Explicación de la autenticación PKI: conceptos básicos para administradores de TI

La infraestructura de clave pública (PKI) gobierna la emisión de certificados digitales para proteger datos confidenciales, proporcionar identidades digitales únicas para usuarios, dispositivos y aplicaciones y comunicaciones seguras de extremo a extremo.

¿Qué es PKI?

Hoy en día,  las organizaciones dependen de PKI para administrar la seguridad a través Encry ption . Específicamente, la forma más común de cifrado que se usa hoy en día involucra una clave pública, que cualquiera puede usar para cifrar un mensaje, y una clave privada (también conocida como clave secreta), que solo una persona debería poder usar para descifrar esos mensajes. . Estas claves pueden ser utilizadas por personas,  dispositivos y aplicaciones. 

La seguridad PKI surgió por primera vez en la década de 1990 para ayudar a controlar las claves de cifrado mediante la emisión y gestión de certificados digitales. Estos certificados PKI verifican al propietario de una clave privada y la autenticidad de esa relación en el futuro para ayudar a mantener la seguridad. Los certificados son similares a una licencia de conducir o un pasaporte para el mundo digital. 

Ejemplos comunes de seguridad PKI en la actualidad son los  certificados SSL  en sitios web para que los visitantes del sitio sepan que están enviando información al destinatario previsto , firmas digitales y autenticación para dispositivos de Internet de las cosas.

¿Cómo funciona PKI?

Entonces, ¿cómo funciona PKI?

Para comprender  cómo funciona PKI , es importante volver a los conceptos básicos que rigen el cifrado en primer lugar. Con eso en mente, profundicemos en algoritmos criptográficos y certificados digitales. 

Bloques de construcción de la criptografía de clave pública

Se definen algoritmos criptográficos,  fórmulas matemáticas muy complejas que se utilizan para cifrar y descifrar mensajes. También son los componentes básicos de la autenticación PKI. Estos algoritmos varían en complejidad y los primeros  son  anteriores a la tecnología moderna. 

Cifrado simétrico

El cifrado simétrico  es un algoritmo criptográfico simple  para los estándares actuales, sin embargo, alguna vez se consideró el estado del arte. De hecho, el ejército alemán lo utilizó para enviar comunicaciones privadas durante la Segunda Guerra Mundial. La película  The Imitation Game en  realidad hace  un buen trabajo al explicar cómo funciona el cifrado simétrico y el papel que desempeñó durante la guerra. 

Con el cifrado simétrico, un mensaje que se escribe en texto plano pasa por permutaciones matemáticas para convertirse en cifrado. El mensaje cifrado es difícil de descifrar porque la misma letra de texto sin formato  no siempre sale igual en el mensaje cifrado. Por ejemplo, el mensaje “HHH” no se cifraría con tres de los mismos caracteres. 

Para cifrar y descifrar el mensaje, necesita la misma clave, de ahí el nombre cifrado simétrico. Si bien descifrar  mensajes es extremadamente difícil sin la clave, el hecho de que se deba utilizar la misma clave para cifrar y descifrar el mensaje conlleva un riesgo significativo. Esto se debe a que si el canal de distribución utilizado para compartir la clave se ve comprometido, todo el sistema de  mensajes seguros se rompe. 

Cifrado asimétrico

El cifrado asimétrico,  o criptografía asimétrica, resuelve el problema de intercambio que plagaba el cifrado simétrico. Lo hace mediante la creación de dos claves criptográficas diferentes (de ahí el nombre de cifrado asimétrico): una clave privada y una clave pública. 

Con el cifrado asimétrico, un mensaje sigue pasando por permutaciones matemáticas para  cifrarse, pero  requiere una clave privada (que solo debe conocer el destinatario) para descifrar y una clave pública (que puede compartirse con cualquier persona) para cifrar un mensaje. 

