¿Por qué son importantes las identidades de máquina (y qué hacer al respecto)?

El tema de la Semana 4 del Mes de Concienciación sobre Ciberseguridad, 'Ciberseguridad Primero', ofrece una oportunidad para ayudar a los profesionales de TI y seguridad de la información a educar a sus equipos sobre la importancia de la ciberseguridad. Este blog está concebido como una herramienta para ayudar a educar a su organización sobre la importancia de la infraestructura de clave pública (PKI) y las identidades de máquinas, y el papel que desempeñan para convertirse en una empresa que prioriza la ciberseguridad.

Si ha trabajado en ciberseguridad, probablemente no la describiría como un arte ni como una ciencia. Tampoco es exactamente una serie dramática de Netflix (piense en Mr. Robot). En realidad, es un esfuerzo constante. 

Proteger redes, dispositivos y datos frente a la amenaza de ataques no es una tarea sencilla, y la presión por mantenerse un paso por delante de los ciberdelincuentes es considerable. A veces puede ser una descarga de adrenalina, otras veces puede ser monótono y repetitivo. 

It can involve responding to tickets, searching for anomalies, reviewing logs, working on long-term strategies, evaluating technologies, and most importantly, educating end-users on the importance of cybersecurity (even when it means answering “stupid” questions).

Construir una cultura que priorice la ciberseguridad va mucho más allá de su infraestructura de TI y los equipos que la implementan. Desafortunadamente, muchos artículos se centran en la última tecnología (la «ciencia») o en la falta de personal cualificado (el «arte») en ciberseguridad, pero no logran reconocer la importancia de la educación, especialmente para usuarios no técnicos y líderes empresariales.

In this blog, we aim to educate teams about an essential but often misunderstood and overlooked component of cybersecurity – machine identities.

The identities you know vs the identities you don’t

Comencemos con algo familiar: la identidad. Nuestra identidad lo es todo. Se extiende desde quiénes somos hasta a qué tenemos acceso. Los seres humanos dependen de las identidades a diario para conducir sus coches, viajar internacionalmente, comprar bienes y servicios, y acceder a todo, desde su cuenta de Instagram hasta su ordenador portátil en el trabajo o en casa.

Our familiarity with identity means that most IT leaders and practitioners recognize and understand the importance of identity and access management (IAM). It’s why organizations spent nearly 14 billion dollars on IAM in 2021, making it one of the top budget items for information security spending amongst cloud and application security.

Hasta la fecha, la mayor parte del enfoque de IAM se ha dedicado a proteger las identidades de usuario (o humanas). Para cumplir con los requisitos de IAM, aprovechan herramientas como el inicio de sesión único (SSO), la autenticación multifactor (MFA) y la gestión de accesos privilegiados (PAM). 

El problema es que los humanos son solo una parte de la fuerza laboral.

Más máquinas, más identidades

Las máquinas superan con creces en número a los humanos hoy en día. Pero lejos de cualquier noción de ciencia ficción de un futuro distópico dominado por robots, las máquinas nos ayudan a los humanos a liberarnos de tareas peligrosas, que consumen mucho tiempo o simplemente aburridas que preferiríamos evitar. 

Estas máquinas se componen de dispositivos Hardware, como dispositivos móviles, dispositivos IoT/OT, servidores y equipos de escritorio, y cargas de trabajo definidas por Software, incluyendo contenedores, máquinas virtuales (VMs), servicios y aplicaciones.

Just like humans, each machine needs one or more unique identities to authenticate and securely communicate with one another. Unlike their human counterparts, though, machine identities receive far less attention.

According to Gartner, “Commonly deployed IAM tools such as access management (AM), identity governance and administration (IGA), and PAM tools have historically been geared toward the more imminent need for managing human identities. Equal focus must now be paid to the management and governance of machines.”

¿Producto básico o infraestructura crítica?

Cuando empezamos a pensar en la gestión de identidades de máquinas, como los certificados X.509, es ahí donde las cosas se vuelven confusas para la mayoría de la gente. A pesar del uso generalizado de claves y certificados por parte de desarrolladores, administradores de TI, ingenieros de infraestructura y similares, se sabe muy poco sobre ellos. 

