Explicación de las identidades de máquina y su gestión

Sin una gestión adecuada de la autenticación, el número cada vez mayor de interacciones entre máquinas, inherente a los procesos digitalizados, supone un riesgo significativo para la continuidad del negocio. Las identidades únicas permiten que estos procesos determinen si la interacción es fiable mediante el uso de claves criptográficas y certificados digitales. En esencia, esta identidad de máquina es la credencial digital o «huella digital» que se utiliza para establecer la confianza, autenticar otras máquinas y cifrar las comunicaciones.

Es esencial que los ciclos de vida completos de las identidades de las máquinas se gestionen adecuadamente, garantizando que solo se conceda acceso a usuarios o máquinas legítimos, independientemente del número de identidades de máquinas implicadas o de la complejidad de la red empresarial.

La validación de las identidades de máquina es especialmente importante para respaldar una estrategia de seguridad de «confianza cero», en la que la confianza nunca se concede de forma implícita y debe evaluarse continuamente. Este enfoque incluye la concesión de un control de acceso detallado, un control de acceso privilegiado y permisos a cada dispositivo y proceso de una red, así como a las identidades humanas dentro del entorno. El uso de certificados de Infraestructura de Clave Pública (PKI) y pares de claves criptográficas puede reforzar la verificación y también servir para proteger las conexiones entre entidades que se encuentran más allá de la arquitectura de red protegida por cortafuegos.

En esta era de transformación digital, el modelo «Zero Trust» mejora la protección de las identidades de las máquinas y, al mismo tiempo, aumenta la necesidad de un enfoque consolidado, automatizado y moderno de la PKI.

¿Qué es una identidad de máquina?

Una identidad de máquina es mucho más que un número de identificación digital o un simple identificador, como un número de serie o un número de pieza. Se trata, más bien, de un conjunto de credenciales autenticadas que certifican que una máquina o un usuario está autorizado a acceder a recursos en línea o a una red.

Es importante señalar que no se trata de un concepto universal, ya que cualquier identidad solo es válida dentro de la red o el sistema para el que se creó. De hecho, las redes informáticas modernas utilizan toda una clase de software para gestionar tanto las identidades de las máquinas como las de las personas. El software de gestión de identidades y accesos (IAM) tiene como única función garantizar que todas las identidades digitales se gestionen de forma adecuada y segura.

Ejemplos de identidades de máquina

Las identidades de máquina son un subconjunto de una base de identidad digital más amplia que también incluye todas las identidades humanas y de aplicaciones en un entorno empresarial. A cada uno de los siguientes elementos, por ejemplo, se le asignaría una identidad de máquina única:

• Dispositivos móviles y teléfonos inteligentes
• Dispositivos del Internet de las cosas (IoT)
• Servidores web y servidores de aplicaciones
• Dispositivos de red y routers

A medida que se amplían las iniciativas de transformación digital, también lo hará el número de máquinas que contribuyen a hacer realidad sus beneficios. Las organizaciones necesitan tanto una estrategia como tácticas para implementar un sistema organizado de identidades digitales que proteja, gestione y verifique de forma fiable las comunicaciones entre máquinas.

Por qué es importante la gestión de identidades de máquinas

A medida que la tecnología ha evolucionado en los últimos años, el panorama de la seguridad empresarial se ha vuelto cada vez más complejo. Las aplicaciones y los datos que se ejecutan en entornos de nube y multinube, las plantillas de trabajo distribuidas y los innovadores dispositivos conectados se entrecruzan de formas que exigen un enfoque sólido de identidad digital que proteja frente a amenazas persistentes y emergentes.

Es importante comprender que muchas de estas interrelaciones se caracterizan por la automatización; no hay interacción humana durante la comunicación de máquina a máquina. Las implicaciones de seguridad son enormes. Las interacciones entre máquinas deben ser seguras y rápidas para ofrecer la fiabilidad y la escalabilidad necesarias para lograr una protección a nivel de toda la empresa a escala global.