Así es como funciona esto en acción: 

• Alice quiere  enviar un mensaje privado a Bob, por lo que usa la clave pública de Bob para generar texto cifrado que solo la clave privada de Bob puede descifrar. 
• Debido a que solo la clave privada de Bob puede descifrar el mensaje, Alice puede enviarlo sabiendo que nadie más puede leerlo, ni siquiera un fisgón, siempre que Bob tenga cuidado de que nadie más tenga su clave privada.

El cifrado asimétrico también permite realizar otras acciones que son más difíciles de realizar con el cifrado simétrico, como las firmas digitales, que funcionan de la siguiente manera: 

• Bob puede enviar un mensaje a Alice y encriptar una firma al final usando su clave privada. 
• Cuando Alice recibe el mensaje, puede usar la clave pública de Bob para verificar dos cosas: 
  • Bob, o alguien con la clave privada de Bob, envió el mensaje. 
  • El mensaje no se modificó en tránsito, porque si se modifica, la verificación fallará.

En ambos  ejemplos, Alice no ha generado su propia clave. Solo con un intercambio de clave pública, Alice puede enviar mensajes cifrados a Bob y verificar los documentos que Bob ha firmado. Es importante señalar que estas acciones son unidireccionales. Para revertir las acciones para que Bob pueda enviar mensajes privados a Alice y verificar su firma, Alice tendría que generar su propia clave privada y compartir la clave pública correspondiente. 

En la actualidad, existen tres propiedades matemáticas populares que se utilizan para generar claves públicas y privadas: RSA, ECC y Diffie-Hellman. Cada uno utiliza diferentes algoritmos para generar claves de cifrado,   pero todos se basan en los mismos principios básicos en cuanto a la relación entre la clave pública y la clave privada.  

Veamos el  algoritmo RSA de  2048 bits como ejemplo. Este algoritmo genera aleatoriamente dos números primos de 1024 bits cada uno y luego los multiplica. La respuesta a esa ecuación es la clave pública, mientras que los dos numeradores principales que crearon la respuesta son la clave privada.  

Este enfoque funciona porque es extremadamente difícil revertir el cálculo cuando involucra dos números primos de ese tamaño, lo que hace que sea relativamente fácil calcular la clave pública a partir de la clave privada, pero al principio imposible calcular la clave privada a partir de la clave pública. 

Cómo se utiliza hoy en día el cifrado simétrico y asimétrico

Tanto el cifrado simétrico como el asimétrico se utilizan con frecuencia en la actualidad. El cifrado asimétrico es mucho más lento que el cifrado simétrico, por lo que los dos se utilizan a menudo en conjunto. Por ejemplo, alguien puede cifrar un mensaje utilizando cifrado simétrico y luego enviar la clave  para descifrar el mensaje utilizando cifrado asimétrico (lo que acelera el proceso de descifrado ya que la clave es mucho más pequeña que el mensaje completo). 

Hoy en día, el cifrado asimétrico potencia cosas como: 

• Algoritmos SSH 
• SSL / TLS 
• Correo electrónico cifrado S / MIME 
• Firma de código 
• Bitcoin / Blockchain 
• Mensajero privado de señal 
• Firmas digitales

En particular, el cifrado asimétrico potencia la PKI. 

La aparición de PKI para gobernar las claves de cifrado

Tanto el cifrado simétrico como el asimétrico tienen un desafío importante: ¿cómo sabe que la clave pública que recibió  realmente pertenece  a la persona que cree que pertenece ?  

Incluso con el cifrado asimétrico, existe el riesgo del “hombre en el medio”. Por ejemplo, ¿qué pasa si alguien intercepta la clave pública de Bob, crea su propia  clave privada y luego genera una nueva clave pública para Alice? En este caso, Alice cifraría los mensajes para Bob, el hombre en el medio podría descifrarlos, cambiarlos y luego volver a cifrarlos y ni Alice ni Bob serían más sabios. 

