A medida que evolucionan las ciberamenazas y la confianza digital se convierte en una defensa de primera línea, organizaciones de todo el mundo, desde San Francisco a Singapur, se replantean sus estrategias de infraestructura de clave pública (PKI).
¿Un cambio importante? La aceleración del uso de certificados TLS de corta duración. Los certificados de confianza pública, que antes eran válidos durante años, ahora duran un máximo de 398 días, y en 2029 esa cifra podría reducirse a sólo 47.
Gigantes de la tecnología como Google, Amazon y Microsoft, como parte del CA/B Forum, están impulsando este cambio, instando a las empresas a adoptar la automatización del ciclo de vida de los certificados para seguir el ritmo. Está preparada su organización?
Ventajas de los periodos de validez más cortos de los certificados de clave pública
Unos periodos de validez de los certificados más cortos implican renovaciones más frecuentes, pero también una mayor seguridad. Un certificado de autenticación extraviado, por ejemplo, acabará caducando para evitar su uso indebido. Reducir el tiempo de validez de un certificado ayuda a mitigar el compromiso de claves, aumenta la agilidad criptográfica y fomenta la automatización.
Aborda el compromiso de la clave privada
Las claves públicas se corresponden con las privadas para ayudar a cifrar (y descifrar) información importante. Cuando las claves privadas quedan expuestas, los atacantes pueden utilizarlas para interceptar o manipular datos, lo que puede dar lugar a infracciones que podrían afectar gravemente a su empresa. Algunos certificados antiguos tenían una vida mucho más larga, normalmente entre 5 y 10 años, lo que aumentaba el riesgo de exposición. Para las organizaciones que se esfuerzan por hacer un seguimiento de todos los certificados y claves actuales e inactivos, un certificado no utilizado (pero aún activo) de hace una década podría proporcionar a los atacantes un acceso fácil hasta el corazón de los servidores de la empresa.
Therefore, shorter certificate lifespans reduce the damage window. Even if attackers have access to them, that access will expire automatically within a year (or less). This revocation of access will be even faster if the breach is known. The CA/Browser Forum encourages certificate authorities (CAs) to revoke compromised certificates within 24 hours of detection. Shorter validity periods mean private key compromise will not impact your business for years without mitigation.
Mejora la agilidad criptográfica
The internet and technology are still growing and changing rapidly, bringing new innovations in both cyber threats and security practices. Many organizations are preparing for emerging technologies, like quantum computing. Attackers with access to quantum computing capabilities, for instance, would be able to “crack” modern encryption standards in the blink of an eye, threatening your business’ proprietary data. Emerging fields like post-quantum cryptography intend to build adaptable cryptographic practices that can scale with tech as it changes.
Los periodos de validez de certificados más largos pueden hacer que las organizaciones retrasen las actualizaciones criptográficas necesarias por complacencia o falta de recursos. Por otro lado, una validez de certificado más corta acelera la adopción de algoritmos de seguridad más potentes y garantiza que las empresas apliquen estrategias de agilidad criptográfica. Garantizar que su PKI requiera periodos de validez más cortos empujará a su organización a adoptar algoritmos criptográficos más potentes y actualizados con mayor rapidez, eliminando gradualmente los certificados vulnerables.
Fomenta la automatización
Aunque la gestión de PKI se ha vuelto cada vez más complicada a medida que las empresas y los sistemas conectados crecen, la gestión manual de certificados sigue siendo habitual. Muchas organizaciones se resisten a la automatización, a menudo por autocomplacencia o por creer que los métodos manuales son suficientes. Pero los métodos manuales son más propensos al error humano, lo que puede dar a los atacantes un pase de acceso total a los recursos sensibles. A medida que aumenta el número de certificados que utilizan las empresas, la gestión manual de la PKI puede exponer las operaciones criptográficas de clave pública a agentes malintencionados.
Shorter certificate lifespans push organizations to adopt automation, especially those that still rely on manual processes. Automation improves reliability and security, eliminating the need to manually track expirations or worry about missed renewals. Tools like Keyfactor Command automatically identify all keys in an organization and keep them properly renewed, preventing unplanned downtime for your business.
Retos de los ciclos de vida más cortos de los certificados de clave pública
Aunque los ciclos de vida más cortos de los certificados proporcionan mayor seguridad y agilidad, no están exentos de dificultades, sobre todo para los equipos que los gestionan. Los periodos de validez más cortos aumentan la frecuencia de renovación, lo que conlleva una mayor sobrecarga operativa, un mayor riesgo de fallos en la renovación y una mayor complejidad en las grandes organizaciones.
