Buscar
  • CertiNet

“Factores de Capacidad” Mejores Prácticas para la Gestión de Llaves de Cifrado

Actualizado: 26 dic 2019

El cifrado de los datos es un componente importante en la respuesta de cualquier organización a las crecientes amenazas de seguridad y a la necesidad de cumplir con los mandatos regulatorios. La mayoría de las organizaciones ya han implementado controles por la vía de cifrar los datos pero se encuentran con la dificultad de la gestión del ciclo de vida de las llaves de cifrado, lo que se termina convirtiendo en un problema.


Las prácticas inadecuadas en la gestión de llaves también crean un nuevo conjunto de vulnerabilidades de seguridad y riesgos que hacen que los datos importantes sean inaccesibles para los usuarios autorizados que los necesitan. En pocas palabras, el cifrado es fácil, pero la administración de llaves es un desafío. Si pierde una llave de cifrado, perderá efectivamente el acceso a sus datos. Si no controla y audita el acceso a las llaves, fallará en su próxima auditoría. Si almacena las llaves con datos, el cifrado es inútil y extremadamente vulnerable.


El contar con una estrategia de protección de datos unificada para proteger datos confidenciales donde sea que se encuentren, junto con una solución de administración de llaves centralizada, para crear y administrar llaves de manera segura, brinda tranquilidad ya que se cumple con estándares exigentes, así como con los requisitos de auditoría y cumplimiento normativo, siendo una manera de sobrevivir a los requisitos cada vez más exigentes de cifrar casi todo.

Somos testigos de los constantes intentos, a nivel de gobierno y de las corporaciones, por burlar el cifrado.


Pero imagine una situación similar dentro de su organización, en la cual las llaves de los datos importantes están siendo administradas por una persona que está enferma o que, peor aún, tuvo un accidente automovilístico en el camino a su casa y murió.


El problema de administrar las llaves en silos no sólo tiene que ver con proteger la distribución no autorizada, sino también, con la obtención de una llave para un usuario autorizado, especialmente en los casos en que el propietario de la llave no está disponible por algún motivo.


La solución es utilizar técnicas de administración de llaves centralizadas y nunca dejar las llaves a discreción de un solo individuo. Nunca más se volverá a bloquear el acceso a sus propios datos.


La administración centralizada de llaves es una arquitectura hub-and-spoke de gestión distribuida: Un administrador de llaves centralizado y en cluster que almacena millones de objetos y expone de manera segura varios protocolos estándar que permite que los clientes de cifrado y descifrado existan a lo largo de toda la red de la empresa.


Los componentes y protocolos de administración de llaves se implementan fácilmente en estos clientes y se integran con las aplicaciones de cifrado local. Una vez integrados, el cifrado y descifrado de los datos se realiza localmente, evitando el impacto en la seguridad de los datos en general y minimizando los riesgos de seguridad de la red o de un punto único de falla. El administrador de llaves debe administrar la generación, almacenamiento seguridad, rotación, exportación y retiro de las llaves utilizadas para el cifrado en los radios (spokes), proporcionando interoperabilidad y escalabilidad.


A continuación presentamos seis mejores prácticas que hemos etiquetado como "Factores de Capacidad" para evaluar una Solución de Cifrado y su Administración Centralizada de llaves:



“Habilidad de Cumplimiento” Compliantability


Los estándares más utilizados que definen los requisitos de seguridad en relación con los sistemas de cifrado de hardware y software son los Federal Information Processing Standard (FIPS) 140-2. Tienen diferentes perfiles para diferentes tipos de sistemas (hardware vs. software) y cuatro niveles de seguridad diferentes. Además, la certificación FIPS solo puede aplicarse a un componente de un sistema, no a todo el límite criptográfico. Aunque siempre se desee un sistema totalmente homologado y certificado.


Además, se necesita cumplir con los estándares de Common Criteria (ISO / IEC 15408) Common Criteria (ISO/IEC 15408) standards. Common Criteria no es un cifrado específico, sino un estándar general para validar los requisitos de seguridad funcional y puede ser requerido para ciertas regulaciones o contratos con partners o clientes.


El Instituto Nacional de Estándares y Tecnología (NIST) recomienda desde 2001 a AES como el estándar de mayor nivel para el cifrado. AES admite múltiples modos de cifrado y tres tamaños de clave para el cifrado: claves de 128 bits, 192 bits y 256 bits (recomendada). Cualquier cifrado utilizado para proteger los datos en reposo debe utilizar el cifrado estándar AES.


