Qué buscar en una solución automatizada del ciclo de vida de los certificados 

La gestión de una infraestructura de clave pública (PKI), en sus inicios, era un proceso laborioso y complejo. Esto se debía a que todos los procesos relacionados con el mantenimiento del ciclo de vida de los certificados debían gestionarse manualmente. Los equipos de administradores de PKI tenían que descubrir todos los certificados de su organización, listarlos en una hoja de cálculo y recordar manualmente cuándo y qué certificados debían renovarse.

Esto puede causar una interrupción en los servicios si se pierde u olvida la fecha de renovación de un certificado importante, lo que provoca la caída de servicios críticos por falta de un certificado válido. Si bien esta era la única práctica cuando se creó la PKI, ahora cada vez más empresas adoptan la práctica de automatizar las tareas del ciclo de vida de los certificados.

Con la gestión manual de certificados , quienes supervisaban los certificados debían introducirlos manualmente, junto con sus fechas de renovación, en hojas de cálculo para llevar un control. Afortunadamente, con el tiempo se han desarrollado herramientas para automatizar este proceso, lo que lo ha simplificado enormemente. Pero, ¿por qué deberían las organizaciones estar tan interesadas en automatizar la gestión del ciclo de vida de sus certificados?

¿Por qué es tan importante la gestión automatizada de certificados? 

Como ya mencioné, la gestión manual de certificados es un proceso extremadamente lento y con un alto riesgo de errores humanos, lo que puede provocar la interrupción de servicios críticos. La automatización de la gestión de certificados también es fundamental debido a la reducción de su vigencia. Hace unos años, los certificados solían tener una validez de 5 años; en 2020, se redujo a dos años, y actualmente se debate la posibilidad de reducirla a 90 días.

Con periodos de validez más cortos, la gestión manual del ciclo de vida de los certificados se vuelve aún más propensa a errores humanos, ya que hay más margen de error al disponer de menos tiempo para realizar el seguimiento. Parte de este proceso de automatización consiste en comprender plenamente qué es el ciclo de vida de un certificado. El ciclo de vida de un certificado comienza con el descubrimiento de los certificados en una organización.

El proceso de descubrimiento implica buscar en la organización los certificados en uso, registrar su fecha de vencimiento y los detalles del certificado. Este paso es fundamental para mantener el estado de los certificados y garantizar su renovación oportuna, evitando así la interrupción de los servicios. El siguiente paso en el ciclo de vida del certificado es su emisión. Sin la emisión inicial, el resto del proceso resulta irrelevante. Un certificado es emitido por una entidad de infraestructura de clave pública (PKI) denominada Autoridad de Certificación.

Una Autoridad de Certificación (AC) puede formar parte de una infraestructura de clave pública (PKI) interna y utilizarse únicamente dentro de la organización, o bien ser una PKI externa creada y mantenida por una organización reconocida y de confianza. La emisión del certificado se completa una vez que se cumplen ciertos requisitos para el solicitante. Generalmente, esto implica verificar que el solicitante sea miembro de la organización y esté autorizado para recibir un certificado. Tras la emisión, se procede a la instalación del certificado.

El paso de instalación consiste en colocar el certificado en una ubicación segura y de fácil acceso para que pueda usarse cuando sea necesario, pero de manera que no cualquier persona con acceso al ordenador pueda robarlo y usarlo indebidamente. La siguiente fase es el almacenamiento del certificado. La instalación y el almacenamiento van de la mano, ya que parte del proceso de instalación incluye guardar el certificado de forma segura.

El almacenamiento es fundamental para un certificado, ya que un atacante puede acceder a uno almacenado de forma insegura e identificarse como la víctima. Con una identidad falsa y acceso a la información de la víctima, un atacante puede robar datos de una organización o causar daños aún mayores mediante malware , haciéndose pasar por un empleado de confianza. La monitorización es el siguiente paso en el ciclo de vida y uno de los más importantes.

El seguimiento de las fechas de vencimiento de los certificados y su actualización constante es un proceso continuo que debe mantenerse en todo momento. El descuido de un solo certificado puede provocar una interrupción grave de los servicios, ya que algunos de ellos pueden fallar por no contar con un certificado válido. Los tres últimos pasos del ciclo de vida de un certificado pueden abordarse conjuntamente, ya que son similares pero distintos: renovación, revocación y reemplazo.

