La tecnología que impulsa la confianza digital

En los últimos años, fallos de ciberseguridad de gran repercusión han perturbado las operaciones de organismos gubernamentales, empresas mundiales y la propia infraestructura de la que depende nuestro modo de vida. 

But not all risk is malicious. Downtime and lapses also occur due to internal failures. Digital infrastructure is complicated, and something as simple as an undocumented certificate can bring operations to a screeching halt. 

En cualquier caso, la confianza digital se resiente. Estos incidentes no solo cuestan importantes recursos para solucionarlos, sino que también infligen un daño a la reputación que perdura mucho tiempo después de que se haya resuelto el problema. 

El Foro Económico Mundial (FEM) define la confianza digital como "las expectativas de las personas de que las tecnologías y servicios digitales -y las organizaciones que los proporcionan- protegerán los intereses de todas las partes interesadas y mantendrán las expectativas y valores de la sociedad". 

La construcción de un ecosistema digital digno de confianza digital se basa en la garantía de que los dispositivos, las aplicaciones y los datos son precisos y están a salvo de amenazas. Al igual que la confianza cero y la IA, la confianza digital es un concepto facilitado por la tecnología. 

En este blog hablaremos de los elementos tecnológicos que hacen posible la confianza digital. 

Infraestructura de Clave Pública

La infraestructura de clave pública (PKI) es el ecosistema criptográfico que rige la emisión de certificados digitales. Estos certificados protegen los datos sensibles, aseguran las comunicaciones y proporcionan identidades digitales a usuarios, dispositivos y aplicaciones. 

PKI crea una jerarquía de confianza. Los certificados son emitidos por autoridades de certificación intermedias (ICA), que ascienden hasta la autoridad de certificación raíz. En las grandes organizaciones, las ICA se dedican a funciones digitales concretas. Por ejemplo, DevOps puede tener su propia CA. 

Digital certificates are present in practically every business process. They secure websites and email clients, IoT devices and applications of all kinds, and much more. According to Keyfactor’s 2024 PKI & Digital Trust report, the average organization uses over 80,000 internal certificates at any given time. 

Algunos factores dificultan la gestión de PKI a gran escala. 

• Niche expertise
  
  Most organizations lack a dedicated PKI team. Commonly, PKI and certificates are managed by IT, security, or infrastructure teams. These technicians rarely have niche PKI knowledge, and manual processes exacerbate the potential for user error. 
• A lack of ownership
  
  Even though the teams named above may be administering PKI and certificates, there is no larger vision or centralized governance for PKI. This results in teams using certificates to procure their own solutions and create their own less-than-secure processes.
• Low margin of error
  
  It only takes one expired certificate to knock entire systems offline. This makes the discovery, tracking, and management of certificates a high-stakes practice. 

Innovations like AI, IoT, and quantum computing introduce new use cases and risks to the business while spurring greater certificate volumes. Therefore, sub-par PKIs become harder to manage and modernize. 

Encontrar los socios adecuados será clave para ejecutar estrategias PKI eficaces y escalables. Una correcta selección de herramientas proporcionará a los equipos una verdadera visibilidad del panorama de los certificados y los situará en una buena posición para hacer PKI sin agotarse. 

Protocolo Secure Shell (SSH)

Secure Shell Protocol (SSH) es un protocolo de red criptográfico que permite a los dispositivos operar de forma segura a través de redes no seguras. En otras palabras, asegura las conexiones remotas a la red. También permiten sesiones de máquina a máquina que hacen posible la automatización.

SSH does so through public key cryptography – automatically creating public-private key pairs to encrypt network connections. Safeguarding and properly managing these keys is crucial to building digital trust. 

Organizations use a lot of SSH keys. It’s common to find 50 to 200 keys on a server or a million SSH keys in an organization. Without a management strategy, attackers can compromise these keys to gain high levels of access and circumvent security controls. From there, they can inject fraudulent data, subvert encryption software, deploy malware, or outright destroy systems.

Descubrir todas las claves SSH del entorno informático es vital para protegerlas. Deben tenerse en cuenta las claves heredadas y huérfanas, así como las relaciones de confianza de cada par de claves SSH. Una vez hecho esto, las organizaciones pueden auditar su implementación de SSH para encontrar debilidades y apuntalar los procesos. Deben actualizarse las claves que utilicen algoritmos de cifrado débiles o que proporcionen un acceso raíz innecesario. 

