A medida que su organización amplía el uso de plataformas en la nube, canalizaciones DevOps y comunicación de máquina a máquina, el número de claves criptográficas (especialmente claves SSH) puede crecer de forma incontrolada. Este fenómeno, conocido como proliferación de claves SSH, plantea graves problemas:
-
Falta de visibilidad sobre las llaves que se utilizan
-
Claves vulnerables o huérfanas que pueden pasar desapercibidas
-
Dificultades de cumplimiento de las normas de seguridad y reglamentarias
La gestión manual de claves SSH no es escalable. Para resolver este problema, necesita un enfoque estratégico y automatizado basado en las mejores prácticas de infraestructura de clave pública (PKI). La automatización le ayudará a simplificar la gestión, reforzar el cumplimiento y mejorar la eficiencia operativa.
En este artículo aprenderá:
-
Qué es la proliferación de claves SSH y por qué es un problema creciente
-
Riesgos y problemas de cumplimiento relacionados con las claves SSH no gestionadas
-
Por qué falla la gestión manual de claves en los entornos modernos
-
Cómo la automatización y las estrategias basadas en PKI pueden eliminar la proliferación de claves
-
Mejores prácticas para crear un proceso de gestión de claves escalable y sostenible
Comprender el alcance de la expansión clave
En una empresa típica, miles o incluso millones de claves SSH no gestionadas. claves SSH y certificados digitales sin supervisión centralizada. Las organizaciones podrían ser vulnerables a las amenazas sin ni siquiera darse cuenta.
El problema se extiende a los activos PKI tradicionales, como los certificados X.509, así como a tipos de claves menos controlados, como los pares de claves SSH utilizados para el control de acceso. La dispersión se ve exacerbada por el aprovisionamiento manual, la TI en la sombra y la corta vida útil de los certificados con una alta frecuencia de renovación.
Claves no gestionadas: Un grave riesgo para la seguridad
Hay varias razones por las que las claves no gestionadas suponen un riesgo de seguridad importante para las organizaciones:
- Las claves SSH no rastreadas pueden proporcionar acceso privilegiado y persistente mucho después de que sus propietarios abandonen la organización.
- Las certificaciones olvidadas o caducadas provocan interrupciones imprevistas, rompen las integraciones e incumplen los requisitos de conformidad.
- Muchas organizaciones carecen de visibilidad sobre qué claves están en uso activo, quién las posee y cuándo caducan. La proliferación de claves crea una confianza fragmentada (múltiples CA raíz, certificaciones huérfanas, modelos de confianza SSH contradictorios) que socava la higiene criptográfica.
Gestionar la expansión clave cuando las herramientas existentes se quedan cortas
Las herramientas heredadas no están a la altura. De hecho, la distancia entre los requisitos modernos y las capacidades heredadas no hace más que aumentar. Las herramientas existentes no aprovechan la automatización. Sin automatización, la rotación y revocación de claves son demasiado lentas y propensas a errores.
Las herramientas nativas, como los escáneres de claves SSH abiertas o los gestores de certificación basados en navegadores, ofrecen una visión limitada y fragmentada del uso de las claves. Las herramientas tradicionales de gestión de acceso a identidades y de gestión de acceso privilegiado a menudo pasan por alto las relaciones de confianza de las claves SSH o tratan los certificados PKI como atributos estáticos en lugar de activos dinámicos.
Incluso los grandes equipos de seguridad tienen dificultades para mantener inventarios actualizados de la infraestructura, los contenedores, los dispositivos IoT y los terminales de usuario.
Adoptar un enfoque sistémico para resolver la dispersión clave
Puede resolver el problema de las claves SSH dispersas por el entorno de TI unificando la detección de claves y certificados en un único modelo basado en los principios de PKI.
Un enfoque moderno para controlar la proliferación de claves utiliza la automatización del ciclo de vida de los certificados para supervisar, renovar y revocar continuamente los certificados digitales en todos los entornos. También sustituye los pares de claves SSH no gestionados por certificados SSH emitidos y validados por una autoridad centralizada.
Además, un enfoque basado en PKI establece políticas de gobernanza que definen la propiedad, los límites de uso y los plazos de caducidad para todos los tipos de claves. Integra la gestión de certificados y claves SSH con procesos DevOps, entornos en la nube y sistemas de identidad para aplicar los principios de mínimo privilegio.