PKI resuelve este desafío emitiendo y regulando certificados digitales que confirman la identidad de las personas, dispositivos o aplicaciones que poseen claves privadas y las correspondientes claves públicas. En resumen, PKI asigna identidades a las claves para que los destinatarios puedan verificar con precisión a los propietarios. Esta verificación les da a los usuarios la confianza de que si envían un mensaje encriptado a esa persona (o  dispositivo), el destinatario previsto es el que  realmente lo leerá  y no cualquier otra persona que pueda estar sentada como un “hombre en el medio”. 

El papel de los certificados digitales en PKI

PKI gobierna las claves de cifrado mediante la emisión y gestión  de certificados digitales . Los certificados digitales también se denominan  certificados X.509  y certificados PKI.

Sin embargo, se refieren a ellos, un  certificado digital tiene estas cualidades: 

• Es un equivalente electrónico de una licencia de conducir o pasaporte. 
• Contiene información sobre una persona o entidad. 
• Proviene de un  tercero de confianza 
• Es a prueba de manipulaciones 
• Contiene información que puede probar su autenticidad. 
• Puede rastrearse hasta el emisor 
• Tiene una fecha de vencimiento 
• Se presenta a alguien (o algo) para su validación.

La forma más fácil de entender cómo PKI gobierna los certificados digitales para verificar identidades es pensar en él como un DMV digital. Al igual que el DMV, PKI presenta un tercero de confianza para tomar decisiones sobre la asignación de identidades a un certificado digital. Y al igual que las licencias de conducir, los certificados digitales son difíciles de falsificar, incluyen información que identifica al propietario y tiene una fecha de vencimiento.  

Finalmente, depende de la persona que verifica el certificado digital determinar cuál  debe ser ese proceso de verificación y con qué cuidado debe examinarse el certificado en función del caso de uso. 

Presentación de las autoridades de certificación

Las Autoridades de Certificación (CA) son responsables de crear certificados digitales y poseen las políticas, prácticas y procedimientos para  examinar a los destinatarios y emitir los certificados. 

Específicamente, los propietarios y operadores de una CA determinan: 

• Métodos de verificación para los destinatarios del certificado 
• Tipos de certificados emitidos 
• Parámetros contenidos en el certificado 
• La seguridad y las operaciones procedu res 

Una vez que las CA toman estas determinaciones, deben documentar formalmente sus políticas. A partir de ahí, depende de los consumidores de certificados decidir cuánta confianza quieren depositar en los certificados de cualquier CA determinada. 

Cómo funciona el proceso de creación de certificados

El proceso de creación de certificados se basa en gran medida en el cifrado asimétrico y funciona de la siguiente manera: 

• Se crea una clave privada   y se calcula la clave pública correspondiente 
• La CA solicita cualquier atributo de identificación del propietario de la clave privada y examina esa  información. 
• La clave pública y los atributos de identificación se codifican en una solicitud de firma de certificado (CSR) 
• El CSR está firmado por el propietario de la clave para demostrar la posesión de esa clave privada. 
• La CA emisora ​​valida la solicitud y firma el certificado con la clave privada del propio C A 

Cualquiera puede usar la parte pública de un certificado para verificar que realmente fue  emitido  por la CA al confirmar quién es el propietario de la clave privada utilizada para firmar el certificado. Y, suponiendo que consideren que CA es confiable, pueden verificar que todo lo que envíen al  titular del certificado irá  realmente  al destinatario previsto y que cualquier cosa firmada con la clave privada del titular del certificado fue efectivamente firmada por esa persona / dispositivo. 

Una parte importante de este proceso a tener en cuenta es que la propia CA tiene su propia clave privada y la clave pública correspondiente, lo que crea la necesidad de jerarquías de CA. 

Cómo las jerarquías de CA y las CA raíz crean capas de confianza

Dado que cada CA tiene un certificado propio, se crean capas de confianza a través de jerarquías de CA, en las que las CA emiten certificados para otras CA. Sin embargo, este proceso no es circular, ya que en última instancia existe un certificado raíz. Normalmente, los certificados tienen un emisor y un sujeto como dos partes separadas, pero estas son las mismas partes para las CA raíz, lo que significa que los certificados raíz están autofirmados. Como resultado, las personas deben confiar inherentemente en la  autoridad del certificado raíz  para confiar en los certificados que se remontan a ella. 

