Cada día caducan miles de certificados deSSL . En la mayoría de los casos, estos momentos aparentemente insignificantes pasan desapercibidos. Nuestros sitios web siguen siendo seguros, nuestros servidores siguen funcionando y todo sigue igual.
Entonces ocurre. Caduca otro certificado de SSL . Sólo que esta vez, alguien olvidó renovarlo. ¿Qué ocurre a continuación? En este blog, explicaremos por qué caducan los certificados, qué ocurre cuando caducan y cómo responder con eficacia.
SSL Los certificados son un factor importante a la hora de proteger sitios web, aplicaciones y conexiones de máquina a máquina pero, debido a su uso generalizado, también son increíblemente difíciles de rastrear.
¿Por qué hacer un seguimiento de los certificados? Todo se reduce a un acontecimiento: la caducidad de los certificados.
Todos los certificados de SSL tienen una fecha de caducidad determinada. Antes duraban hasta cinco años, luego fueron dos. Ahora, los certificados emitidos públicamente sólo son válidos durante 398 días. A diferencia de las suscripciones a Netflix, que se renuevan automáticamente a medida que el usuario se conecta, los certificados de SSL no se renuevan solos. Esa responsabilidad suele recaer en el equipo de PKI o de seguridad.
Si una organización utiliza sólo un puñado de certificados, puede hacer el seguimiento y renovarlos manualmente. Sin embargo, la realidad es que la mayoría de las empresas tienen miles y miles de certificados en SSL . Llevar la cuenta de dónde residen estos certificados, quién es su propietario y cuándo caducan resulta extremadamente difícil de hacer manualmente a gran escala.
Entonces, ¿por qué tanto lío? ¿Por qué deben caducar los certificados? ¿Y qué ocurre cuando caducan?
La importancia (y el riesgo) de la caducidad de los certificados
La caducidad de los certificados es algo bueno. Por la misma razón por la que renovamos el pasaporte, el DNI y las contraseñas, los certificados tienen una fecha de caducidad y deben renovarse tras un periodo de validez determinado para garantizar su exactitud, actualización y confianza.
Los certificados con una vida útil más corta (90 días o menos) son más seguros y favorables en los entornos cambiantes de hoy en día. Sin embargo, estos certificados de corta duración también aumentan la carga de los equipos encargados de emitirlos y renovarlos.
Las interrupciones se producen cuando la caducidad del certificado pasa desapercibida y los propietarios de sitios web olvidan renovar el certificado a tiempo, a pesar de los múltiples correos electrónicos y mensajes de advertencia. La gravedad y el impacto de estas interrupciones de certificados pueden variar desde un único usuario que no puede acceder a Wi-Fi hasta una interrupción global de la red o del servicio que afecta a millones de clientes.
Para poner las cosas en perspectiva, Keyfactor presentó recientemente un informe sobre el estado de la gestión de identidades de máquinas. En el informe, preguntamos a los encuestados con qué frecuencia experimentan interrupciones relacionadas con los certificados y qué impacto tienen en su organización. Esto es lo que descubrimos:
- El 88% de las empresas siguen sufriendo interrupciones imprevistas debido a certificados caducados
- Por término medio, han sufrido más de 3 interrupciones certificadas en los dos últimos años.
- El 40% de los encuestados afirma que es muy probable que su organización sufra más interrupciones.
- El 59% de los encuestados afirma estar preocupado por el aumento del riesgo de cortes debido a la menor duración de SSL/TLS
Un certificado caducado, una interrupción épica
Casi todas las empresas se enfrentan a interrupciones de certificados, pero muy pocas revelan cuándo ocurren o por qué. Eso fue hasta que Epic Games, creador de juegos tan populares como Fortnite, Rocket League y Houseparty, sufrió un apagón masivo debido a (lo has adivinado) un certificado caducado en SSL .
El 6 de abril de 2021, nos caducó inesperadamente un certificado comodín TLS . Es vergonzoso que un certificado caduquepero nos pareció importante compartir nuestra historia aquí con la esperanza de que otros también puedan aprender de nosotros y mejorar sus sistemas. Si usted o su organización están utilizando la supervisión de certificados, esto puede ser un buen recordatorio para comprobar si hay lagunas en esos sistemas.
¿Qué ocurre cuando caduca un certificado SSL ?
En lugar de restar importancia al incidente, Epic Games convirtió una mala situación en una lección aprendida al compartir un resumen de lo sucedido y cómo podría haberse evitado.