4 Rasgos: Cómo es una buena gestión de claves SSH
Las organizaciones con un buen gobierno de claves SSH y una PKI sólida presentan estos cuatro rasgos:
- Visibilidad completa
- Automatización de las operaciones
- Aplicación de políticas y alertas
- Informes unificados y auditabilidad
#1 - Visibilidad total
La visibilidad completa de cada entidad criptográfica en toda la empresa es esencial. No se puede gestionar lo que no se ve. La visibilidad permite evaluar los riesgos en tiempo real para priorizar lo que hay que reparar o sustituir.
#nº 2 - Operaciones basadas en la automatización
La gestión manual de claves SSH ya no es viable hoy en día. La automatización puede detectar elementos de riesgo mejor que los humanos y por menos coste.
Las operaciones automatizadas eliminan el error humano al suprimir ese eslabón del proceso. Además, son significativamente más rápidas que las humanas, por lo que no tienes que preocuparte de que tu organización no esté protegida debido a una clave vulnerable.
#3 - Aplicación de políticas y alertas
Una de las ventajas de la automatización es la aplicación de políticas a escala y las alertas. Son factores de buena gobernanza que reducen las posibilidades de que las amenazas permanezcan en la naturaleza. Las organizaciones con una sólida gestión de claves SSH han automatizado la aplicación de políticas y las alertas. Nadie puede violar las políticas porque la automatización se lo impide. Además, las alertas automatizadas permiten saber cuándo caduca un certificado para poder ocuparse de él inmediatamente.
#4 - Informes unificados y auditabilidad
ISO 27001 y PCI-DSSasí como otras normativas establecidas por el NIST y FedRAMPexigen normas criptográficas estrictas. La gestión manual podría llevar a infringir estas normas y, en caso de auditoría, podría no cumplirlas.
La gestión automatizada de claves SSH permite la elaboración unificada de informes y la auditabilidad. Puede ejecutar informes sobre el cumplimiento de la normativa, así como ofrecer una pista de auditoría a los auditores. Los informes reducen el coste de preparación para las auditorías y reducen la probabilidad de que se produzcan fallos en el cumplimiento. La gestión manual de claves no le ofrece la visibilidad que necesita para ejecutar informes o proporcionar una pista de auditoría.
Command Keyfactor para eliminar la dispersión de claves
Keyfactor Command automatiza el proceso de gestión de claves SSH. Estas son algunas de las principales ventajas:
Descubrimiento automatizado de claves
Obtendrá visibilidad en tiempo real de las claves en toda la organización. Visualice las claves desde una única consola, minimizando la complejidad y ahorrando tiempo.
Imponer la rotación y caducidad periódicas de las claves
Con Keyfactor Command, puede identificar y eliminar las claves no utilizadas o no autorizadas en su red para poder aplicar la caducidad y rotación automatizadas de claves. Defina los periodos de vida de las claves y programe su rotación para un cumplimiento sin complicaciones.
Generación de claves de autoservicio y aprovisionamiento automatizado
Los usuarios pueden generar las claves que necesitan con el autoservicio. La implantación automatizada en cargas de trabajo de servidor y en la nube minimiza el tiempo y el esfuerzo del personal informático, al tiempo que reduce los riesgos de seguridad.
Cumplimiento continuo
Keyfactor Command garantiza que las claves privadas se generen y almacenen de forma segura con la generación de claves en el dispositivo. También se integra con los módulos de seguridad de hardware (HSM) y cámaras acorazadas de claves más conocidos.
Informes y alertas
Puede generar informes personalizados o listos para usar para conocer las claves de toda la organización. Además, puede establecer alertas por correo electrónico o herramientas de chat.
El camino a seguir: Gestión moderna de claves y certificados
La proliferación de claves no va a desaparecer. Los equipos de PKI deben adoptar un papel proactivo para modernizar su enfoque de la gestión de claves y certificados. De lo contrario, las máquinas, las API y las cargas de trabajo efímeras seguirán proliferando sin control, y usted será vulnerable a los riesgos derivados de las claves vulnerables.
Keyfactor Command automatiza la gestión de claves y certificados para que pueda adoptar un enfoque centrado en PKI que proteja a su organización de forma eficiente y eficaz. Explore cómo Keyfactor Command ofrece visibilidad y control centralizados en todo su entorno criptográfico, desde certificados X.509 hasta claves SSH.
¿Tiene preguntas? Contacte con Keyfactor para solicitar una demostración y transforme su estrategia PKI.
