Lo que antes era un lujo se convierte poco a poco en una necesidad. A principios de la década de 2000, los certificados digitales se consideraban un lujo. Sin embargo, en los últimos tiempos, con el aumento de las regulaciones y las amenazas a la ciberseguridad, Certificados digitales Se han vuelto necesarios para proporcionar identidad a usuarios, computadoras, recursos y más. Dado que cada entidad de una organización requiere un certificado para acceder, funcionar y operar, gestionar un volumen tan grande de certificados se convierte en uno de los desafíos más importantes.
En este caso práctico, hablamos de una de estas organizaciones, un gigante minorista estadounidense con tiendas en todo el país. Como disruptor del sector, necesitaba evaluar y adaptar sus operaciones para que su tamaño fuera manejable.
Para organizaciones más pequeñas, esto puede hacerse manualmente cuando el requisito de certificados es inferior a 1000. Sin embargo, para organizaciones más grandes con sus propias políticas y procedimientos, garantizar que todos los certificados cumplan con las regulaciones y sus políticas internas, garantizando al mismo tiempo que todos los certificados estén activos sin tiempos de inactividad ni interrupciones debido a una mala gestión, se convierte en un desafío. Este problema solo empeora con la organización hasta que se vuelve inmanejable.
Por este motivo, las soluciones de gestión del ciclo de vida de los certificados como Administrador de CertSecure Proporcionar a las organizaciones una solución única y personalizada que pueda ayudar con sus necesidades y requisitos.
Los desafios
Al ser una de las principales empresas del sector minorista, la organización se enfrentó a muchos desafíos que otras organizaciones enfrentaban, pero también a algunos desafíos únicos. Algunos de los desafíos comunes incluyen:
-
Gestión de emisiones
Para gestionar la demanda de certificados de una gran organización, estas necesitan muchos Autoridades de certificación Emitir certificados y entregarlos a tiempo. Sin embargo, gestionar diferentes Autoridades de Certificación con sus procedimientos y mantener distintos manuales con diferentes capacitaciones para los empleados se está convirtiendo poco a poco en un inconveniente.
Una organización típica de esta escala contará con más de 20 dominios (o bosques) con al menos dos autoridades de certificación (AC) en los bosques principales, una AC en la nube y una AC pública. Esto suma 5 o más AC.
-
Procesos PKI de Microsoft obsoletos
Microsoft PKI Sigue siendo una de las PKI privadas locales más utilizadas. Sin embargo, debido a los escasos avances en los procesos de emisión de certificados mediante inscripción web, los usuarios que los necesitan deben realizar procesos diferentes que requieren la ayuda de otro personal. Además, sin compatibilidad con API REST, DevOps también tiene dificultades para garantizar la obtención de los certificados a tiempo.
-
Alertas
Dado que los certificados expiran con frecuencia, los administradores deben mantenerse alerta y vigilantes para garantizar que no queden certificados caducados en sus aplicaciones/servidores. Sin mecanismos de alerta adecuados, a veces los administradores no renuevan certificados críticos, lo que a menudo puede provocar interrupciones.
Dado que otras organizaciones también se enfrentan a los problemas mencionados, nuestro cliente tenía algunas solicitudes específicas que queríamos abordar. Estas solicitudes surgen de los desafíos que enfrenta esta organización y buscan una solución que satisfaga sus necesidades. Son las siguientes:
-
Validación de dominio
El cliente tenía muchos dominios (más de 50) en su red y, debido a la gran cantidad de solicitudes de certificados recibidas, buscaba una forma de eliminar los dominios que no estaban explícitamente en la lista blanca. La organización quería que ciertos dominios estuvieran autorizados y que, si algún usuario solicitaba certificados para dominios que no estaban en la lista blanca, estos se rechazaran automáticamente.
Esto ayudará a reducir los errores humanos, que pueden provocar interrupciones debido a nombres de dominio incorrectos. También mejorará la seguridad, ya que los usuarios no podrán solicitar certificados para otros dominios, lo que les ayudará con los problemas de suplantación de identidad de la organización.
-
Certificados comodín
Al igual que el anterior, la organización también quiso rechazar cualquier solicitud.
-
Restricciones de CA
El cliente también quería que algunas CA estuvieran restringidas e inaccesibles para todos. Esto incluye principalmente las CA públicas, ya que los certificados emitidos por estas CA tienen costos asociados. Estas CA restringidas solo deberían ser accesibles para un subconjunto de personas dentro de la organización.
-
Compartimentación departamental
Como hay varios departamentos dentro de la organización, las partes interesadas querían que dividiéramos a los usuarios en diferentes departamentos para garantizar una gestión más sencilla de los certificados.
Esto también garantizará que ciertos departamentos puedan acceder a ciertas Autoridades de Certificación. Por ejemplo, el cliente no quería que el equipo de desarrollo tuviera acceso a las CA utilizadas por el equipo de producción. Esto podría provocar la mezcla de certificados, lo que puede dificultar la identificación de los certificados utilizados.
