Por A. Inizan - The Expert Digital Factory en SQUAD
Presentadas en un principio como soluciones milagrosas, relegadas después a un segundo plano y luego de vuelta al primer plano, las infraestructuras de gestión de claves («IGC», más conocidas por su acrónimo inglés «PKI») no han tenido una trayectoria sencilla. Sin embargo, estas herramientas permiten disponer de una base de confianza en la que se sustentan numerosos usos. Y las perspectivas no faltan. Un breve repaso.
Un comienzo complicado para las PKI
Las soluciones PKI, que aparecieron a principios de los años 90, se anunciaban como el santo grial de la seguridad. Se esperaba que resolvieran gran parte de los problemas de seguridad. Sin embargo, pronto se las tachó de soluciones pesadas y complicadas. Desde el principio requerían extraños procedimientos de inicialización (ceremonia de claves). Estos aspectos contribuyeron en gran medida al rechazo por parte de los profesionales de las tecnologías de la información.
De hecho, las promesas de marketing se adelantaron a unas herramientas poco adecuadas. Por ello, los editores se esforzaron por ofrecer soluciones que facilitaran la gestión y el ciclo de vida de los certificados. De hecho, ocultaban la complejidad, por ejemplo, introduciendo CMS (Credential Management Software). También se integraron herramientas nativas en los sistemas operativos. El cambio se inició poco a poco, impulsado por la adopción de estas soluciones por parte de gobiernos y grandes organizaciones.
Un reto para la organización
Sin embargo, la implantación de una PKI en una empresa dista mucho de ser sencilla y, en realidad, resulta ser un proyecto complejo. Y los aspectos técnicos no suelen ser los más problemáticos. El verdadero reto es, sobre todo, de carácter organizativo. Y es que este tipo de proyecto implica a numerosos actores y departamentos: Dirección, Seguridad Operativa, RSSI, Soporte Técnico, Asesoramiento Jurídico, Comunicación y, por supuesto, los usuarios.
Técnicamente, la fase de integración suele implicar la coexistencia de diferentes módulos, entre los que se incluyen: la autoridad de certificación (CA), la autoridad de registro (RA) y el módulo de seguridad física (HSM). Este último es capaz de borrar sus áreas de memoria si se detecta un acceso físico. A continuación, se interconectan muchas otras herramientas para formar todo un ecosistema de confianza. Por lo general, se basa en repositorios corporativos (por ejemplo, Active Directory).
Figura 1: Arquitectura simplificada de una PKI
Antes de la implementación, es necesario reflexionar sobre la jerarquía de certificación:
- Autoridad raíz: es el elemento más sensible, el punto de anclaje de las cadenas de confianza,
- Autoridades intermedias: permiten introducir subniveles de certificación,
- Autoridades operativas: son las que firman las solicitudes de certificados (usuarios, servidores, etc.),
El primer nivel y algunos subniveles suelen estarfuera de línea(cada clave privada, de carácter ultrasensible, se almacena en un soporte físico dentro de una caja fuerte). Por el contrario, el último nivel debe estaren línea, preferiblemente en un HSM, para poder firmar las solicitudes a diario. Las rutas de certificación suelen corresponder a casos de uso específicos.
Figura 2: Ejemplo de jerarquía de certificación
También se definen modelos de certificado para cumplir con determinados requisitos o satisfacer necesidades específicas. Un certificado de autenticación y/o firma no cumple los mismos criterios que un certificado de cifrado. En este último caso, la clave privada suele ser retenida por motivos legales (para acceder a la información cifrada de un empleado) y para poder recuperar la información en caso de que el usuario pierda la clave privada. Sin embargo, en el contexto de la firma, es fundamental que la clave privada solo sea conocida por su propietario. Esto garantizará la no repudio de las firmas asociadas.
La fase del «marco documental», tediosa pero imprescindible, describe precisamente estas prácticas:Política de Certificación(PC),Declaración de Prácticas de Certificación(DPC)… La dificultad radica aquí en abarcar todas las prácticas y aspectos legales relacionados con la certificación. ¡La semántica de cada frase es importante!
Por último, es necesario definir los flujos de trabajo adecuados para que el registro y la gestión de las solicitudes se ajusten lo máximo posible a los procesos ya existentes en la organización. A continuación, queda por formar a los operadores de la PKI y al servicio de asistencia técnica, así como redactar los procedimientos de soporte y comunicación. Por supuesto, también es necesario involucrar a los usuarios de TI y de las áreas de negocio.
