¿Qué es la gestión de identidad de máquinas?

La gestión de identidades de máquinas es la disciplina que consiste en emitir, rastrear y rotar los certificados digitales, las claves criptográficas y las credenciales SSH que permiten a los servidores, las aplicaciones, los contenedores y los dispositivos autenticarse entre sí, siguiendo un modelo de confianza cero basado en la premisa de no confiar nunca, sino verificar siempre.

La gestión de identidades de máquinas controla las credenciales, principalmente certificados X.509 y claves criptográficas, que las máquinas utilizan para demostrar su identidad ante otras máquinas. Abarca todo el ciclo de vida: generación, inventario, distribución, supervisión, renovación y revocación, de modo que las interrupciones del servicio, las autoridades de certificación fraudulentas y las claves comprometidas no pasen desapercibidas.

Puntos Clave

• La identidad de máquina abarca cualquier entidad que necesite una identidad única para comunicarse de forma segura, incluidos servidores, API, contenedores y dispositivos IoT, no solo el hardware físico.
• Los certificados X.509 son la credencial de identidad de máquina más utilizada y la base de la autenticación de servidor y cliente basada en PKI.
• Las interrupciones en la disponibilidad de certificados, el compromiso de la autoridad de certificación (CA) y los certificados revocados desconocidos son las principales causas de fallos en la identificación de las máquinas.
• Un modelo de confianza cero depende de que las identidades de las máquinas se validen de la misma manera que las identidades de los usuarios, ya que ninguna de las partes es de confianza por defecto.
• El ciclo de vida de la identidad de una máquina consta de seis etapas: generación, inventario, distribución, monitorización, renovación y revocación.

¿Qué se considera una identidad de máquina?

La identidad de una máquina es un conjunto de credenciales, no un número de serie único, que demuestra que un servidor, aplicación, API, contenedor o dispositivo es quien dice ser. Dado que las máquinas no pueden escribir un nombre de usuario y una contraseña, dependen de certificados y claves que se verifican automáticamente al conectarse.

Tipo de credencial	Uso típico
Claves y certificados SSH	Acceso de administrador privilegiado a sistemas críticos
Certificados de firma de código	Verificar que los scripts, los archivos ejecutables y las compilaciones de software no hayan sido manipulados.
Claves criptográficas simétricas	Cifrar datos en reposo y en tránsito
Certificados X.509	Autenticación de servidor y cliente a través de TLS/SSL

¿Cómo funciona la autenticación de máquina a máquina?

En un protocolo de enlace TLS típico entre cliente y servidor, el servidor presenta su certificado al establecer la conexión, el cliente lo valida con una cadena de certificados de confianza y, para aplicaciones sensibles, el servidor también puede solicitar un certificado del cliente. Una vez que ambas partes validan, intercambian claves para el cifrado y el hash, y establecen una sesión segura.

¿Qué causa la vulneración de la identidad de las máquinas?

La mayoría de los incidentes relacionados con la identificación de máquinas se deben a cuatro modos de fallo recurrentes.

• Compromiso de CA: un atacante roba la clave de firma privada de una CA y emite certificados fraudulentos en los que confían los navegadores, lo que permite ataques de phishing y de intermediario.
• Interrupciones por fallos de certificado: un certificado no renovado caduca y deja inoperativo el servicio que protege, sin que exista una forma sencilla de rastrear dónde se instaló dicho certificado.
• Ineficiencia operativa: la gestión manual de miles de certificados consume una cantidad desproporcionada de tiempo del administrador, especialmente en configuraciones de almacén de confianza desconocidas.
• Certificados revocados desconocidos: un certificado revocado tardíamente, o una CRL no actualizada a tiempo, permite a un atacante reutilizar un certificado huérfano para realizar ataques de phishing.

¿Cómo es el ciclo de vida de la identidad de la máquina?

• Generación: obtener un certificado o clave de una Autoridad de Certificación.
• Inventario: registrar el período de validez, el tipo, la posición en la cadena y la ubicación en la red.
• Distribución: implementar la identidad en el sistema, dispositivo o aplicación de destino.
• Supervisión: realizar un seguimiento del funcionamiento continuo, la seguridad y el estado de cumplimiento.
• Renovación o rotación: sustituir la identidad antes de que caduque o se debilite.
• Revocación: retirar la identidad intencionadamente, antes de su vencimiento natural, cuando se sospeche que ha sido comprometida o utilizada indebidamente.

Mejores prácticas para la gestión de la identidad de las máquinas

• Generación: obtener un certificado o clave de una Autoridad de Certificación.
• Inventario: registrar el período de validez, el tipo, la posición en la cadena y la ubicación en la red.
• Distribución: implementar la identidad en el sistema, dispositivo o aplicación de destino.
• Supervisión: realizar un seguimiento del funcionamiento continuo, la seguridad y el estado de cumplimiento.
• Renovación o rotación: sustituir la identidad antes de que caduque o se debilite.
• Revocación: retirar la identidad intencionadamente, antes de su vencimiento natural, cuando se sospeche que ha sido comprometida o utilizada indebidamente.

