Los certificados raíz que caducan amenazan el IoT en la empresa

Tantos artículos cotidianos en el mundo desarrollado ahora están conectados a Internet, a menudo de manera inexplicable. Agrega otra capa de falla tecnológica potencial que para los electrodomésticos personales puede ser una molestia divertida: persianas que no abrirá, microondas que no se ajuste a los cambios de hora, refrigeradores que necesita actualizaciones de firmware.

Pero en la empresa, cuando los dispositivos de Internet de las cosas fallan, no es una broma de Twitter. Las líneas de montaje de las fábricas se paralizan. Los monitores de frecuencia cardíaca en los hospitales se desconectan. Los tableros inteligentes de la escuela primaria se apagan.

Las fallas de los dispositivos inteligentes son un riesgo creciente en el mundo empresarial, y no solo por la preocupaciones de seguridad discutidas a menudo. Es porque algunos de los certificados raíz de estos dispositivos, necesarios para que se conecten a Internet de forma segura, están a punto de caducar.

“Los dispositivos necesitan saber en qué confiar, por lo que el certificado raíz está integrado en el dispositivo como una herramienta de autenticación”, explica Scott Helme, un investigador de seguridad que ha escrito extensamente sobre el problema de caducidad del certificado raíz. “Una vez que el dispositivo está en la naturaleza, intenta llamar a 'casa' (una API o un servidor del fabricante) y verifica este certificado raíz para decir: 'Sí, me estoy conectando a esta cosa segura correcta'. Esencialmente, [un certificado raíz es] un ancla de confianza, un marco de referencia para que el dispositivo sepa a qué le está hablando”.

En la práctica esta autenticación es como una red o una cadena. Las autoridades de certificación (CA) emiten todo tipo de certificados digitales y las entidades “hablan” entre sí, a veces con múltiples niveles. Pero el primer y más importante eslabón de esta cadena es siempre el certificado raíz. Sin él, ninguno de los niveles anteriores podría hacer posible las conexiones. Entonces, si un certificado raíz deja de funcionar, el dispositivo no puede autenticar la conexión y no se vinculará a Internet.

Aquí está el problema: el concepto de la Web encriptada se desarrolló alrededor del año 2000, y los certificados raíz tienden a ser válidos entre 20 y 25 años. Entonces, en 2022, estamos justo en medio de ese período de vencimiento.

Las CA han emitido muchos certificados raíz nuevos en las últimas dos décadas, por supuesto, mucho antes de que caduquen. Eso funciona bien en el mundo de los dispositivos personales, donde la mayoría de las personas actualizan con frecuencia a nuevos teléfonos y hacen clic para actualizar sus computadoras portátiles, por lo que tendrían estos certificados más nuevos. Pero en la empresa, puede ser mucho más desafiante o incluso imposible actualizar un dispositivo, y en sectores como la fabricación, las máquinas aún pueden estar en la planta de producción 20 o 25 años después.

Sin una conexión a Internet, “estos dispositivos no valen nada”, dice Kevin Bocek, vicepresidente de estrategia de seguridad e inteligencia de amenazas de Venafi, proveedor de servicios de gestión de identidad de máquinas. “Básicamente, se convierten en ladrillos [cuando caducan sus certificados raíz]: ya no pueden confiar en la nube, no pueden recibir comandos, no pueden enviar datos, no pueden recibir actualizaciones de software. Ese es un riesgo real, particularmente si es un fabricante o un operador de algún tipo”.

Un disparo de advertencia

El riesgo no es teórico. El 30 de septiembre, un certificado raíz emitido por la CA masiva Vamos a cifrar caducado - y varios servicios a través de Internet se rompieron. El vencimiento no fue una sorpresa, ya que Let's Encrypt había estado advirtiendo durante mucho tiempo a sus clientes que actualizaran a un nuevo certificado.

Aun así, Helme escribió en un del blog 10 días antes del vencimiento, "Apuesto a que algunas cosas probablemente se romperán ese día". Él estaba en lo correcto. Algunos servicios de Cisco, Google, Palo Alto, QuickBooks, Fortinet, Auth0 y muchas otras empresas fallaron.

“Y lo extraño de eso”, dice Helme a Dark Reading, “es que los lugares que usan Let's Encrypt son, por definición, muy modernos: no puedes simplemente ir a su sitio web y pagar tus $10 y descargar tu certificado a mano. Tiene que ser hecho por una máquina o a través de su API. Estos usuarios eran avanzados y todavía era un gran problema. Entonces, ¿qué sucede cuando vemos [vencimientos] de las CA más heredadas que tienen estos grandes clientes empresariales? Seguramente el efecto dominó será mayor”.

El camino hacia adelante

Pero con algunos cambios, ese efecto colateral no tiene por qué suceder, dice Bocek de Venafi, quien ve el desafío como uno de conocimiento y cadena de mando, por lo que ve soluciones tanto en la concienciación como en la colaboración temprana.

“Estoy realmente emocionado cuando veo a los directores de seguridad ya sus equipos involucrarse a nivel de fabricante y desarrollador”, dice Bocek. “La pregunta no es solo, '¿Podemos desarrollar algo que sea seguro?' sino '¿Podemos continuar operándolo?' A menudo hay una responsabilidad compartida de operación en estos dispositivos conectados de alto valor, por lo que debemos tener claro cómo vamos a manejar eso como negocio”.

Se están produciendo conversaciones similares en el sector de la infraestructura, dice Marty Edwards, director técnico adjunto de tecnología operativa e IoT en Tenable. Es ingeniero industrial de oficio y ha trabajado con empresas de servicios públicos y el Departamento de Seguridad Nacional de EE. UU.

“Francamente, en el espacio industrial con servicios públicos y fábricas, cualquier evento que conduzca a una interrupción o pérdida de producción es preocupante”, dice Edwards. “Entonces, en estos círculos especializados, los ingenieros y desarrolladores ciertamente están analizando los impactos [de la caducidad de los certificados raíz] y cómo podemos solucionarlos”.

Aunque Edwards enfatiza que es "optimista" sobre esas conversaciones y el impulso de las consideraciones de seguridad cibernética durante el proceso de adquisición, cree que también se necesita una mayor supervisión regulatoria.

“Algo así como un estándar básico de atención que tal vez incluya lenguaje sobre cómo mantener la integridad de un sistema de certificados”, dice Edwards. “Ha habido discusiones entre varios grupos de estándares y gobiernos sobre la trazabilidad de dispositivos de misión crítica, por ejemplo”.

En cuanto a Helme, le encantaría ver las máquinas empresariales configuradas para actualizaciones de una manera que sea realista y no ardua para el usuario o el fabricante: un nuevo certificado emitido y una actualización descargada cada cinco años, tal vez. Pero los fabricantes no tendrán incentivos para hacer eso a menos que los clientes empresariales lo presionen, señala.

“En general, creo que esto es algo que la industria debe solucionar”, coincide Edwards. “La buena noticia es que la mayoría de estos desafíos no son necesariamente tecnológicos. Se trata más de saber cómo funciona todo y de contar con las personas y los procedimientos adecuados”.