Actualización de su PKI: cómo generar confianza sin límites

La infraestructura de clave pública (PKI) es una solución consolidada para establecer la confianza en el mundo digital. Pero los casos de uso de la PKI han cambiado significativamente en las décadas que lleva funcionando, y siguen evolucionando a un ritmo vertiginoso.

Por ejemplo, el aumento de las políticas de trabajo remoto y multi-nube ha cambiado el enfoque de la seguridad, que ha pasado de proteger el perímetro a protegerlo todo utilizando identidades de confianza. Por desgracia, las implantaciones de PKI heredadas no pueden seguir el ritmo de este cambio.

Against this backdrop, what do enterprises need to know about upgrading their PKI to meet more modern use cases? To learn more, we recently sat down with Harry Haramis, SVP of Cloud & SaaS Marketplaces at Keyfactor, and Steven Duckworth, Chief Microcomputer Tech Support Specialist at Erie 1 BOCES.

Click here to watch the full conversation, or read on for highlights.

El papel cambiante de la PKI en la empresa

PKI es una infraestructura crítica en la empresa actual, que ahora trabaja para establecer la confianza a través de una variedad de casos de uso digital que abarcan no sólo a las personas, sino también a las máquinas. Algunos de los casos de uso más comunes en la empresa moderna son:

• SSL/TLS certificados para servidores web
• Autenticación mutua y cifrado para dispositivos del Internet de las Cosas (IoT)
• Autenticación en redes Wifi
• Certificados efímeros para servicios multicloud como contenedores y cargas de trabajo
• Firmas digitales y cifrado para un correo electrónico seguro en todos los dispositivos
• Acceso de confianza para aplicaciones y dispositivos móviles
• Autenticación entre routers y cortafuegos para dispositivos de red
• Firmas en contenedores y compilaciones software para equipos DevOps

Dos áreas, en particular, que están viendo el mayor repunte en la actividad de PKI son DevOps y dispositivos móviles a medida que las organizaciones se modernizan en infraestructura de nube y más empleados trabajan de forma remota utilizando una variedad de dispositivos.

Por desgracia, las implantaciones de PKI heredadas que siguen utilizando la mayoría de las empresas son demasiado complejas, costosas y no pueden adaptarse a estos nuevos casos de uso. Dependen de una infraestructura obsoleta que es lenta y no puede satisfacer las demandas de los nuevos casos de uso, como las migraciones a la nube, el trabajo híbrido y los dispositivos IoT . Además, tienden a depender de herramientas dispares que limitan la visibilidad de los equipos de seguridad sobre los certificados y las políticas en toda la organización, lo que dificulta la gestión de los certificados y evita problemas como las interrupciones.

Además de los retos de infraestructura, muchos equipos carecen de los recursos necesarios para mantener estos programas de PKI, ya que las personas con los conocimientos especializados adecuados en PKI son difíciles de encontrar y aún más difíciles de retener.

El obstáculo más común de la PKI: el legado Microsoft CA

Uno de los retos más comunes a los que se enfrentan las empresas en su esfuerzo por modernizar la PKI es la continua dependencia de la Autoridad de Certificación (CA) heredada de Microsoft, también conocida como Servicios de Certificación de Active Directory (ADCS).

Microsoft CA existe desde el año 2000 y, aunque hemos visto múltiples versiones a lo largo de los años, no ha cambiado mucho desde su lanzamiento. Como resultado, cuando las organizaciones intentan utilizar esta solución de más de 20 años de antigüedad para las necesidades modernas de PKI, se encuentran con serios obstáculos:

• • Operational challenges: Microsoft CA only allows one CA per server. At a time when organizations need to issue new certificates from a variety of CAs on a daily basis, this creates an overly complex footprint at scale.
  • Limited integrations: While Microsoft CA integrates well with on-premise Microsoft infrastructure, that’s where it ends. This lack of integration support doesn’t work well as organizations move to a multi-cloud environment.
  • Lack of support: Microsoft is well aware of these limitations and is no longer actively supporting or developing Microsoft CA, meaning that the gap between the limitations of the solution and modern use cases will only continue to widen.