La seguridad de la CA raíz es de suma importancia

Todo esto hace que la seguridad de las claves privadas sea más importante para las CA. En cualquier caso, una clave privada que cae en las manos equivocadas es mala, pero es particularmente  devastadora  para las CA, porque entonces alguien puede emitir certificados de manera fraudulenta.  

Los controles de seguridad y el impacto de la pérdida se vuelven aún más severos a medida que avanza en la cadena en una jerarquía de CA porque no hay forma de revocar un certificado raíz. En caso de que una CA raíz se vea comprometida, la organización debe hacer pública esa violación de seguridad. Como resultado, las CA raíz  tienen las medidas de seguridad más estrictas. 

Para cumplir con los más altos estándares de seguridad, las CA raíz casi nunca deberían estar en línea. Como práctica recomendada, las CA raíz deben almacenar sus claves privadas en cajas fuertes de grado NSA dentro de los  centros de datos de última generación con seguridad  24 horas al día, 7 días a la semana a través de cámaras y guardias físicos. Todas  estas medidas pueden parecer extremas, pero son necesarias para proteger la autenticidad de un certificado raíz. 

Aunque una CA raíz debe estar desconectada el 99,9% del tiempo, hay ciertos casos en los que es necesario  conectarse. Específicamente, las CA raíz deben estar en línea para la creación de claves públicas, claves privadas y nuevos certificados, así como para asegurarse de que su propio material de claves siga siendo  legítimo y no se haya dañado o comprometido de ninguna manera. Idealmente, las CA principales deberían ejecutar estas pruebas entre 2 y 4 veces al año. 

Por último, es importante tener en cuenta que los certificados raíz caducan. Los certificados raíz suelen durar de 15 a 20 años (en comparación con aproximadamente siete años para los certificados de CA subordinadas). Introducir y generar confianza en una nueva raíz no es fácil, pero es importante que estos certificados caduquen porque cuanto más se ejecutan, más vulnerables se vuelven a los riesgos de seguridad. 

Determinación del nivel óptimo de niveles en la jerarquía de CA de su PKI

Una jerarquía de CA generalmente involucra dos niveles, siguiendo la cadena de Autoridad de certificación raíz → Autoridades de certificación subordinadas → Certificados de entidad final. 

Una   jerarquía de dos niveles es absolutamente necesaria como mínimo porque una CA raíz debe estar fuera de línea el 99,9 % del tiempo, lo cual es un estándar difícil para las CA subordinadas que emiten certificados regularmente, ya que necesitan estar en línea para emitir nuevos certificados.  

Si bien las CA subordinadas hacen lo  mejor  que pueden para proteger sus certificados, conllevan un riesgo de seguridad mucho mayor que las CA raíz. Sin embargo, a diferencia de las CA raíz, las CA subordinadas tienen la capacidad de revocar certificados, por lo que cualquier violación de seguridad que ocurra es más fácil de recuperar que para las CA raíz (que no pueden revocar certificados). 

Dicho esto,  una   jerarquía de dos niveles también suele ser suficiente para la seguridad. Esto se debe a que cuantos más niveles existan dentro de una jerarquía de CA, más difícil será la usabilidad y la escalabilidad de la PKI porque más niveles añaden complejidad a las políticas y procedimientos que gobiernan la PKI. 

Gestión de la revocación mediante listas de revocación de certificados

Si una CA subordinada se ve comprometida de alguna manera o desea revocar un certificado por cualquier motivo, debe publicar una lista de revocación de los certificados emitidos que no deben ser confiados . Esta lista se conoce como Lista de revocación de certificados (CRL) y es fundamental para el diseño de PKI. 

Si bien las CA deben emitir CRL, depende de la discreción de los consumidores de certificados si verifican estas listas y cómo responden si un certificado ha sido revocado. Una vez más, este es un excelente ejemplo de cómo los certificados digitales son  similares a  las licencias de conducir,  ya que el proceso de verificación generalmente depende de la necesidad del certificado (piense en la diferencia entre usar una licencia recientemente vencida para comprar alcohol y pasar un punto de control de la TSA ). 