-
DevOPS
El cliente también tuvo desafíos relacionados con el equipo de DevOPS, que necesitaba acceso a la API Rest para solicitar y obtener certificados.
Estos desafíos y expectativas impulsaron los esfuerzos de la organización por encontrar la solución adecuada a sus necesidades. Estos desafíos generaron problemas significativos en sus capacidades operativas y obstaculizaron su crecimiento.
Solución:
Cuando el cliente nos planteó estos desafíos, tuvimos que dedicar un tiempo considerable a evaluar y comprender su situación particular. Cada organización tiene sus propios procesos y procedimientos, y queríamos asegurarnos de comprenderlos antes de atender sus necesidades. Con Administrador de CertSecure Al resolver prácticamente todos sus problemas, también encontramos otras áreas en las que podemos ayudar a la organización a mejorar. Las soluciones en las que nos centramos fueron las siguientes:
-
Siempre accesible
Con tiendas y oficinas repartidas por todo el país, queríamos conectar todos los recursos y garantizar que cualquier personal que trabaje desde casa también pueda mantener el acceso a CertSecure.
Esto le brindó a la organización dos opciones: la nube y SaaS. Dado que el cliente deseaba mantener el control con una latencia mínima, se optó por la implementación en la nube para conectar toda su infraestructura y dar acceso a usuarios fuera de la red.
-
Agrupación de CA
Con múltiples Autoridades de Certificación, proporcionamos al cliente un único panel para visualizar y controlar los certificados. Todas las Autoridades de Certificación están conectadas y sincronizadas con el entorno mediante Conectores CA.
Esto permite a los clientes emitir, revocar y renovar certificados desde un solo portal, lo que reduce el tiempo de capacitación y simplifica los procesos y procedimientos que la organización debe seguir. Esto también habilita protocolos más nuevos como las API Rest. CUMBRE, EST y más para el DevOPS IoT .
-
RBAC
Con una amplia base de usuarios, la organización buscaba minimizar el control de los usuarios registrados. El principio de mínimos privilegios se aplica con diversos roles y un control de acceso granular, garantizando así que los usuarios solo obtengan los permisos determinados por la organización.
-
Integración y alertas
Las organizaciones ahora pueden conectar su administrador de CertSecure con Teams, ServiceNow y correo electrónico para recibir alertas periódicas. Estas alertas incluyen certificados que vencen la próxima semana y brindan información útil sobre su organización. CertSecure Manager también genera informes que pueden utilizarse para el análisis de datos y así comprender y gestionar mejor su infraestructura.
-
Módulo de políticas
CertSecure Manager cuenta con un módulo de políticas único que puede restringir la reutilización de CSR y los certificados comodín. Esto restringirá y rechazará automáticamente cualquier solicitud de certificado que infrinja la política. Esto también incluye la validación de dominios, donde las organizaciones deben incluir dominios en la lista blanca. Si se realizan solicitudes de certificado para dominios que no están en la lista blanca, se rechazan automáticamente.
-
Flujo de trabajo
Las organizaciones pueden restringir las CA y las plantillas para una CA específica. Esto restringirá las solicitudes de certificado y requerirá aprobación explícita antes de su emisión. Solo los usuarios con permiso de aprobación explícita pueden aprobar estas solicitudes.
-
Departamentos
CertSecure Manager habilita diferentes departamentos y segrega la base de usuarios según corresponda. Cada departamento tiene su propio administrador de PKI, que puede supervisar y gestionar todos los recursos y usuarios que le pertenecen. También hay administradores de PKI globales con acceso a todos los departamentos y que pueden supervisar y acceder a todos los recursos de la organización.
-
Detalles de la organizacion
Dado que el error humano sigue siendo frecuente, la organización necesitaba un etiquetado de certificados adecuado. La organización puede ofrecer opciones para detalles preexistentes de la organización, como ciudad, estado, código de país, departamento, etc. Los usuarios no pueden usar valores que no proporcionen los administradores.
-
Automatización
CertSecure Manager ofrece la opción de Agentes de Renovación, que pueden configurarse con servidores como IIS, Apache y Tomcat, balanceadores de carga como F5 o aplicaciones personalizadas. Estos agentes garantizan que los certificados utilizados estén activos y se renueven automáticamente antes de su vencimiento, lo que facilita a las organizaciones sus procesos sin intervención humana.
Estas características no solo ayudaron a la organización con sus necesidades, sino que también mejoraron sus procesos. Al enviar un RSELos usuarios pueden ver sus propiedades en el propio portal web sin depender de OpenSSL o sitios web de terceros.
Conclusión
En conclusión, Administrador de CertSecure Las funciones integrales, las soluciones personalizadas y el enfoque en la automatización y la seguridad han mejorado significativamente gestión del ciclo de vida del certificado para organizaciones del sector minorista, abordando desafíos clave y proporcionando una plataforma escalable, eficiente y segura para gestionar certificados digitales.