Las empresas confían ahora en los certificados PKI como el estándar de referencia para garantizar la identidad. La PKI constituye un componente fundamental de una arquitectura Zero Trust que cumple con estrictos parámetros de seguridad para todas las identidades de usuarios finales, dispositivos y aplicaciones.

Sin embargo, a medida que los entornos —ya de por sí complejos— y los sistemas críticos se amplían para incluir dispositivos móviles, infraestructura en la nube, DevOps, el Internet de las cosas y otros dispositivos físicos, los riesgos financieros inherentes a una gestión ineficaz de los certificados PKI han aumentado drásticamente. Si bien una gestión inadecuada de los certificados hace que las empresas sean más vulnerables a los ciberdelincuentes, al malware y al fraude, también expone a las organizaciones a riesgos relacionados con la productividad de los empleados, problemas de experiencia del cliente, incumplimientos normativos y otros posibles problemas.

¿En qué sentido es más segura la gestión de la identidad digital que las contraseñas y la autenticación multifactorial?

Los equipos de seguridad informática actuales deben contar con los conocimientos necesarios para reconocer y autenticar identidades en toda la empresa, ya sean de personas, dispositivos, datos o aplicaciones. Las contraseñas ofrecían un cierto nivel de seguridad en el pasado, pero ya no son tan eficaces como lo eran antes. Esto se debe a que los delincuentes se han vuelto cada vez más hábiles a la hora de robarlas mediante diversas técnicas engañosas, entre las que se incluyen:

• Engañar a los usuarios para que introduzcan sus contraseñas en páginas web de phishing.
• Robar las identidades de los usuarios a partir de transacciones que se transmiten por Internet.
• Sustracción de contraseñas de los repositorios de contraseñas.
• Descubrir lugares donde se han reutilizado contraseñas robadas.
• Obtener contraseñas mediante ataques de fuerza bruta.

En lo que respecta a las identidades de las personas, muchas organizaciones han recurrido a la autenticación de dos factores (2FA), la autenticación multifactorial (MFA) y, en algunos casos, la autenticación basada en datos biométricos. Aunque a menudo se promocionan como una alternativa segura a las contraseñas, al teléfono y al token OATH de contraseña de un solo uso, las soluciones de autenticación multifactorial están plagadas de numerosas vulnerabilidades de ciberseguridad documentadas y han demostrado ser susceptibles a ataques de gran repercusión que son tan fáciles y escalables como el robo de contraseñas. Además, el esfuerzo que debe realizar un empleado al utilizar una aplicación con MFA —mucho más engorroso que simplemente recordar una contraseña— complica aún más la vida tanto a los empleados como a los administradores de TI.

Las contraseñas y la autenticación multifactorial plantean una serie de problemas adicionales a la hora de autenticar máquinas. Como se ha comentado anteriormente, la comunicación entre máquinas se caracteriza por la automatización. Los dispositivos no pueden responder a un smartphone o a un dispositivo IoT para obtener una contraseña de un solo uso. Almacenar o transferir contraseñas en el marco de procesos de comunicación automatizados abre la puerta a vulnerabilidades. Dada la proliferación de la transformación digital empresarial, las organizaciones necesitan un enfoque fundamentalmente diferente y mejor para la autenticación de identidades de dispositivos.

A diferencia de ambos métodos, la gestión de identidades digitales con PKI elimina la dependencia de secretos que deben compartirse (o que pueden ser interceptados por ciberdelincuentes). La autenticación se produce cuando el usuario o la máquina demuestra que posee la clave privada. A continuación, la transacción se firma con la clave privada y se verifica con la clave pública. Este par de claves pública/privada se genera mediante uno de varios algoritmos criptográficos robustos.