En muchos casos, los consumidores de certificados optan por no verificar las CRL  porque hacerlo ralentiza el proceso de autenticación. Los consumidores de certificados también pueden elegir cuánto retroceder dentro de la jerarquía de CA como parte de la verificación, teniendo en cuenta que cuanto más retroceden, más demora el proceso. 

Si bien la verificación de los C RL, y el camino hasta la CA raíz para hacerlo, ralentiza el proceso de autenticación, hacerlo se está volviendo más estándar a medida que más cosas se conectan y dependen de los certificados digitales para la seguridad. Considere el caso de los navegadores web. Muchos navegadores web anteriormente no verificaban los certificados porque ralentizaban la experiencia de navegación, pero ahora estas verificaciones son comunes a medida que la seguridad de Internet se vuelve más importante. 

Fundamentalmente, las CRL en sí mismas tienen una fecha de vencimiento, y si una CRL vence, todos los certificados emitidos por la CA se vuelven inválidos. Si bien las CA se centran principalmente en asegurarse de que los certificados no caduquen, lo cual es importante, también es importante que se aseguren de que las CRL no caduquen porque, si eso sucede, puede eliminar toda la PKI. Cuando los C As raíz se conectan, también comprueban que las CRL de las CA subordinadas no hayan expirado por este motivo. 

Certificados raíz de confianza

En la actualidad, todos los dispositivos y sistemas que se  conectan ( por ejemplo, teléfonos, computadoras portátiles, servidores, sistemas operativos) deben interactuar con certificados. Esta amplia interacción con los certificados ha llevado al concepto de un certificado raíz confiable dentro de los dispositivos y sistemas operativos. 

Por ejemplo, todos los equipos de Microsoft tienen un almacén raíz de confianza. La computadora confiará automáticamente en cualquier certificado que pueda rastrearse hasta ese almacén raíz de confianza. Cada dispositivo y sistema operativo  viene  con un almacén raíz de confianza preestablecido, pero los propietarios de las máquinas pueden establecer reglas para confiar en certificados adicionales o para no confiar en certificados que se  preestablecieron como fiables. 

¿Por qué PKI es tan importante en la era digital actual?

PKI es tan importante en la era digital actual porque ahora hay millones de aplicaciones y dispositivos conectados que requieren certificación. La autenticación y el mantenimiento adecuados de los certificados de estas tecnologías es esencial para mantener seguro nuestro mundo altamente conectado. 

Para ilustrar completamente la importancia de PKI en la era digital actual, sigamos su evolución desde que surgió a mediados de la década de 1990. 

La primera ola: inicios de PKI (1995-2002)

La primera ola de PKI incluyó solo una pequeña cantidad de certificados, que tenían un valor alto y se usaban solo en casos muy específicos.  

El caso de uso más grande de PKI durante este tiempo fue emitir certificados para sitios web de comercio electrónico, que luego podrían mostrar el ícono de candado en el navegador para brindarles a los consumidores la confianza de que estaban visitando el sitio web correcto y que había una conexión segura al compartir la tarjeta de crédito. información para realizar una compra. 

Algunas organizaciones grandes implementaron PKI, pero  estos proyectos generalmente duraron dos años y millones de dólares solo para dar como resultado que se  emitieran un puñado de certificados  , lo que dejaba un gran potencial sin explotar.  

Durante este tiempo, casi todos los certificados se compraron a proveedores públicos y  podrían costar miles de dólares. Esto creó un flujo de ingresos para estos proveedores que garantizaba que monitorearían los vencimientos de certificados y alertarían a los destinatarios en consecuencia. Como resultado, administrar PKI fue relativamente fácil para las organizaciones que lograron despegar. 

