Charla técnica: Sustitución de las Microsoft CA heredadas por una PKI moderna

La PKI se considera ahora una infraestructura crítica para las empresas actuales. 

A nivel mundial, las empresas clasifican su plataforma PKI como una de las piezas más fundamentales e importantes de su postura de ciberseguridad. Este reconocimiento de importancia es un gran paso en la dirección correcta para los equipos de seguridad, pero también presenta ciertos desafíos a medida que evoluciona el panorama de la seguridad empresarial.

As a result, organizations must take a serious look at modernizing their PKI infrastructure. This was the focus behind a recent Tech Talk featuring Eric Clauss, Area Vice President at Keyfactor, and Alex Gregory, VP of Marketplace Products at Keyfactor. You can watch the full session here, or read on for highlights.

El desafío: La PKI tradicional no puede satisfacer las demandas modernas

Los procesos de PKI tradicionales son excesivamente complejos, costosos y simplemente no pueden escalar para satisfacer todos los nuevos casos de uso. Estos son desafíos serios dada la naturaleza crítica de la PKI en las empresas actuales.

Algunos de los mayores desafíos de la PKI tradicional incluyen:

• Keeping up with new use cases: Not too long ago, PKI centered around issuing digital certificates to corporate-owned devices. Today, that’s only a small piece of what PKI needs to cover. New use cases are evolving quickly, creating demand for PKI programs to issue certificates for everything from cloud migrations, DevOps processes, and IoT devices.
• CA sprawl: As more use cases pop up, organizations now consume certificates at an incredibly massive rate. In turn, this situation has created CA sprawl as teams spin up new CAs without any standardized policy or visibility so they can deploy new certificates at their convenience. This sprawl happens frequently in DevOps environments, but it’s not limited to just those teams.
• Slow, manual processes: CA sprawl remains so difficult for security teams to get under control because traditional PKI and certificate processes are slow and complex. At a time when teams need a high volume of certificates at a rapid-fire pace, these slow, manual processes simply won’t cut it – all but forcing teams to find workarounds.
• Limited expertise: Finally, PKI is a very specialized industry, and finding team members with the right skills to manage these programs proves difficult. Retaining them is even harder.

El desafío se agrava: El enfoque más comúnmente utilizado – Microsoft CA – está diseñado para un mundo que ya no existe

Estos desafíos se magnifican aún más por la adopción generalizada de Microsoft CA. Desafortunadamente, la realidad es que esta solución está diseñada para un mundo que ya no existe.

Por ejemplo, Microsoft CA presenta inconvenientes operativos, ya que solo permite una CA por servidor. Esto funcionaba bien cuando los casos de uso de PKI eran más limitados, pero en el mundo actual – que requiere el despliegue de miles de certificados – resulta en una huella excesivamente compleja a medida que los programas de PKI escalan. Muchas empresas tienen ahora cientos de servidores con el único propósito de desplegar certificados, lo cual no es eficiente en absoluto.

Además, Microsoft CA tiene capacidades de integración limitadas más allá de la infraestructura de Microsoft, lo que resulta bastante restrictivo a medida que más y más organizaciones adoptan una estrategia multi-nube.

Por último, y no menos importante, Microsoft ya no soporta ni desarrolla activamente Microsoft CA, lo que significa que nunca evolucionará para satisfacer los requisitos cambiantes. Y a medida que el panorama de la PKI sigue cambiando, la desconexión entre lo que las empresas necesitan y lo que Microsoft CA puede proporcionar solo aumentará.

La solución: Una plataforma PKI potente y flexible para satisfacer cualquier caso de uso

Afortunadamente, hay un camino a seguir. El futuro exige una plataforma PKI potente y flexible, y EJBCA Enterprise de Keyfactor ofrece precisamente eso.

Mientras que Microsoft CA tiene sus raíces en el pasado – perfectamente adecuada para centros de datos estáticos y locales, y equipos que necesitaban emitir un bajo volumen de certificados con largos periodos de validez – EJBCA es una solución con visión de futuro, en constante evolución, diseñada para equipos que tienen un entorno dinámico basado en la nube y necesitan emitir un alto volumen de certificados con periodos de validez cortos.

Profundizando, una solución de PKI moderna como EJBCA ayuda a resolver los desafíos que enfrentan actualmente las empresas al ofrecer:

• CA, VA, and RA functionality for a complete PKI solution in a single platform, which allows for centralized management across all use cases
• CA y certificados ilimitados en una única instancia, sin necesidad de desplegar infraestructura adicional, lo que la hace mucho más escalable para los programas de PKI modernos
• Soporte flexible para todos los principales tipos de certificados, algoritmos y protocolos, y HSM, para un programa que permite a las empresas consumir certificados de diversas maneras
• Mayor extensibilidad con una API robusta e integraciones predefinidas que permite que el programa PKI se extienda sin problemas a través de múltiples nubes diferentes
• Alta escalabilidad con soporte para clustering y alta disponibilidad

La solución en detalle: Cómo EJBCA soporta los despliegues de PKI, a su manera

Cabe destacar que EJBCA también ofrece la capacidad de desplegarse de múltiples maneras. Esto incluye un appliance de Software preconstruido y preconfigurado que se integra con HSM, un appliance de Hardware para despliegues llave en mano que ofrece todos los servicios necesarios para soportar un entorno PKI, disponibilidad en los marketplaces de la nube de Microsoft Azure y AWS para un despliegue rápido, y una solución SaaS para una plataforma PKI totalmente funcional respaldada por HSM en la nube y desplegada en minutos.

Keyfactor también ofrece una opción de despliegue PKIaaS para EJBCA, que transfiere la operación y gestión completas al equipo experto de Keyfactor para que las organizaciones puedan consumir certificados sin tener que atascarse en la gestión del programa.

El resultado: Arquitectura PKI simplificada, diseñada para la empresa moderna

Adaptar Microsoft CA – o cualquier otro programa PKI heredado – a una empresa moderna simplemente ya no es suficiente. Crea arquitecturas PKI excesivamente complejas que son costosas, no tan escalables como deberían ser, y que simplemente no pueden soportar los cortos periodos de validez de los certificados actuales.

A modern solution like Keyfactor EJBCA solves these problems and more. For a deeper look at exactly how it does that, plus a live demo, click here to watch the full Tech Talk.