¿Qué factores llevaron al robo de identidad por máquina?

A continuación se presentan algunas razones que provocan la vulneración de la identidad de la máquina:

• Compromiso de CA

  Las Autoridades de Certificación (AC) se ven comprometidas cuando los atacantes roban su clave privada, utilizada para firmar los certificados emitidos a las empresas. Los atacantes pueden usar estas claves privadas robadas para firmar certificados de aplicaciones maliciosas y engañar a los navegadores, haciéndoles creer que son confiables. Estos certificados, conocidos como certificados fraudulentos, son ampliamente utilizados por los atacantes para propagar ataques de phishing y de intermediario (man-in-the-middle). Esta AC raíz intermedia fraudulenta puede abusar de su autoridad y firmar certificados de servidores y aplicaciones fraudulentas.

• Interrupciones de certificados

  Los certificados emitidos tienen un período de validez asociado. Si un certificado no se renueva antes de su vencimiento, puede provocar una interrupción del servicio en el sistema que soporta. Hasta que se instale un nuevo certificado, la interrupción imprevista y el tiempo de inactividad asociado persistirán. Las interrupciones relacionadas con certificados son difíciles de identificar sin saber exactamente dónde está instalado y quién controla ese sistema.

• Ineficiencias operativas

  La gestión de cada certificado digital que sirve como identificación de máquina requiere un tiempo anual para las organizaciones. Con miles de identidades de máquina, la sobrecarga puede aumentar rápidamente. Además, la administración de estas identidades puede ser más compleja si el administrador no está familiarizado con los certificados o almacenes de confianza. Además, el tiempo requerido aumentará rápidamente si las operaciones de identificación de máquina no funcionan correctamente, especialmente en caso de una vulneración o interrupción del servicio.

• Certificados revocados desconocidos

  En ocasiones, los certificados digitales se revocan antes de su periodo de validez debido a que su clave privada se ve comprometida o la aplicación asociada deja de estar operativa. En ocasiones, la Autoridad de Certificación (CA) o la Lista de Revocación de Certificaciones (CRL) no revocan los certificados a tiempo, lo que lleva a reconocer un certificado revocado como válido. Por ejemplo, los atacantes pueden usar un certificado huérfano para realizar ataques de phishing si una aplicación ha sido desactivada, pero su certificado no se ha revocado a tiempo.

Desafíos en la gestión de identidades de máquinas

A continuación se presentan algunos desafíos que hacen que la gestión de identidad de máquinas sea fundamental:

• Visibilidad

  Cuando una organización cuenta con una gran cantidad de certificados y claves, es difícil rastrearlos. Muchas organizaciones ni siquiera saben cuántos certificados y claves tienen, su período de validez ni la política que cumplen.

• Gobernanza

  El siguiente problema es la falta de propiedad y control. En las organizaciones, las claves SSH y los certificados SSL/TLS son utilizados por diversos equipos. Sin embargo, no existe una política coherente sobre cómo se emiten, quién puede acceder a ellos, la rotación de claves, la renovación de los certificados, etc.

• Protección:

  Los certificados digitales de las identidades de las máquinas deben ser proporcionados por una Autoridad de Certificación (CA) de confianza. Las claves privadas deben almacenarse en un Módulo de Seguridad de Hardware (HSM) y protegerse contra accesos no autorizados. No se puede confiar en las identidades de las máquinas a menos que se implementen estas medidas de seguridad.

• Automatización

  La gestión manual del ciclo de vida de los certificados no solo consume mucho tiempo, sino que también es propensa a errores y altamente ineficiente. La emisión, revocación, renovación y auditoría manual de certificados puede provocar tiempos de inactividad e interrupciones del servicio.

Mejores prácticas para la gestión de identidades de máquinas

• Centralizar la gestión

  Debe existir una identidad de máquina centralizada que facilite la implementación de políticas en varios dispositivos. Los certificados también pueden agruparse según diversos parámetros, como fecha de caducidad, criticidad, etc., e implementar una política de grupo, lo que facilita su gestión. Debe existir una gestión adecuada de políticas que evite el acceso no autorizado y permita que las identidades de máquina funcionen de forma segura.

• Automatización

  El proceso de Gestión de Identidad de Máquinas se puede automatizar, lo que facilita la definición de acciones para una sola identidad de máquina, así como para todo un grupo. Todas las acciones se pueden definir con antelación y activarse según condiciones específicas. La inscripción, el aprovisionamiento, la renovación y la revocación de certificados, entre otras funciones, se pueden automatizar, lo que ayuda a mantener las identidades de las máquinas actualizadas y a eliminar eficazmente las interrupciones. En resumen, todo el ciclo de vida de la identidad de las máquinas debe automatizarse, incluyendo la gestión del ciclo de vida de certificados y claves, lo que evita errores que pueden producirse en acciones manuales.