Afortunadamente, existen varios caminos para conseguir una infraestructura PKI moderna en la nube:

• Managed PKI: The PKI infrastructure is deployed, hosted, and managed by an experienced third party in the cloud. Handing infrastructure and management over to a third party means companies don’t need to worry about having any PKI expertise in-house and can simply consume the certificates that come from the program.
• SaaS/Cloud PKI: The PKI infrastructure is deployed, hosted, and managed by the organization in the cloud. In this case, the backend infrastructure is hosted and maintained by a third party, but the company manages their own program as far as issuing certificates, developing policies, and leading ongoing lifecycle management.
• Hybrid PKI: The PKI infrastructure is deployed, hosted, and managed on-premise and integrated with cloud services. This approach requires internal expertise in PKI configuration as well as ownership over servers and other infrastructure pieces. Hybrid PKI is best suited for situations like manufacturing, where companies don’t want to depend on internet connectivity in a remote factory, but then need access to those devices (via the internet) to renew certificates and provide ongoing firmware updates once they’re in the field.

Incluso para las organizaciones que se están moviendo a la nube con Microsoft Azure, estos desafíos presentan un obstáculo importante, ya que Microsoft no tiene una solución PKI de primera parte en la nube.

El camino hacia una PKI moderna en la nube

Como parte del proceso de evaluación, es importante que las empresas tengan en cuenta necesidades como los requisitos de confianza de las CA públicas frente a las privadas, los niveles de seguridad y garantía, los casos de uso que se deben admitir, la escalabilidad y disponibilidad de las soluciones de PKI y los conocimientos necesarios para implantar y mantener el programa de PKI. Igualmente importante es considerar la fase actual de madurez de la nube de la organización (así como los planes futuros) para comprender qué debe permanecer detrás de un cortafuegos y qué puede trasladarse a la nube.

Proteger a los trabajadores remotos con una PKI moderna: cómo lo ha conseguido Erie 1 BOCES

Erie 1 BOCES es una cooperativa de escuelas públicas de Nueva York. Cuando COVID llegó por primera vez, la demanda de gestión remota para los portátiles de los estudiantes y del personal creó todo un nuevo conjunto de necesidades. Erie 1 BOCES ya utilizaba Azure Active Directory y Office 365, por lo que el siguiente paso lógico era introducir Microsoft Intune para la gestión de dispositivos corporativos.

However, the team quickly realized they would still need a third-party solution to issue and manage certificates to authenticate the remote devices, for example on Wifi networks. This need led the Erie 1 BOCES team to PrimeKey EJBCA Enterprise, a comprehensive PKI solution available in the Azure Marketplace.

Como explica Steven Duckworth, Especialista Jefe en Soporte Técnico de Microinformática de Erie 1 BOCES, EJBCA se ajustaba perfectamente a las necesidades del equipo por su capacidad para:

• Habilitar un servicio compartido para los usuarios finales, incluidos Erie 1 BOCES y otros distritos escolares.
• Reducir la complejidad de PKI, con soporte para múltiples dominios
• Ofrecer un alto nivel de escalabilidad para la emisión de certificados en miles de dispositivos (sin tarifas por certificado).
• Proporcionar continuidad en entornos virtualizados y en la nube
• Ofrezca asistencia activa a los proveedores para mantenerse al día con los cambios en la infraestructura de la nube.

El equipo también encontró un valor significativo en el hecho de que EJBCA les permitiera implantar y mantener su programa PKI internamente sin dejar de aprovechar la experiencia de un socio.

Ahora, Erie 1 BOCES ofrece PKI como servicio compartido utilizando EJBCA en su centro de datos. El equipo también ha encontrado un valor significativo en la integración directa con Intune, que les permite emitir certificados a las estaciones de trabajo de los usuarios finales para que puedan validarse fácilmente en las redes inalámbricas internas de Erie 1 BOCES. En el backend, los nodos dedicados de EJBCA también gestionan los servicios de autoridad de validación y revocación de certificados para cubrir el ciclo de vida completo de los certificados.

¿Quiere saber más?

If you’re interested in learning more about how a modern PKI program can help you build trust without boundaries, and how organizations like Erie 1 BOCES have made that vision a reality, click here to watch the full webinar on upgrading your PKI featuring Keyfactor and Erie 1 BOCES.