Firma de Código

La firma de código es un proceso criptográfico que otorga un sello de autenticidad a una pieza de software. Los desarrolladores firman digitalmente aplicaciones, software o firmware integrado con claves privadas para demostrar que el código procede de una fuente legítima y no ha sido manipulado. 

Without code signing, or without secure code signing, users may inadvertently download software from a malicious source. Code signing attacks allow attackers to compromise the software supply chain, so malicious software gets pushed out to thousands of users. 

Hoy en día, los desarrolladores publican continuamente nuevas software y actualizaciones. Equilibrar la velocidad de desarrollo con las mejores prácticas de seguridad puede resultar difícil, e integrar el proceso de firma de código en el ciclo de vida de desarrollo existente en software plantea un reto. 

La firma de código requiere su propio conjunto de certificados y claves que son objetivos valiosos para los malos actores que pueden venderlos en mercados clandestinos. 

Para garantizar la seguridad del proceso de firma de código, las organizaciones deben almacenar las claves de firma de código en módulos de seguridad de hardware , en lugar de en ubicaciones inseguras como estaciones de trabajo de desarrolladores o servidores de compilación. También es aconsejable restringir el acceso a esas claves a un número limitado de usuarios autorizados. La segregación de funciones entre estos usuarios puede reducir drásticamente los daños potenciales en caso de que una clave de firma de código se vea comprometida.

Seguridad de la capa de transporte

Al igual que SSH, Transport Layer Security (TLS) es un protocolo criptográfico que protege los datos cuando viajan de un usuario a otro a través de Internet. En la barra de direcciones de su navegador de Internet, el pequeño icono de un candado indica que los datos enviados hacia y desde ese sitio web están protegidos por TLS. 

TLS protege la información confidencial, como contraseñas, números de tarjetas de crédito, hábitos de navegación, etc., para que no sea interceptada por agentes malintencionados. Aunque TLS es prácticamente un hecho para los sitios web, es menos común (aunque aconsejable) en la protección de procesos relacionados con Internet como el correo electrónico. 

TLS Los certificados están orientados a Internet e interactúan con muchas aplicaciones de terceros (por ejemplo, navegadores web). Por tanto, tienen que cumplir las normas de las entidades con las que deben interactuar. Por ejemplo, Google Chrome marca los certificados configurados con una vida útil superior a 90 días o que utilizan un algoritmo hash obsoleto como SHA-1. 

Aquellos que mantengan sus PKI actualizadas con las mejores prácticas más recientes demostrarán ser más resistentes y fiables de cara al futuro digital.

Automatización del ciclo de vida de los certificados (CLA)

Recordemos que los certificados y la PKI suelen ser gestionados por equipos de TI, seguridad o infraestructura. Estos equipos no sólo carecen de conocimientos profundos de PKI, sino que deben compatibilizar PKI con sus responsabilidades principales. 

Dada la explosión del volumen de certificados y la actual escasez de mano de obra en ciberseguridad, los procesos manuales de gestión de certificados no son escalables y agravan las condiciones que conducen al agotamiento del equipo. 

La automatización del ciclo de vida de los certificados devuelve un importante ancho de banda a estos equipos y elimina prácticamente la posibilidad de que se produzca una interrupción. Una plataforma adecuada de gestión del ciclo de vida de los certificados (CLM) resuelve muchos problemas de un plumazo.

• La detección y el registro proactivos recopilan un inventario completo de todos los certificados del entorno informático, incluso de los certificados no rastreados ni documentados que permanecen ocultos a la espera de caducar.
• Como centro universal para todos los certificados, la plataforma CLM ofrece a los equipos una visibilidad total del panorama de certificados en una sola herramienta. Con esta visibilidad, pueden crear e impulsar políticas que respalden prácticas seguras en materia de certificados. 
• Con todos los certificados en un solo lugar, los equipos pueden empezar a automatizar el ciclo de vida de sus certificados. Esto crea la posibilidad de no volver a experimentar nunca más un certificado caducado.

El ADN de la confianza digital

Los certificados digitales, las claves y la criptografía seguirán siendo el ADN técnico de la confianza digital en el futuro inmediato. Si se aprovechan adecuadamente, estas herramientas pueden aislar a las organizaciones de las amenazas de la IA, la cuántica y el cumplimiento normativo. 

Pase lo que pase, estos cambios sísmicos en la tecnología están al caer. Las organizaciones que inviertan en políticas PKI flexibles y resistentes estarán preparadas para el éxito en un futuro próximo.

¿Quiere saber más? Consulte Keyfactor's 2024 PKI & Digital Trust Report.