Este proceso ofrece una protección de datos y una seguridad frente a los piratas informáticos muy superiores a las de la autenticación basada en contraseñas por varias razones:

• La clave privada nunca sale del dispositivo del usuario: A diferencia de las contraseñas, que son fáciles de compartir, ya sea de forma intencionada o involuntaria, a través de ataques de phishing.
• La clave privada no puede ser robada durante la transmisión, ya que nunca se transmite: A diferencia de las contraseñas, que pueden ser robadas durante su transmisión por Internet, las claves privadas nunca se transmiten.
• La clave privada no puede ser sustraída del repositorio del servidor: Las contraseñas almacenadas en repositorios centrales de servidores pueden ser sustraídas; las claves privadas solo las conoce el dispositivo del usuario y no se almacenan de forma centralizada.
• Los usuarios no tienen que recordar contraseñas ni introducir nombres de usuario: El dispositivo del usuario simplemente almacena una clave privada que se presenta cuando es necesario, lo que proporciona una experiencia de usuario más fluida.

¿Por qué automatizar la gestión de identidades de máquinas?

Aunque no existe una solución de autenticación y cifrado más sólida y fácil de usar que la identidad digital que proporciona la PKI, el reto para los equipos de TI, siempre tan ocupados, es que la implementación y la gestión manuales de los certificados requieren mucho tiempo y pueden suponer un riesgo innecesario. ¿Conclusión? La gestión manual de claves no es ni sostenible ni escalable.

Tanto si una empresa implementa un único certificado SSL para un servidor web como si gestiona millones de certificados para todas las identidades de sus dispositivos en red, el proceso integral de emisión, configuración e implementación de certificados puede llevar horas. La gestión manual de certificados también expone a las empresas a un riesgo significativo de que los certificados olvidados caduquen inesperadamente y de que se produzcan lagunas en la titularidad —descuidos que pueden provocar interrupciones relacionadas con los certificados, fallos en sistemas empresariales críticos, así como brechas de seguridad y ataques.

Los clientes y los usuarios internos confían en que los sistemas empresariales críticos estén siempre disponibles. Sin embargo, en los últimos años, los certificados caducados han provocado numerosas interrupciones de gran repercusión en sitios web y servicios. El resultado ha sido una pérdida de ingresos de miles de millones de dólares, sanciones contractuales, demandas judiciales y el coste incalculable del deterioro de la reputación de la marca y la pérdida de la confianza de los clientes.

Las organizaciones deben cumplir con la normativa o se enfrentarán a sanciones astronómicas

Una seguridad de identidad insuficiente puede, sin duda, exponer a las organizaciones al riesgo de sufrir ataques y filtraciones de datos sensibles. Pero las vulnerabilidades de seguridad también pueden poner a las empresas en peligro de incumplir los requisitos normativos. Las normativas de privacidad, como la HIPAA/HITECH, el RGPD y el DFARS del Gobierno federal de EE. UU., definen situaciones y casos de uso que requieren cifrado para mitigar o minimizar las consecuencias de una filtración, todo ello diseñado para protegerse contra las vulnerabilidades que permiten el robo de información.

El incumplimiento de los requisitos normativos puede acarrear multas sustanciales. Por ejemplo, la UE ha impuesto multas relacionadas con el RGPD a Google por valor de 50 millones de euros, a Marriott por 99 millones de libras esterlinas y a British Airways por 183 millones de libras esterlinas. Además, el RGPD establece que las multas deben basarse tanto en la magnitud de cada fuga de datos como en el grado de negligencia demostrado por la organización. Por lo tanto, aplicar una solución de seguridad sólida a sus certificados digitales ayuda a reducir el riesgo de una filtración. Pero hacerlo también demuestra un esfuerzo de buena fe o la ausencia de negligencia, lo que puede ayudar a reducir el importe de la multa en caso de que se produzca una filtración.

Los costes administrativos también se acumulan rápidamente

Aunque la gestión de certificados puede considerarse a veces una tarea sencilla y cotidiana para un administrador de TI o web, garantizar la validez de los certificados uno por uno resulta costoso. Utilizar procesos manuales para detectar, instalar, supervisar y renovar todos los certificados PKI de una organización requiere mucha mano de obra y es técnicamente exigente.