La segunda ola: surge la PKI empresarial (2003-2010)

La segunda ola de PKI vio explotar los casos de uso empresarial  y, como resultado, generó una serie de nuevos desafíos. 

A principios de la década de 2000 se produjo un aumento de la fuerza laboral móvil, cuando casi todos los empleados recibieron computadoras portátiles y la capacidad de trabajar de forma remota se convirtió en algo común. De repente , los empleados necesitaban acceder a los activos fuera de la oficina, generalmente a través de una VPN, lo que hacía que la autenticación de dispositivos y la seguridad del acceso de usuarios remotos a los sistemas fueran más importantes que nunca. 

En respuesta, las organizaciones identificaron a la PKI como la mejor manera de autenticar a sus nuevas fuerzas de trabajo móviles. Específicamente, comenzaron a colocar certificados en las computadoras portátiles de los empleados (y cualquier otro dispositivo como teléfonos móviles) para verificar que los dispositivos que se conectan a la VPN o acceden a activos desde fuera de la oficina eran dispositivos independientes de los empleados y tenían el software antivirus adecuado necesario para acceder a esos sistemas. .  

Durante este tiempo, los certificados emitidos por empresas se convirtieron en tarjetas de identificación corporativas. Las organizaciones podrían implementar sus propios certificados e incluso colocar certificados SSL o TLS en los servidores web internos para mejorar la seguridad al evitar que las contraseñas de texto sin formato vuelen por la red. 

Si bien este enfoque de PKI permitió a las empresas resolver problemas importantes relacionados con la autenticación de una fuerza de trabajo móvil y el cifrado de sistemas internos  , también creó un nuevo conjunto de desafíos para garantizar un programa saludable.  

En primer lugar, las organizaciones debían esforzarse mucho en diseñar PKI robustas y seguras que se adhirieran a las mejores prácticas. En segundo lugar, necesitaban encontrar formas de realizar un seguimiento adecuado de  sus PKI para garantizar que los certificados no expiraran y / o que no estuvieran  comprometidos y debían ser revocados. Para detener estos desafíos, la mayoría de las organizaciones introdujeron programas de gestión de PKI dirigidos internamente por empleados con experiencia relevante. 

La tercera ola: nuevos usos y problemas de crecimiento (2011-hoy)

La tercera ola de PKI, que todavía estamos experimentando hoy, incluye varios usos nuevos en el Internet de las cosas (IoT) y algunos problemas de  crecimiento con el escalado de PKI  en el camino. 

Hoy en día, las organizaciones emiten millones de certificados para  autenticar una fuerza laboral multidispositivo y completamente móvil . Más allá de los dispositivos de los empleados, las organizaciones también  deben  administrar certificados integrados en todo tipo de sistemas en la nube. Finalmente,  el auge del IoT ha llevado a millones de nuevos dispositivos conectados , cada uno de los cuales debe estar protegido, autenticado y ser capaz de obtener actualizaciones de firmware. Todas  estas conexiones hacen que PKI sea más importante que nunca y han dado lugar a un enorme crecimiento en este espacio. 

Pero a medida que PKI se vuelve más importante y prevalente, también se vuelve más desafiante. Específicamente,  el mundo digital conectado de hoy en día crea desafíos de administración de PKI en cuanto a obtener certificados donde deben ir, garantizar que los certificados se examinen y mapeen correctamente, y monitorear los certificados ya emitidos.  

Supervisar, administrar y actualizar millones de certificados es un trabajo tan grande que la mayoría de las organizaciones ahora confían en proveedores de servicios administrados de terceros y en herramientas especializadas de administración de certificados para manejar su PKI . Esta tendencia es  similar al  movimiento hacia la nube, ya que las organizaciones cambiaron de servidores de datos propios a proveedores de computación en la nube de terceros. 

La contratación de un proveedor de servicios gestionados para PKI  permite a cada organización centrar la experiencia de sus empleados en áreas directamente relacionadas con su línea de negocio (en lugar de la infraestructura operativa) y protege contra la rotación entre los expertos en PKI. Lo más importante es que  mejora la administración y la seguridad de PKI  al brindar acceso a un gran equipo que se especializa en desarrollar y ejecutar programas de PKI de mejores prácticas. 