La renovación es el proceso de renovar un certificado que ha caducado o, más comúnmente, un certificado que está a punto de caducar. Es mejor renovar un certificado antes de su fecha de caducidad, ya que dejar que caduque y luego renovarlo provocará la interrupción de los servicios que lo necesitan para funcionar.

La revocación solo se realiza cuando se detecta que un certificado ha sido comprometido por un atacante, o si el dispositivo o la persona que lo emitió ha dejado la organización. Si un atacante ha comprometido un certificado, revocarlo impedirá que haga un uso indebido del mismo; de igual manera, si un empleado ha dejado la organización, la revocación del certificado tiene el mismo efecto.

La sustitución de un certificado suele ser la fase menos frecuente de su ciclo de vida. Si una organización migra de una infraestructura de clave pública (PKI) externa a una interna, todos sus certificados se reemplazarán por nuevos certificados de la PKI interna. Dado que este proceso es complejo y requiere mucho tiempo, suele ser más sencillo para las organizaciones seguir utilizando la misma PKI externa de forma indefinida.

Capacidades importantes de una solución de ciclo de vida de certificados

Ahora que comprendemos mejor el ciclo de vida de los certificados en su conjunto, veamos qué hace una solución de gestión del ciclo de vida de los certificados. En pocas palabras, una solución de gestión del ciclo de vida de los certificados (CLS, por sus siglas en inglés) automatiza las operaciones diarias y a largo plazo relacionadas con su mantenimiento. Cada paso del ciclo de vida del certificado está cubierto por una CLS robusta, lo que garantiza que nunca más tendrá que gestionar los certificados manualmente.

Un ejemplo de un proceso del que se encargará un CLS es el descubrimiento y la catalogación automáticos de todos los certificados de una organización. La integración con herramientas como Nessus permite a un CLS encontrar y mantener todos los certificados de una organización, y el CLS gestiona la revocación, renovación y sustitución de certificados cuando corresponda. Existen algunas funcionalidades o capacidades esenciales que un CLS debería tener si está considerando utilizarlo.

1. Integración con aplicaciones de terceros de una organización

   Si un CLS no se integra fácilmente con las aplicaciones o sistemas de terceros que utiliza su organización y que requieren certificados, probablemente no sea el adecuado. Su empresa debe tener la seguridad de que todo lo que utiliza un certificado se supervisa correctamente y de que el CLS está presente en todo momento.

2. Gestión centralizada de claves

   Un CLS también ofrece la ventaja adicional de centralizar la gestión de claves . Con un CLS, todas las claves se almacenan de forma segura en una única ubicación, lo que permite centralizar todas las claves de certificado de la organización.

3. Procesos automatizados para cada paso del ciclo de vida del certificado

   Como su función lo indica, un CLS debe contar con procesos automatizados para cada etapa del ciclo de vida del certificado para que sea útil. Esto incluye todos los pasos del ciclo de vida, por lo que al revisar las funciones de un CLS, debe asegurarse de que exista algún tipo de función automatizada relacionada con cada una de las fases del ciclo de vida del certificado.

4. Alta disponibilidad

   Cualquier sistema CLS deberá estar disponible de inmediato si se integra en los sistemas de su organización. La alta disponibilidad en un CLS implica que la plataforma pueda utilizarse en todo momento y en cualquier ubicación de su organización, que existan servidores de respaldo o módulos de seguridad de hardware en caso de que alguno falle, y que el acceso a la herramienta sea sencillo en general.

5. Capacidad de auditar fácilmente

   Otro aspecto importante a tener en cuenta en un sistema de seguridad de certificados (CLS) es que incluya una función de informes. Esta función debe registrar los certificados y las claves, cuándo se utilizan y quién los utiliza. Esto facilita las cosas si su organización debe someterse a una auditoría periódicamente.

6. Alertando

   Finalmente, también debe implementarse una función de alerta. Esto significa que los certificados vitales en uso enviarán una alerta cuando se hayan utilizado. Además, se debe enviar una alerta cuando un certificado esté a punto de caducar y cuando se haya renovado.

Conclusión   

Las soluciones de gestión del ciclo de vida de los certificados representan el futuro del mantenimiento de la infraestructura de clave pública (PKI), ya que eliminan la necesidad de un seguimiento manual. La velocidad y la eficiencia que ofrece una solución de gestión del ciclo de vida de los certificados a una organización son incomparables.