El problema subyacente es que las identidades de máquinas y la infraestructura de clave pública (PKI) que las sustenta se consideran «productos básicos». En otras palabras, todos y cada uno en la organización de TI necesitan un certificado, pero la mayoría no sabe dónde obtenerlos ni cómo configurarlos e instalarlos correctamente. Diferentes equipos y usuarios finales buscan la solución más fácil y económica, lo que lleva a una proliferación descontrolada de emisores (CAs) y certificados.

¿Qué sucede? Ya sea por un adversario, socio, contratista o empleado interno, los certificados pueden ser fácilmente mal configurados y mal utilizados. En el último año, hemos sido testigos de varios incidentes resultantes de esta emisión y uso descontrolado de identidades de máquinas:

• Fortinet, Palo Alto, Cloudflare, and dozens of leading tech companies experienced service issues when the IdenTrust DST Root CA X3 (used by Let’s Encrypt) expired. 
• NSA warned organizations to avoid using wildcard TLS certificates to minimize the risk from a new form of TLS decryption attack known as “ALPACA.” 
• Fortnite experienced a widespread hours-long outage that started with an expired wildcard TLS certificate installed across hundreds of different production services.
• Microsoft atribuyó a un problema de rotación de claves una interrupción a gran escala que afectó a muchos de sus servicios de Microsoft 365 durante más de 14 horas.

Taking control of the situation requires a fundamental shift in mentality. PKI and machine identities are not a “commodity,” they are critical infrastructure that underpins the security and availability of virtually every device and workload in the enterprise.

Consejos y estrategias para empezar

¿Cómo tomar el control de la situación? Comienza con la educación y la concienciación, seguido de una revisión de su tecnología y procesos. Desde los usuarios finales hasta los líderes de TI, todos deben comprender mejor la importancia y el papel de las identidades de máquinas en las iniciativas que están emprendiendo. A continuación, hemos recopilado algunos consejos y estrategias para ayudarle a empezar:

Para los equipos de PKI y seguridad:

• Teach employees within the IT organization about the importance of certificates and how they should be handled. Create cheat sheets and guides for how to obtain certificates, how to ensure they align with policy, and if automation is not in place, how to properly install and renew their certificates.
• Make sure end-users and application teams have a quick and simple way to obtain certificates. If you cannot fulfill certificate requests efficiently for your users, you can bet they will look elsewhere. Self-signed certificates and insufficient built-in CAs (e.g. Kubernetes Secrets, HashiCorp Vault) should not be used blindly.
• Develop your toolset for visibility and automation. Education is where it starts, but it’s the technology that will drive best practices. Evaluate certificate management solutions that provide discovery and lifecycle automation capabilities.

Para los usuarios finales:

• Avoid using wildcard certificates. Sure, wildcard certificates are a short-term solution, but the risk far outweighs the reward. Look no further than the recent NSA warning or the 5+ hour Fortnite outage to see why they should be avoided. Instead, consult your PKI or security team on how to obtain trusted certificates.
• Do not use self-signed certificates on production systems. Self-signed certificates have their place, but not in production or public-facing domains. Improperly handled self-signed certificates can be leveraged by cybercriminals for man-in-the-middle (MitM) attacks to impersonate trust.
• If certificates are a pain, help drive the business case. If you’re frustrated with having to request, install, and renew certificates manually, chances are your PKI/security team is tired of it too. Rather than point fingers, help drive the business case for more automation that can make things easier on everyone.

Para los líderes de TI:

• Make machine identities a priority in your IAM strategy. Shifting the perception of cryptography as a highly technical concept to an already well-understood concept of “identity” will help drive better understanding and standardization across the business.
• Define machine identities and develop a clear plan Help define a clear picture of machine identities in your environment and develop an enterprise-wide policy framework for how they should be used and managed. 
• Help form a crypto center of excellence (CCOE). Once you’ve established a baseline strategy and policy, you’ll need to ensure that your teams develop clear guidance for certificate users. That includes assigning ownership of tools and processes to be used for different types of machine identities.

Recursos adicionales

• Read the 2021 State of Machine Identity Management Report and share it with your teams to drive awareness within the business.
• Visit the product website to learn how the Keyfactor Crypto-Agility Platform produces comprehensive visibility, control, and automation for every machine identity.