• Almacenaje

  Todas las identidades de las máquinas, como las claves SSH y los certificados digitales, deben almacenarse en un entorno centralizado y seguro. Estas identidades pueden almacenarse en un Módulo de Seguridad de Hardware (HSM), compatible con FIPS 140-2 Nivel 3. El HSM mantiene la seguridad de los certificados y las claves incluso si la red del usuario se ve comprometida.

• Rotación de claves SSH

  Las organizaciones deben rotar sus claves SSH después de un período determinado para evitar usar las mismas claves SSH durante un tiempo prolongado mediante la generación de nuevas claves. La rotación de claves ayuda a reforzar la seguridad de las claves SSH y protege contra riesgos como la proliferación de claves. El proceso de rotación de claves debe ser automático en lugar de manual, por lo que las claves deben rotarse periódicamente.

• Implementar políticas de seguridad sólidas

  Las organizaciones deben implementar y aplicar políticas de seguridad sólidas para proteger la identidad de sus máquinas y garantizar que cada una cumpla con las regulaciones gubernamentales pertinentes. Implementar políticas de seguridad sólidas permite monitorear todos los aspectos de la identidad de las máquinas.

• Auditoría de identidades de máquinas

  Se deben realizar auditorías periódicas de las identidades de las máquinas, lo que ayuda a detectar vulnerabilidades como certificados vencidos, contraseñas débiles, etc., y a prevenir interrupciones. La auditoría también puede automatizarse mediante herramientas de terceros. Las auditorías periódicas ayudan a las organizaciones a mejorar sus estrategias de gestión.

Componentes del ciclo de vida de la identidad de la máquina

El ciclo de vida de la identidad de máquina abarca varios componentes, cada uno de los cuales desempeña un papel crucial en su recorrido desde su creación hasta su retirada. Estos son los componentes clave del ciclo de vida de la identidad de máquina:

• Generación/Creación

  La fase inicial implica la generación o creación de una identidad de máquina, como certificados digitales o claves API. Las organizaciones obtienen certificados digitales de una autoridad de certificación (CA).

• Inventario

  Una vez emitidos los certificados, es fundamental documentar detalles clave como el período de validez, el tipo, la posición en la cadena y la ubicación en la red. Esta información se vuelve esencial a medida que los certificados se acercan a su fecha de vencimiento.

• Distribución/Implementación

  El proceso de implementar la identidad de la máquina en los sistemas, dispositivos o aplicaciones previstos para permitir una comunicación segura.

• Monitoreo/Gestión

  Actividades de supervisión y gestión continuas para garantizar el correcto funcionamiento, la seguridad y el cumplimiento de las identidades de las máquinas.

• Renovación/Rotación

  El proceso de actualizar o renovar la identidad de la máquina para mantener la seguridad y evitar la caducidad.

• Revocación/Invalidación

  La terminación intencional de una identidad de máquina antes de su fecha de vencimiento, a menudo debido a problemas de seguridad o mal uso.

Cómo ayuda la consultoría de cifrado

CertSecure Manager le proporciona un inventario unificado de todos los certificados y claves de su entorno, automatiza la renovación y la revocación, e identifica las identidades de máquinas débiles o próximas a caducar antes de que provoquen una interrupción del servicio. Cuenta con el respaldo de las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Cuál es la diferencia entre la identidad de la máquina y la identidad del usuario?

La identidad del usuario se basa en credenciales que una persona puede recordar e introducir, como un nombre de usuario y una contraseña, a menudo complementadas con la autenticación multifactor (MFA). La identidad de la máquina se basa en credenciales criptográficas, principalmente certificados y claves, que se validan automáticamente, ya que una máquina no puede escribir una contraseña durante el proceso de autenticación.

¿Por qué se producen con tanta frecuencia las interrupciones en la disponibilidad de certificados?

Las interrupciones se producen porque los certificados tienen un período de validez fijo y, sin un seguimiento automatizado, un certificado próximo a caducar puede pasar desapercibido hasta que expire. Según el calendario SC-081v3 del CA/Browser Forum, la validez de los certificados TLS públicos se reducirá a 100 días en marzo de 2027 y a 47 días en marzo de 2029, lo que hace que la renovación manual sea mucho menos viable.

¿Los contenedores y las API también necesitan identidades de máquina?

Sí. Cualquier entidad que se autentique a través de una red, incluidos contenedores, microservicios y API, necesita una identidad de máquina para establecer confianza con los sistemas con los que se comunica. Por eso, la gestión de identidades de máquina ahora va mucho más allá de los servidores físicos y el hardware de red.

¿Cuál es el primer paso para crear un programa de identificación de máquinas?

Comience con el inventario y la detección: no puede proteger ni rotar credenciales que no pueda ver. Un inventario completo y actualizado continuamente de certificados, claves y credenciales SSH es la base de todas las demás etapas del ciclo de vida.

Obtén visibilidad de la identidad de cada máquina que ejecutas.

CertSecure Manager descubre, inventaría y automatiza la renovación de todos los certificados y claves de su entorno, eliminando la falta de visibilidad que provoca interrupciones y vulnerabilidades. Vea CertSecure Manager en acción.