El mercado de PKI está experimentando una serie de cambios en respuesta a los nuevos retos. En todo el sector están entrando en vigor, o se están proponiendo, nuevos planes para seguir defendiéndose de las amenazas en evolución como respuesta a los crecientes retos dentro de la seguridad de la información.
Estas propuestas pueden presionar a los equipos de TI para que aseguren sus organizaciones a la hora de cumplir con estos nuevos requisitos y normativas. Echemos un vistazo a los cambios y propuestas que se están realizando, y cómo pueden prepararse los equipos de TI y seguridad.
- Requisitos básicos de S/MIME
- Propuesta de transición a certificados con una validez de 90 días
- Mozilla planea desconfiar de los certificados raíz antiguos
- ¿Por qué son importantes estos cambios?
- La automatización puede ayudar a los equipos de TI a prepararse para los próximos cambios en la seguridad PK
Requisitos básicos para S/MIME
A partir del 1 de septiembre entrará en vigor un nuevo conjunto de normas para los certificados Secure/Multipurpose Internet Mail Extension (S/MIME). Los nuevos requisitos básicos, establecidos por el Foro de Autoridades Certificadoras y Navegadores (CA/B Forum), exigen que las autoridades certificadoras (CA) proporcionen una validación individual u organizativa específica para los certificados S/MIME. Esto estandariza los protocolos de validación en toda la industria para mejorar la seguridad, confidencialidad e integridad de las comunicaciones en línea.
Los cambios incluirán cuatro tipos de validación diferentes: validación por buzón, validación por organización, validación por patrocinador y validación individual. El Foro CA/B introducirá las generaciones S/MIME Legacy, Strict y Multipurpose para definir los perfiles de los certificados y su correspondencia con los nuevos requisitos.
S/MIME es un protocolo para enviar correos electrónicos cifrados utilizando firmas digitales. Al utilizar S/MIME, el origen del correo electrónico se verifica con una firma que también indica que el mensaje no ha sido manipulado, mientras que el cifrado garantiza la privacidad y seguridad tanto del remitente como del destinatario. Los requisitos sirven para proteger la privacidad del usuario y validar aún más su identidad y su control sobre las direcciones de correo electrónico, garantizando que la seguridad y la compatibilidad se mantienen constantes.
Haz clic aquí para obtener más información sobre las BR S/MIME
Propuesta de transición a una validez de certificados de 90 días
En marzo de 2023, Google propuso planes para acortar la vida útil de los certificados SSL/TLS, limitando su validez a 90 días. Aunque todavía no hay fecha para la aplicación de estos cambios sugeridos, si se llevaran a cabo, los planes crearían un cambio significativo en la industria.
Esta propuesta sigue la tendencia del sector de la ciberseguridad de reducir la vida útil de los certificados SSL/TLS para reducir la posibilidad de ataques maliciosos a las organizaciones. Anteriormente, los certificados SSL / TLS tenían una validez máxima de cinco años, que luego se volvió a reducir varias veces más hasta llegar al periodo de validez actual de 397 días, o 13 meses.
Propuesta de transición a una validez de certificados de 90 días
Mozilla planea desconfiar de los certificados raíz antiguos
Mozilla ha anunciado planes para desconfiar de los certificados raíz S/MIME y SSL / TLS más antiguos a partir de 2025. Los bits de confianza de los certificados S/MIME se eliminarán a los 18 años y los de los certificados SSL/TLS a los 15 años. La medida se produce cuando el navegador pretende mejorar la agilidad criptográfica en el sector y garantizar que todas las jerarquías raíz de CA cumplan los requisitos de raíz actuales.
En la actualidad, muchos certificados raíz CA antiguos no cumplen con la política de almacén raíz de Mozilla, ni con los requisitos básicos del Foro CA/B. Con este cambio, Mozilla destaca que la seguridad y las políticas de la industria evolucionan constantemente para mantenerse al día con las demandas y los desafíos, lo que significa que las jerarquías de CA se quedan obsoletas durante este proceso. La actualización de la política de raíz de Mozilla garantizará que las jerarquías de CA continúen evolucionando con las demandas de la industria y los requisitos de los navegadores existentes y sigan cumpliendo plenamente con la normativa.
¿Por qué son importantes estos cambios?
Aunque estos cambios contribuirán a mejorar la postura de seguridad de las empresas y a promover la seguridad en Internet, los equipos informáticos responsables de la seguridad de las organizaciones sentirán sin duda la presión de organizarse para adaptarse a estos nuevos requisitos.
Muchos equipos de TI tendrán que actualizar sus procedimientos de seguridad en línea con estos requisitos; una hazaña difícil para los equipos de TI que están operando su gestión de la seguridad de forma manual, mediante el almacenamiento y seguimiento de sus inventarios de certificados en hojas de cálculo. Estos nuevos cambios y propuestas se han hecho para animar a las organizaciones a evaluar su actual postura de seguridad, y los equipos de TI que utilizan procedimientos anticuados tendrán que ponerse al día, y si no, poner en riesgo la seguridad y la infraestructura de la empresa.
La automatización puede ayudar a los equipos de TI a estar al día de los cambios en el mercado de PKI
La forma más eficaz de que los equipos de TI gestionen su seguridad junto con los nuevos cambios y propuestas será automatizar su gestión de certificados. En la actualidad, muchos equipos de TI siguen gestionando los certificados manualmente, lo que supone una carga cada vez mayor para la dirección de TI y sus empleados, especialmente a medida que los recortes de gastos en ciberseguridad reducen los recursos de los equipos de TI.
La automatización es un recurso en el que los equipos de TI tendrán que confiar para gestionar la seguridad empresarial. La automatización de la gestión de certificados también ayudará a reforzar la postura de seguridad empresarial y a mejorar la responsabilidad de la seguridad al redistribuir la responsabilidad de la gestión de certificados.