PCI también exige que las llaves se entreguen o transmitan de forma segura. El mejor enfoque para cumplir con el mandato es incluir llaves públicas / privadas para proteger el túnel entre el administrador de llaves y sus clientes. Se recomienda una autoridad de certificación (CA) interna, para evitar dependencias externas, con un administrador de llaves que admita la criptografía de clave pública mejorada.


Disponibilidad


Los requisitos de seguridad y de cumplimiento normativo definen que los Data Center estén cada vez más compartimentados. Por otra parte las organizaciones están cada vez más distribuidas, geográficamente, con cada vez más aplicaciones y servicios y múltiples Data Center que los contienen. En este contexto hay dos modelos que se puede definir.


  1. Cluster Centralizado: En este modelo el administrador de llaves se encuentra localizado en un lugar central accesible desde cualquier punto que se requiera. Típicamente, las organizaciones elijen esta opción cuando quieren mantener la gestión de una sola llave. Es una práctica común en Data Centers tradicionales, pero no aplica bien a la compartimentalización que se ve estos días.

  2. Clusters Distribuidos: En este modelo, los administradores de las llaves se encuentran distribuidos en diferentes ubicaciones físicas sincronizando los datos entre ellos. Este es el mejor modelo si se requiere soportar diferentes Data Center localizados en diferentes ubicaciones físicas y geográficas. Esto también se puede utilizar dentro de un único Data Center segregado para redundancia. Es posible que pueda usar una combinación de administradores de llaves físicas y virtuales, aunque no se recomienda debido a la posibilidad de que la memoria ponga en peligro sus “joyas de la corona”.


Escalabilidad


Las aplicaciones personalizadas para los administradores de llaves se está volviendo más compartimentada y distribuida en la medida que nos alejamos de los diseños monolíticos y nos movemos hacia servicios cada vez más distribuidos y de corta duración. Esto aumenta la demanda para la emisión y administración de llaves a una escala mayor sin comprometer la seguridad, por ejemplo, la distribución de los datos de llaves cifradas a contenedores de datos temporales. Una solución de administración de llaves centralizada debe poder ampliarse para satisfacer las crecientes necesidades de la empresa. Una verdadera solución a escala empresarial debe ser capaz de mantener a miles de clientes y millones de llaves.


Interoperabilidad


Un servicio de administración de llaves centralizado bien diseñado es relativamente inútil si no puede administrar todas sus llaves de cifrado. Se sabe que los administradores de llaves imponen protocolos específicos del proveedor para el intercambio de llaves, lo que podría ser una buena idea si el proveedor tiene un ecosistema de soluciones de almacenamiento de extremo a extremo, pero para evitar el bloqueo del proveedor, es vital contar con un soporte estándar de la industria.

Estándares conocidos, de proveedores neutrales, para el intercambio y gestión de llaves, que definen cómo los sistemas intercambian y comunican las llaves son:


  • OASIS KMIP (Key Management Interoperability Protocol) Protocolo para la interoperabilidad de la gestión de llaves.

  • PKCS #11 (Public Key Cryptography Standard) Estándar de cifrado de llave pública.


KMIP se usa ampliamente en administradores de llaves para soluciones de cifrado de datos en reposo, mientras que PKCS #11 para HSM (Módulos de Seguridad por hardware), no obstante hay bastente superposición.


Otros estándares como CAPI de Microsoft y JCE Java Cryptography Extension aplican al cifrado y la gestión de llaves para lenguajes de programación y aplicaciones particulares.

“Manageability”

Nos hemos centrado en los requisitos para cumplir con las arquitecturas evolutivas de los Data Centers y los diferentes escenarios de implementación e interoperabilidad; pero las prácticas tradicionales de administración de usuarios y sistemas aún aplican:


  1. Control de acceso basado en Roles: La implementación de múltiples niveles de administración y sus roles requiere, de manera ideal, tareas definidas, tales como un administrador de respaldo que debe estar restringido a su rol únicamente.

  2. Múltiples credenciales: Con entornos rigurosos, las soluciones de administración de llaves para las operaciones que afectan directamente a la seguridad y otras funciones administrativas importantes, residen en autoridades de control de acceso dual.

