilice certificados firmados por CA, certificados intermedios y gestión automatizada de certificados para mantener una comunicación digital segura y fiable dentro y fuera de su organización. Para obtener asesoramiento experto sobre gestión de certificados y soluciones PKI automatizadas, siga Keyfactor para estar al día de las últimas prácticas en certificados seguros. KeyfactorLas soluciones de confianza de PKI pueden ayudarle a simplificar el proceso de gestión de certificados y proteger a su organización frente a las vulnerabilidades.