Aumenta los gastos operativos
Los ciclos de vida más cortos de los certificados implican que éstos caducan más rápidamente, lo que aumenta la frecuencia de renovación. Los equipos de TI y seguridad deben encargarse de muchas tareas relacionadas con la PKI, como el seguimiento de las fechas de caducidad y la validación y renovación de los certificados. Todos estos procesos llevan mucho tiempo, requieren mucho trabajo y son propensos a errores (especialmente si se hacen con prisas). Cuando los certificados no se renuevan a tiempo, la organización podría enfrentarse a cortes de servicio u otros desastres que afectarían a los ingresos y la reputación.
Cuando la gestión del ciclo de vida de las claves debe realizarse en toda la organización con mayor frecuencia, el aumento de la carga operativa puede abrumar a los equipos, especialmente a los más pequeños. En estos casos, la automatización y las herramientas de apoyo serían necesarias para reducir la sobrecarga y evitar interrupciones.
Aumenta el riesgo de fallos en la renovación
Certificates that expire quickly also need to be renewed or replaced more frequently, which raises the risk of missed or incorrect renewals. In 2023, an allegedly expired TLS certificate took down Starlink satellites for hours, impacting customers around the world. That same year, GitHub had to revoke stolen certificates and publish new versions before attackers could find a way to misuse them.
Renewals themselves aren’t simple tasks: they involve key generation, domain validation, CA requests, and deployment. Each step needs to be performed for every public key pair and certificate used by an organization before they expire. Your IT and security teams have more responsibilities besides certificate renewals, so when shorter certificate lifecycles are involved, automation and reliable processes are essential to reduce renewal failures. Manual processes and tight deadlines only increase the chances of human error when businesses are dealing with over a quarter million certificates on average.
Añade complejidad en entornos grandes
Los certificados caducados pueden provocar interrupciones que afecten a sus clientes y a las operaciones de su empresa, con el consiguiente coste económico y para su reputación. La gestión del ciclo de vida de los certificados con periodos de validez más cortos se vuelve más compleja cuanto mayor es el entorno de la organización, lo que a su vez aumenta la probabilidad de interrupciones debidas a certificados caducados si las renovaciones no están bien coordinadas.
Las grandes organizaciones suelen gestionar miles o decenas de miles de certificados digitales que abarcan equipos, departamentos y ubicaciones geográficas. Considere la media de un cuarto de millón de certificados: incluso si esas renovaciones de certificados se dividieran por igual y tuvieran un periodo de validez de un año, habría que renovar más de 20.800 certificados al mes, o aproximadamente 680 al día.
Los ciclos de vida más cortos multiplicarían el número de renovaciones, y la coordinación de estas renovaciones a través de diversos sistemas, plataformas y servicios aumenta la complejidad y la posibilidad de errores de comunicación o de renovaciones perdidas.
Esta complejidad aumenta el riesgo de interrupciones relacionadas con los certificados y las brechas de seguridad, ya que es más difícil mantener una supervisión coherente y actualizaciones oportunas. Sin una gestión centralizada y automatizada, el seguimiento del estado y la caducidad de tantos certificados de clave pública oscila entre lo extremadamente difícil y lo imposible.
Gestión automatizada de certificados para ciclos de vida más cortos
¿Cuál es la conclusión? Es hora de adoptar la automatización de PKI y convertir los certificados efímeros en una ventaja de ciberseguridad.
En lugar de ver las frecuentes renovaciones de TLS y las claves privadas como un quebradero de cabeza, las organizaciones con visión de futuro las están utilizando para reforzar su postura de seguridad y agilizar el cumplimiento de la normativa.
With automated certificate management solutions, you can eliminate the manual overhead, reduce the risk of outages, and gain full visibility into your PKI environment. Automation ensures you stay ahead of expiring certificates, while enabling faster, more secure communication across your network. As certificate validity windows shrink, the time to automate is now. Keyfactor Command streamlines certificate lifecycle management, covering every stage: discovery, issuance, deployment, revocation, and renewal.
Suscríbase a The Source
Stay secure with Keyfactor's monthly newsletter, packed with expert insights and practical steps for quantum-readiness.
