¿Cuáles son los elementos para realizar una PKI?

Una infraestructura de clave pública se compone de siete elementos fundamentales: claves públicas y privadas, certificados de clave pública, una autoridad de certificación, una autoridad de registro, almacenamiento seguro de claves, un repositorio de certificados y gestión automatizada de certificados.

La infraestructura de clave pública (PKI) requiere pares de claves públicas y privadas para el cifrado, certificados de clave pública que demuestren la identidad, una autoridad de certificación para emitir y firmar dichos certificados, una autoridad de registro para verificar la identidad del solicitante, almacenamiento seguro, como un módulo de seguridad de hardware (HSM), para las claves privadas, un repositorio de certificados para almacenar y distribuir certificados, y automatización para gestionar la emisión, renovación y revocación sin intervención manual.

Puntos Clave

• Los pares de claves son la base criptográfica sobre la que se construye todo lo demás. La clave pública se puede compartir libremente; la clave privada nunca debe salir del entorno seguro en el que se generó.
• La CA y la RA separan la verificación de confianza de la emisión de certificados. La RA verifica la identidad y reenvía la solicitud; la CA firma y emite el certificado, lo que añade una capa de separación.
• La mayoría de los fallos de PKI en el mundo real se originan en el almacenamiento seguro de claves. Las claves privadas que se dejan en almacenamiento de texto plano, registros o unidades compartidas socavan todos los demás elementos de la infraestructura de clave pública (PKI), independientemente de lo bien diseñado que esté el resto.
• El repositorio de certificados permite realizar comprobaciones de revocación. Sin un lugar donde publicar las listas de revocación de certificados (CRL) y los certificados raíz, las partes que confían en un certificado no tendrían forma de confirmar su estado actual.
• La automatización es lo que permite que una infraestructura de clave pública (PKI) funcione a gran escala. La emisión, renovación y revocación manual no puede seguir el ritmo una vez que aumenta el número de certificados, y un solo certificado revocado que pase desapercibido puede interrumpir toda una red.

Los siete elementos clave de una infraestructura de clave pública (PKI)

Cada elemento desempeña un papel distinto, y la eliminación de cualquiera de ellos debilita las garantías de seguridad que proporciona todo el sistema.

1. Claves públicas y privadas. La infraestructura de clave pública (PKI) utiliza este par de claves asimétricas para establecer y proteger conexiones cifradas a través de la red.
2. Certificados de clave pública. Estos certificados, emitidos por una Autoridad de Certificación, demuestran la propiedad de una clave pública y acreditan la autenticidad del titular de la clave.
3. Autoridad de Certificación (CA). Una entidad de confianza que verifica la identidad de una organización y genera un certificado digital que contiene la información y la clave pública de dicha organización, firmado con la clave privada de la propia CA.
4. Autoridad de Registro (AR). Actúa como intermediario entre los usuarios y la CA, verificando la identidad de las entidades que solicitan certificados antes de reenviar la solicitud, lo que añade una capa de autenticación.
5. Almacenamiento seguro de llaves. Las claves criptográficas, especialmente las claves privadas, requieren un almacenamiento a prueba de manipulaciones; los módulos de seguridad de hardware proporcionan esta protección para mantener la confidencialidad y la integridad.
6. Repositorio de certificados. Una ubicación, accesible a través de servidores LDAP, FTP o web, donde se almacenan los certificados, las claves públicas, los detalles de validez, las listas de revocación y los certificados raíz.
7. Operaciones PKI automatizadas. El software de gestión de certificados se encarga de emitir, revocar y renovar certificados; sin automatización, un certificado no válido o pasado por alto puede paralizar la productividad o afectar a toda una red.

Cómo trabajan juntos el CA y el RA

Separar la verificación de identidad de la emisión de certificados añade una capa de autenticación que una única entidad combinada no proporcionaría.

Cuando una entidad solicita un certificado, la Autoridad de Registro verifica primero la identidad del solicitante. Solo después de esta verificación, la solicitud pasa a la Autoridad de Certificación, que genera y firma el certificado. Esta división de tareas implica que un error o una vulneración en la etapa de verificación de identidad no se traduce automáticamente en la emisión fraudulenta de un certificado por parte de la propia Autoridad de Certificación.

Por qué el almacenamiento seguro de claves merece una atención especial

Un módulo de seguridad de hardware proporciona un entorno a prueba de manipulaciones diseñado específicamente para almacenar y gestionar claves criptográficas, lo que ofrece una garantía más sólida que el simple almacenamiento de software cifrado. Independientemente del método de almacenamiento elegido, las claves privadas nunca deben almacenarse en texto plano, en registros de aplicaciones ni en almacenamiento de archivos de uso general, ya que cualquiera de estas ubicaciones ofrece a un atacante con acceso al sistema una vía directa para comprometer completamente la seguridad.

Todos los demás elementos de la infraestructura de clave pública (PKI) dependen de que la clave privada permanezca realmente privada, lo que convierte al almacenamiento en el componente más crítico que debe gestionarse correctamente.

Cómo ayuda la consultoría de cifrado

Los servicios de consultoría de PKI de Encryption Consulting ayudan a las organizaciones a diseñar e implementar todos los elementos de una infraestructura de clave pública (PKI), desde la arquitectura de CA y RA hasta el almacenamiento de claves con HSM. CertSecure Manager automatiza las operaciones diarias de certificados en toda la infraestructura resultante. Todo ello respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Cuál es la diferencia entre una Autoridad de Certificación y una Autoridad de Registro?

Una Autoridad de Registro verifica la identidad de la entidad que solicita un certificado y remite la solicitud validada a la Autoridad de Certificación. Esta última genera y firma el certificado. Esta separación añade una capa de autenticación, en lugar de combinar la verificación de identidad y la emisión en una sola entidad.

¿Por qué la infraestructura de clave pública (PKI) necesita un repositorio de certificados?

El repositorio de certificados almacena certificados, claves públicas, detalles de validez, listas de revocación y certificados raíz en una ubicación accesible mediante LDAP, FTP o servidores web. Sin él, las partes que confían en los certificados no tendrían una forma fiable de recuperarlos ni de comprobar su estado de revocación.

¿Qué ocurre si las operaciones de PKI no están automatizadas?

La emisión, renovación y revocación manual de certificados no es escalable de forma fiable a medida que aumenta el número de certificados, e incluso un solo certificado inválido o revocado que pase desapercibido puede interrumpir la productividad o el acceso a la red. El software de gestión automatizada de certificados es lo que permite que los elementos operativos de una infraestructura de clave pública (PKI) funcionen a gran escala sin intervención manual constante.

¿Es necesario un módulo de seguridad de hardware para cada infraestructura de clave pública (PKI)?

Aunque no es estrictamente necesario, se recomienda encarecidamente, sobre todo para las claves privadas de la Autoridad de Certificación. Un HSM proporciona almacenamiento de hardware a prueba de manipulaciones, mucho más difícil de vulnerar que el almacenamiento de claves cifrado basado en software, lo cual es fundamental para las claves que sustentan la confianza en toda una jerarquía de certificados.

Construya correctamente cada elemento de su infraestructura de clave pública (PKI).

Descubra los servicios de asesoramiento sobre infraestructura de clave pública (PKI) de Encryption Consulting para diseñar una arquitectura PKI completa, desde la generación de claves hasta las operaciones automatizadas con certificados.