  3. Seguridad de la Información, Dueños de los Datos o Infraestructura: Otra pregunta habitualmente planteada por la alta gerencia es ¿Quién debe administrar estas “cajas”? ¿Seguridad de la Información que no sabe nada acerca del procesos/datos que están siendo cifrados o los Dueños de los Datos o el Equipo de Infraestructura?


Desafortunadamente no hay una respuesta única a esta pregunta.


  • Es una buena idea separar las claves de los datos y distribuir las responsabilidades. Si los propietarios de los datos también son administradores clave, ¿quién está vigilando al vigilante?

  • Con tareas segregadas, ¿tenemos suficientes administradores preparados para participar en el proceso y asumir la responsabilidad como dueños?

  • El equipo de infraestructura ¿puede manejar la plataforma al igual que cualquier otro servidor?

  • El acceso de control dual es una buena idea pero ¿la solución y el administrador de llaves lo soporta?

  • Qué hay de los sistemas en Desarrollo, QA y Producción?

  • Muchos usuarios y gerentes senior han tenido dificultades con estas preguntas. Aquí hay algunas guías:

  • El equipo de infraestructura no es un buen candidato para ser el dueño del proceso de gestión de llaves debido al acceso físico a los datos.

  • Los dueños de los datos suenan como un mal candidato también ya que pueden acceder a los datos y convertirlos en texto plano sin ningún permiso adicional.

  • El equipo de Seguridad de la Información es el mejor equipo para gestionar y mantener las llaves. De esta manera, se puede forzar la separación de tareas y evitar la colusión.

  • Se recomienda la habilitación de registros de auditoría, incluido el propósito: los registros son obligatorios para el cumplimiento, y son vitales para mantener la seguridad de las llaves. Los códigos de propósito (o metadatos equivalentes si son compatibles) confirman el por qué se accedió a una llave, en lugar de solo saber por quién y cuándo.

  • Si el control dual de acceso está habilitado, tanto Seguridad de la Información como los propietarios de los datos son una buena idea


Rendimiento


Otro aspecto de la administración del ecosistema de cifrado es comprender el impacto en el rendimiento de la complejidad agregada y la dependencia de la plataforma. Las tecnologías más nuevas (por ejemplo, HPE Secure Encryption) están disponibles en el mercado que implementa el cifrado en la capa de hardware, que es transparente para las aplicaciones, e incluso para el sistema operativo subyacente, lo que hace que la plataforma sea independiente. Las tecnologías también admiten el cifrado de datos en su lugar en vez de tener que migrarlos.


La rotación de llaves es otro aspecto importante de la gestión de llaves. La solución de cifrado debe admitir actividades de cambio de llave para cumplir con los organismos reguladores y superar cualquier situación catastrófica. El cambio de llaves no debe requerir descifrar un conjunto de datos encriptados y luego volver a encriptarlos cuando las llaves caduquen o se cambien. Se desea que la solución admita la jerarquía de claves para que las claves de nivel superior puedan cambiarse manteniendo los datos intactos.


Conclusión


Los datos administrados por las organizaciones están creciendo a un ritmo tremendo, al igual que las complejidades para su gestión y seguridad en entornos distribuidos. Las demandas para que las aplicaciones tengan rendimiento y seguridad, además de cumplir con los requisitos de cumplimiento están llevando a la adopción de nuevos patrones, como permitir que las unidades de negocios gestionen sus propios activos, para satisfacer la creciente presión de agilidad y del ser competitivos en el mercado. El cifrado es la salida más efectiva para mantener nuestros datos seguros mientras mantenemos la separación de funciones, forzando el cumplimiento normativo y manteniendo la auditoría del acceso.


El cifrado requiere gestión de llaves y la centralización es la mejor aproximación de entre las disponibles. Es imposible gestionar llaves de manera individual en una escala empresarial, especialmente en ambientes regulados. Solía ser una opción cuando la interoperabilidad era aún un sueño, pero los estándares de la industria como KMIP y otros nos están llevando a reducir la fricción y proveer de un panel único transparente hacia la administración centralizada de llaves.


Traducción de artículo de Manish Upasani de mayo de 2019, ULTIMACO


CertiNet S.A.

+ información relacionada en www.certinet.cl

soporte@certinet.cl

ventas@certinet.cl

+56 2 3221 9400

75 visualizaciones0 comentarios