PKI, Sello de Tiempo y Firma Digital, sólo seguros con HSM, Hardware Security Module

Hoy quiero compartir la versión en español de este post  del CEO de REALSEC Inc, Sebastian Munoz, sobre como un sistema de firma digital, PKI o sellado de tiempo no es realmente seguro si no radica su tecnología en un HSM, Hardware Security Module.
Espero que les resulte de interés.

Tras varios años trabajando en USA, cada vez me encuentro con más situaciones en las que las organizaciones que disponen de estructuras de PKI, Autoridad de Sellado de Tiempo o usan aplicaciones de Firma Digital lo hacen sobre sistemas que no protegen adecuadamente las claves maestras y privadas con la que están firmando en la generación de los certificados digitales utilizados por sus usuarios.

Estas organizaciones no son conscientes que de este modo se están exponiendo a una serie de riesgos, totalmente evitables e innecesarios con el uso de sistemas robustos basados en criptografía y que se encuentran a su alcance en el mercado de la seguridad, exigiendo siempre su máxima certificación internacional en materia de seguridad.

Debemos partir de la base de que para operar mediante estas técnicas en entornos que sean confiables, estas soluciones de firma digital, PKI y sellado de tiempo, entre otras, deben estar siempre apoyadas en tecnología criptográfica por hardware . De no hacerlo así, el riesgo de ser víctimas de la ciberdelincuencia alcanza niveles elevadísimos; no sólo para la misma organización, sino también para todos aquellos que, ingenuamente confiados, utilizan sus servicios.
Es como jugar a la “ruleta rusa” con el propio negocio de Autoridad Certificadora. Después de haber hecho una inversión muy importante en implementar las infraestructuras de PKI y firma digital, muchos olvidan el elemento más importante, y es dotar a estas soluciones de la robustez y seguridad que son imprescindibles, olvidando el HSM, Hardware Security Module.

Autoridad Certificadora y sellado de tiempo sólo con garantías

Como bien sabemos, los certificados digitales no son otra cosa que contenedores electrónicos con los datos de la identidad del usuario (bien sea persona física o jurídica) donde se especifica su rol o privilegios, amén de reseñar los usos para los que se certifica (autenticación, firma digital, firma de código, etc.) Y, por supuesto, la clave pública del titular firmada por la Autoridad Certificadora.
A su vez, este certificado digital lleva asociada una clave privada vinculada íntimamente con la ontología del usuario certificado, sea éste persona u organización.
Si quien firma los certificados (Autoridad Certificadora) no protege al máximo la llave privada con la que está firmando, está haciendo muy fácil que aparezcan en la nube falsos certificados emitidos por ellos mismos. Y eso, es poner en grave riesgo a todos los ingenuos (titulares y receptores) que hayan confiado en esa supuesta “Autoridad”.
La puesta en circulación de un solo certificado digital falso realizado con la clave privada de un determinado emisor, coloca bajo sospecha todos los certificados por él emitidos, invalidándolos todos y convirtiendo en estéril toda la actividad de la supuesta “Autoridad”.
Exactamente igual ocurre en el caso de la Autoridad de Sellado de Tiempo. Cierto es que constituye un “servicio bajo demanda”, pero también es cierto que se erige en fedatario que genera evidencias ante un tercero. Si esas evidencias no son 100% creíbles; si existe la mínima duda sobre su fiabilidad, ¿qué valor de evidencia tiene su sello frente a un tercero?… ¿Quién se arriesga a creer en ese fedatario?
Como conclusión, podemos afirmar que una PKI, una TSA o una VA deben inexorablemente apoyarse en un HSM, Hardware Security Module, para proteger la clave privada con la que firman. Esa clave privada es la base del negocio de esos Prestadores de Servicios y el no protegerla constituye el suicidio de su actividad.
Y por supuesto, para que este HSM, Hardware Security Module, sea un elemento confiable debe siempre estar avalado por la máxima certificación internacional de seguridad.

Sin comentarios

Envia un comentario

Comment
Nombre
Email
Sitio Web