Pensemos, por ejemplo, que incluso una instalación manual mínima de certificados SSL/TLS con un único servidor web y una única instancia de dominio implica múltiples pasos, y puede suponer fácilmente más de 50 dólares por servidor web. Ahora multiplique ese esfuerzo por los miles o millones de certificados PKI de una organización, y resultará evidente que los costes de la gestión manual de certificados se acumulan rápidamente.

Cómo automatizar la gestión de identidades de máquinas

Teniendo en cuenta los inconvenientes mencionados anteriormente y las repercusiones económicas inherentes a la gestión manual de los certificados PKI, el retorno de la inversión de las herramientas automatizadas de gestión de identidades de máquinas resulta evidente para los directores de sistemas de información (CIO) y los directores de seguridad (CSO).

Los profesionales de TI deben replantearse sus estrategias de gestión del ciclo de vida de los certificados. Especialmente ahora que las empresas lanzan al mercado cada vez más servicios que dependen de entornos DevOps en rápida evolución, las organizaciones necesitan una solución automatizada que garantice que los certificados se configuren e implementen correctamente sin intervención humana. Este tipo de solución ayuda a reducir el riesgo, pero también ayuda a los departamentos de TI a controlar los costes operativos y a agilizar el tiempo de comercialización de productos y servicios.

Recientemente, la PKI ha evolucionado hasta convertirse en una tecnología aún más versátil. La interoperabilidad, el alto tiempo de actividad y la gobernanza siguen siendo ventajas clave. Pero las soluciones PKI actuales también son capaces, desde el punto de vista funcional, de mejorar la administración y la gestión del ciclo de vida de los certificados mediante:

• Automatización: la realización de tareas individuales minimizando los procesos manuales.
• Coordinación: el uso de la automatización para gestionar una amplia cartera de tareas.
• Escalabilidad: gestión de certificados que ascienden a cientos, miles o incluso millones.
• Criptoagilidad: actualizar la solidez criptográfica y revocar y sustituir rápidamente los certificados en riesgo por certificados a prueba de la computación cuántica, en respuesta a amenazas nuevas o cambiantes.
• Visibilidad: visualización del estado de los certificados desde un único panel de control para todos los casos de uso.

Dada la disparidad de sistemas, aplicaciones y dispositivos que utilizan certificados digitales, los equipos de TI a menudo se ven obligados a gestionar distintos servicios de automatización de muchos proveedores diferentes. El uso de múltiples plataformas suele traducirse en una reducción de la eficiencia. Un único panel de control de gestión de certificados que automatice la detección, la implementación y la gestión del ciclo de vida en todos los casos de uso y plataformas de los proveedores ofrece la eficiencia que promete la automatización. Además, los equipos de TI siguen manteniendo el control sobre las definiciones y reglas de configuración, de modo que todos los pasos se ejecuten correctamente.

Como autoridad de certificación (CA) de confianza, Sectigo ofrece soluciones de automatización de la gestión de identidades digitales que permiten a las empresas ser ágiles, eficientes y tener un control total sobre todos los certificados de su entorno, incluidas las identidades de máquina. Sectigo admite la instalación, revocación y renovación automatizadas de certificados SSL/TLS y no SSL a través de protocolos líderes del sector, API e integraciones de terceros. Además, Sectigo elimina el problema de los límites de volumen de certificados que pueden producirse con las alternativas de código abierto.

En resumen, las soluciones de automatización de Sectigo permiten a su equipo de seguridad, de forma sencilla:

• Aplicar políticas de seguridad criptográfica.
• Proteger las comunicaciones.
• Evitar la pérdida de datos personales por acceso no autorizado.
• Preparar para el futuro los sistemas, las aplicaciones y los dispositivos de toda la empresa.

Para obtener más información sobre cómo puedes utilizar la PKI para sustituir las contraseñas en la gestión de identidades y accesos, lee el informe técnico «La empresa sin contraseñas».