¿Cuáles son los desafíos comunes que resuelve PKI?

Existe una amplia variedad de casos de uso para PKI. Algunos de los casos de uso de PKI más comunes incluyen: 

• Certificados SSL / TLS para asegurar las experiencias y comunicaciones de navegación web 
• Firmas digitales en software 
• Acceso restringido a intranets y VPN empresariales 
•  Acceso Wifi sin contraseña  basado en la propiedad del dispositivo 
• Cifrado de datos y correo electrónico

Uno de los usos más explícitos  de PKI  que acaba de despegar se centra en la autenticación y  protección de una amplia variedad de dispositivos de IoT . Estos casos de uso abarcan todas las industrias, ya que cualquier dispositivo conectado, sin importar cuán inocuo pueda parecer, requiere seguridad  en la actualidad . Por ejemplo, la filtración de datos de The Home Depot comenzó porque los piratas informáticos pudieron acceder al sistema de punto de venta del minorista al ingresar a la red y posarse como una unidad HVAC no autenticada. 

Algunos de los casos de uso de PKI más convincentes en la actualidad se centran en IoT. Los fabricantes de automóviles  y  los fabricantes de dispositivos médicos  son dos ejemplos principales de industrias que actualmente están introduciendo PKI para dispositivos IoT. 

Fabricantes de automóviles y PKI

Los autos producidos hoy están altamente conectados debido a características como GPS incorporado, servicios de llamada de ayuda como OnStar y partes de vehículos que se auto-monitorean para las necesidades de mantenimiento. Estas capacidades crean una variedad de puntos de conexión donde cosas como datos y actualizaciones de software se pasan de un lado a otro.  

Si alguna de estas conexiones es insegura, los resultados podrían ser catastróficos, ya que abrirían la puerta para que partes malintencionadas pirateen el automóvil para hacer cosas como obtener acceso a datos confidenciales o enviar información errónea a los vehículos para que dañen deliberadamente a las personas. Como resultado, es fundamental que cualquier pieza del automóvil que esté conectada reciba un certificado digital para garantizar la seguridad. 

Fabricantes de dispositivos médicos y PKI

Los dispositivos médicos  , como los robots quirúrgicos y los marcapasos de próxima generación, también están cada vez más conectados y, como resultado, requieren mayores precauciones de seguridad . Además, la FDA ahora ha ordenado que cualquier software como parte de un dispositivo médico de próxima generación debe ser actualizable, de esa manera los fabricantes pueden corregir fácilmente los errores inadvertidos y corregir los problemas de seguridad. 

Si bien este mandato hace mucho bien en términos de hacer que este software de próxima generación sea más avanzado, también  abre  vulnerabilidades al crear más puntos de conexión para que las partes malintencionadas pirateen y tomen el control. PKI limita estas vulnerabilidades al emitir certificados a los dispositivos y cualquier software con el que se comuniquen, de modo que cada parte pueda autenticar las fuentes de datos para garantizar que solo acepten datos y actualizaciones de la fuente prevista. 

¿Listo para comenzar con PKI?

PKI ayuda a proteger nuestro mundo digital protegiendo las comunicaciones y datos confidenciales y verificando las identidades digitales . Y a medida que se dispara el número de dispositivos y aplicaciones conectados, esta seguridad sigue aumentando en importancia. 

Para las empresas , en particular, la introducción de  PKI es fundamental, pero también es solo el primer paso. Construir y mantener un programa PKI de mejores prácticas que administre millones de certificados digitales no es fácil, pero ese es el desafío al que se enfrentan las empresas de hoy. 

¿Listo para recibir más información? Ya sea que esté comenzando con PKI o necesite ayuda para mejorar la administración del programa PKI,  Key f actor  puede ayudarlo. Haga clic aquí para obtener más información . 

Fuente: https://www.keyfactor.com/resources/what-is-pki/