El reto consiste, por tanto, en lograr la adhesión de todos a la iniciativa mediante la puesta en marcha de un proceso de gestión del cambio que favorezca la adopción de la solución por parte de todos los actores de la empresa. La implantación de una PKI es, por lo tanto, un proyecto de carácter muy transversal. Esto requiere un fuerte respaldo al más alto nivel para que se integre en la organización.
Oportunidades y perspectivas
Una vez implantada, el uso y la administración de la PKI resultan relativamente sencillos. Para las grandes organizaciones, este tipo de solución supone, por tanto, una auténtica oportunidad y un retorno de la inversión prácticamente garantizado. De hecho, los casos de uso son numerosos: SSL/TLS, S/MIME, HTTPS, WS-Security, EAP, IPSec…
Además, resulta más fácil aplicar posteriormente políticas de seguridad más estrictas. Por ejemplo, se puede prohibir el uso de contraseñas o, al menos, fomentar el uso de contraseñas complejas mediante mecanismos de SSO y de autenticación fuerte, en los que el usuario no tiene que definir ni recordar sus contraseñas. La mejora en materia de seguridad es enorme, y todo ello sin que el uso resulte más complicado.
Por otra parte, las perspectivas son muy amplias. La movilidad constituye un reto fundamental en la actualidad, y las tecnologías MDM (gestión de dispositivos móviles) pueden integrarse con las herramientas PKI para gestionar certificados destinados a sus necesidades de autenticación y confidencialidad. Las soluciones de gestión de identidades se están generalizando. También en este ámbito, los intercambios automatizados con una PKI permiten obtener indudables ventajas en materia de seguridad y productividad.
Por otra parte, el Internet de las cosas (IoT) es un sector con un gran potencial. Será imprescindible poder autenticar esos miles de objetos interconectados y satisfacer las necesidades de seguridad. Además, con demasiada frecuencia nos centramos en la confidencialidad, cuando la integridad y la autenticidad suelen ser más críticas. Si tomamos el ejemplo de la domótica, ¡podemos dudar de la importancia de la confidencialidad del contenido de su microondas! En cambio, si nos fijamos en la salud, es más importante, e incluso absolutamente crucial, que un dispositivo cardíaco pueda garantizar la autenticidad y la integridad de las órdenes recibidas desde un dispositivo externo. Es fácil imaginar el riesgo (mortal) que supone la información procedente de un programa malicioso.
Los sectores afectados son múltiples y variados: industria, telecomunicaciones, sanidad, automoción… Y están surgiendo nuevos retos, como la validación de cadenas de certificación a gran escala y la mejora del rendimiento para lograr una mayor capacidad de respuesta. Los fabricantes de procesadores, por ejemplo, llevan varios años ampliando su conjunto de instrucciones. Así, han implementado directamente ciertos algoritmos criptográficos (por ejemplo, AES-NI).
Por último, la actualidad y la cobertura mediática de ciertos casos (TV5Monde, elecciones presidenciales de EE. UU.) siguen poniendo de relieve la necesidad de que las organizaciones refuercen sus sistemas de autenticación y protección de datos. A la vista de estos retos y de unas necesidades cada vez mayores, ¡se puede afirmar con razón que las soluciones PKI tienen un futuro prometedor! Muchas empresas tendrán que invertir en estas soluciones como parte de su desarrollo.
Bonus
El misterio que a veces rodea a las PKI podría resumirse en la ceremonia de entrega de claves, un paso imprescindible en cualquier implementación de una PKI «seria» (es decir: «donde la confianza es fundamental»). Esto suele implicar:
- Un maestro de ceremonias, asistentes y uno o varios testigos (principalmente por motivos de auditoría)
- Uno o varios secretos repartidos entre varias personas, y para los que basta con el «quórum» de unas pocas para reconstruirlos. Ejemplo: basta con que 3 de las 5 personas que poseen «fragmentos del secreto» se pongan de acuerdo para reconstruir el secreto original (algoritmo de Shamir).
- Material inspeccionado, etiquetado, incautado y, en ocasiones, destruido para que no quede ninguna duda,
- En términos más generales, cualquier procedimiento o elemento que permita reforzar la garantía del cumplimiento del plan inicial y, por lo tanto, la confianza,
En este ámbito, la ceremonia de entrega de claves y la organización de la gestión de las claves que permiten firmar los registros DNS raíz de la ICANN son un referente en la materia (https://www.cloudflare.com/dns/dnssec/root-signing-ceremony/
