El momento adecuado para generar una CSR: Guía para una gestión más inteligente de los certificados

¿Cómo conseguir que todos los certificados de su organización sigan las mismas reglas de seguridad? Para muchos equipos, es más fácil decirlo que hacerlo. La buena noticia es que ya dispone de un método integrado para garantizar la coherencia: las solicitudes de firma de certificados (CSR).

Una CSR ayuda a estandarizar el tamaño de las claves, los algoritmos y los campos de identidad para que cada certificado cumpla los requisitos de seguridad y conformidad de su organización.

You’ll generate a CSR whenever you need a new certificate from a certificate authority (CA). Once approved, the CA provides the certificate containing the public key and identifying information, while the private key remains secure on the requester’s system. CSRs are required at multiple stages of the certificate management lifecycle: issuance, renewals that involve new key pairs, or when upgrading your organization to new cryptographic standards, among others.

Entonces, ¿cuándo hay que generar un CSR?

En este artículo, identificaremos en qué punto del ciclo de vida de la gestión de certificados puede necesitar un certificado y cómo utilizar las CSR para la aplicación coherente de políticas en toda su organización.

Cuándo generar un CSR

Hay varias etapas del ciclo de vida de la gestión de certificados en las que necesitará solicitar un certificado nuevo o actualizado.

Emisión inicial

You’ll generate a new CSR the first time you need a certificate to stand up a new web server, VPN, or internal application. For example, requesting a TLS certificate from a public CA like DigiCert or Let’s Encrypt requires a CSR as the input.

Añada cualquier CSR nuevo al inventario de claves PKI de su organización, de modo que pueda controlar cuándo es el momento de la renovación.

Renovaciones con nuevo material clave

Los certificados que se acercan a su fecha de caducidad deben renovarse o retirarse, y muchas políticas exigen la renovación simultánea de las claves. Cuando necesite un nuevo par de claves, necesitará un nuevo certificado. Generar una nueva CSR significa que la nueva clave privada es única, lo que impide la reutilización criptográfica.

Si alguna clave ha quedado expuesta en una filtración de datos, debe renovar todos los certificados afectados para evitar accesos no autorizados. Esencialmente, es como cambiar las contraseñas para asegurarse de que alguien con una contraseña (o clave) obsoleta no pueda acceder a sus recursos.

Mejora de la seguridad criptográfica

In addition to renewing certificates, you can (and should) upgrade the protective algorithms used by your organization. Cryptographic algorithms are evolving as decryption technologies mature, forcing organizations to update their algorithms or risk data breaches and other security incidents when outdated algorithms are decrypted.

La clave pública cambia cuando su organización cambia de algoritmo, lo que requiere un nuevo CSR para obtener un certificado actualizado. Estas actualizaciones seguirán siendo populares a medida que los algoritmos más débiles queden obsoletos y, por tanto, sean más arriesgados.

Another reason organizations need to consider upgrading algorithms is post-quantum cryptography (PQC), which covers how cryptography will need to evolve when quantum computing is mature enough technology. Most algorithms would be decrypted by quantum computers in no time at all, meaning your organization should already be reviewing its cryptographic algorithms in preparation for PQC. Get rid of certificates using outdated algorithms in favor of more secure ones.

Migraciones de CA o infraestructuras

When an org changes its PKI infrastructure, including transitioning from an on-premises solution to the cloud, the CA hierarchy changes. Every system will need to generate a CSR again to re-establish trust.

Asegúrese de haber contabilizado todos los certificados existentes antes de una migración importante de CA o infraestructura, y actualícelos lo antes posible (con una herramienta automatizada).

Entornos DevOps automatizados

Al automatizar su canalización de DevOps, necesitará muchos certificados temporales de corta duración. Las cargas de trabajo de Kubernetes suelen utilizar los protocolos Automated Certificate Management Environment (ACME) o Enrollment over Secure Transport (EST) para generar de forma dinámica CSR y solicitar certificados de corta duración. El proceso tiene lugar a velocidad de máquina, pero el principio es el mismo: sigue siendo necesaria una CSR para cada certificado.

Mantenga sus procesos DevOps en perfecto funcionamiento automatizando la generación de CSR junto con otros procesos.

IoT e identidad de dispositivos

Internet of things (IoT) devices generate CSRs locally during manufacturing or provisioning to confirm their identities and get certificates. For example, a smart medical device generates a CSR to request its identity certificate before it can connect to a hospital network.

Asegúrese de evaluar los algoritmos de seguridad para garantizar que los dispositivos IoT no ponen a los usuarios en riesgo de incidentes de seguridad.

¿Cómo se generan los CSR?

Generating a CSR is vital to protecting the root of trust for every certificate your organization uses, particularly for purposes like code signing. When you generate a CSR, you’re essentially creating a new key pair. The public half of the pair goes in the request, and the private half stays local.

El proceso consta de dos pasos básicos:

1. Generate a CSR. CSRs bundle details like the Common Name (CN), Subject Alternative Names (SANs), organizational details, and sometimes extensions like key usage or signature algorithms. Ensure your CSRs are set to the proper algorithms and match the settings used across your organization.
2. La CA emite un certificado. La CA verifica la información de su CSR, la firma y emite un certificado que vincula la clave pública a una identidad.
   • Si la CSR está malformada (SAN erróneas, algoritmos débiles), la CA la rechaza o emite un certificado que no cumple los requisitos de seguridad y conformidad. 

Once this process is complete, your secure certificate should be updated. Ensure the certificates are stored securely, and test to ensure they meet your organization’s security and compliance requirements.

Escollos comunes (y soluciones sugeridas) de la generación de RSE

Cuando genera una CSR para aplicar políticas de seguridad en toda su organización, incluye muchos datos para que la CA los verifique. Si esos datos faltan o son incorrectos, es posible que su empresa no pueda emitir o renovar certificados vitales antes de que caduquen.

He aquí algunos escollos comunes de la RSE y las soluciones sugeridas.

Cómo encaja la generación de CSR en una gestión de certificados madura

El ciclo de vida de la gestión de certificados es masivo, integrado y entrelazado en los entornos modernos, y vital para el buen funcionamiento. Cada certificado debe solicitarse, emitirse, rastrearse, implantarse, renovarse antes de su caducidad y, finalmente, retirarse. Y la mayoría de las organizaciones manejan decenas de miles, si no millones, de certificados. Los certificados mal gestionados se convierten en fuentes de brechas de seguridad e interrupciones que cuestan miles a las organizaciones.

La generación de CSR es un paso fundamental para garantizar que sus certificados son válidos, están actualizados y son seguros. Los procesos de descubrimiento e inventario ayudan a garantizar que se tiene en cuenta cada certificado, pero es en las CSR donde se originan los nuevos certificados. Las herramientas de gestión de certificados deben ayudar a automatizar la generación de CSR siempre que sea posible.

Mature, automated workflows extend from CSR creation throughout the entire certificate lifecycle: issuance, provisioning, renewal, and revocation. The easiest place to enforce your organization’s certificate governance policies, from key size to algorithm choice, is before the certificate is issued. Generating a CSR with the right settings and information will ensure resulting certificates can pass security audits.

Treat CSR generation as an automated, policy-driven process. Keyfactor Command certificate management can help by discovering every certificate, automating renewals, and preventing costly outages, all from a single platform built to scale. Simplify your PKI operations and give your team time back to focus on what matters.