He aquí un rápido resumen de la cronología del incidente:
- Expiración: A las 12:00 PM UTC, un certificado interno expiró. El certificado comodín caducado se instaló en cientos de servicios backend, lo que provocó interrupciones generalizadas en Fortnite, Rocket League, Houseparty, Epic Online Services y Epic Games Store.
- Respuesta: Una vez puesto en marcha su proceso de gestión de incidentes, sus equipos tardaron sólo 12 minutos en descubrir que el certificado caducado era el origen del problema e iniciar el proceso de renovación.
- Solución: A las 12:37 PM UTC, el certificado actualizado fue reemitido y desplegado a través de sus servicios backend durante los siguientes 15 minutos. En ese momento, había 25 personas directamente involucradas en la solución del problema y muchas más luchando contra el fuego en los servicios de Soporte al Jugador, Comunidad, Ingeniería y Producción.
- Fallout: Sus equipos pudieron renovar el certificado y recuperar la mayoría de los servicios en una hora. Sin embargo, la interrupción inicial dejó al descubierto otra serie de problemas en su infraestructura informática, lo que provocó más interrupciones en Epic Games Launcher y Epic Games Store.
En total, Epic Games tardó casi cinco horas y media en recuperarse por completo. Desafortunadamente, este no es un incidente único. La caducidad de certificados ha sido la causa de numerosas interrupciones recientes de gran repercusión y duración, como las de Microsoft Teams, Azure AD o Google Voice.
Causas fundamentales de las interrupciones de certificados en SSL
Cada interrupción es diferente, pero los problemas subyacentes que las provocan son siempre los mismos: visibilidad limitada y falta de automatización. Este incidente no es diferente...
Visibilidad limitada
Las zonas DNS para esta comunicación interna de servicio a servicio no fueron supervisadas activamente por nuestros servicios de supervisión de certificados, un descuido nuestro.
La detección de certificados es una de las partes más importantes de la gestión de certificados, si no la que más. Al fin y al cabo, no se puede renovar un certificado que no se conoce. Dicho esto, el 53% de las empresas aún no saben exactamente cuántas claves y certificados (incluidos los autofirmados) tienen.
Falta de procesos y automatización
Las renovaciones automáticas no estaban habilitadas para este certificado interno, y el trabajo necesario para lograrlo no se había priorizado cuando se identificó a principios de este año.
Para renovar un certificado, los propietarios de certificados suelen tener que generar una nueva CSR, certificarla con una CA, instalarla, verificar que está activa y, a continuación, volver a ponerla en funcionamiento. Si gestiona estos procesos manualmente, es casi imposible responder con eficacia cuando un certificado caduca inesperadamente.
Certificados comodín
El certificado comodín de servicio a servicio utilizado se instaló en cientos de servicios de producción diferentes, por lo que el impacto fue muy amplio.
Los certificados Wildcard SSL son cómodos, pero desde el punto de vista de la seguridad plantean serios problemas. Si la clave privada se ve comprometida o si se permite que el certificado caduque, el radio de explosión se multiplica por el número de servidores en los que está instalado.
Necesidad de automatizar el ciclo de vida de los certificados
Por desgracia, es demasiado fácil que los responsables de TI y seguridad consideren las interrupciones de certificados como un acontecimiento inesperado, en lugar de un síntoma de un problema subyacente mucho mayor: los procesos de gestión de certificados ad hoc y manuales.
No es infrecuente que las organizaciones confíen en una mezcla de hojas de cálculo, interfaces de CA y herramientas propias para realizar el seguimiento y la gestión de sus certificados. De hecho, sólo un tercio (36%) de las empresas utiliza una solución dedicada a la gestión del ciclo de vida de los certificados (CLM). Esto significa que la mayoría de las organizaciones siguen estancadas en procesos manuales y aislados que no ofrecen la visibilidad que necesitan en todo su entorno de TI.
Una estrategia eficaz de gestión de certificados debe supervisar activamente cada certificado, permitir renovaciones y despliegues automatizados en cargas de trabajo y puntos finales, y limitar el uso de certificados desconocidos, autofirmados y comodín, que aumentan el riesgo y el impacto de una interrupción.
Descubra por qué la automatización del ciclo de vida de los certificados es ahora imprescindible para las empresas digitales. Obtenga información de más de 1100 profesionales de TI y seguridad en la primera edición de State of Machine Identity Management y compártala con su equipo.
