Cos'è la gestione del ciclo di vita dei certificati?

La gestione del ciclo di vita dei certificati (CLM) è il processo formale di gestione e sicurezza dei certificati digitali di un'organizzazione. Il CLM mira a semplificare e automatizzare ogni fase del ciclo di vita dei certificati: inventario, emissione, implementazione, monitoraggio, rinnovo, revoca e smaltimento.

I certificati digitali sono documenti elettronici che utilizzano la crittografia a chiave pubblica per dimostrare l'identità dei loro portatori. Sono spesso utilizzati per autenticare identità non umane (NHI) come siti web, server, applicazioni e agenti AI.  

Man mano che gli NHI proliferano nella rete aziendale, guidati da DevOps, ambienti cloud, intelligenza artificiale (AI) e machine learning (ML), i certificati diventano una componente sempre più importante della gestione delle identità e degli accessi (IAM).

Tuttavia, l'esplosione degli NHI significa anche un'esplosione di certificati, che devono essere protetti dagli attori delle minacce come qualsiasi altra credenziale.  

E i certificati comportano un'ulteriore complicazione: le date di scadenza. 

Per design, i certificati non rimangono validi per sempre. Se una licenza scade prima di poter essere rinnovata, può causare gravi disagi, interruzioni del servizio e tempi di inattività. I clienti potrebbero non riuscire a raggiungere un sito web. I componenti critici dell'infrastruttura di rete potrebbero cessare di funzionare. I sistemi di elaborazione dei pagamenti possono non funzionare. 

La gestione del ciclo di vita dei certificati mira a fornire alle organizzazioni strumenti, tattiche e strategie per semplificare i workflow chiave dei certificati, come il monitoraggio dello stato dei certificati, il controllo dell'accesso e il rinnovo e revoca dei certificati. In questo modo, il CLM può contribuire a mitigare le frodi, i furti e gli abusi dei certificati, evitando al contempo costose interruzioni impreviste. 

I certificati digitali, chiamati anche certificati X.509, dallo standard X.509 che ne definisce il formato, sono documenti elettronici utilizzati per Verify le identità digitali. I certificati sono utilizzati principalmente da identità non umane e automatiche come server, software, computer ed endpoint dell'Internet of Things (IoT).

I certificati dipendono da un framework chiamato infrastruttura a chiave pubblica (PKI), che utilizza la crittografia asimmetrica per convalidare le identità delle entità e proteggere le comunicazioni tra loro.  

Più specificamente, i sistemi crittografici asimmetrici utilizzano due chiavi diverse, una chiave pubblica e una chiave privata, per crittografare e decriptare i dati. Chiunque può utilizzare una chiave pubblica per crittografare i dati. Tuttavia, solo i titolari della chiave privata corrispondente possono decrittografare quei dati.

I certificati digitali dimostrano che una particolare chiave privata appartiene a una particolare entità e il possesso di un certificato autentico viene spesso considerato come prova dell'identità di quell'entità.  

In un certo senso, un certificato è un po' come l'atto di proprietà di una casa: registra a chi appartiene un bene (la chiave) e, se qualcuno possiede l'atto, probabilmente è il legittimo proprietario di quella proprietà.

Ma questa analogia rivela anche i limiti dei certificati e l'importanza di garantirli. Se un malintenzionato ruba un certificato, può fingere di essere un'entità affidabile e gli altri utenti potrebbero credergli, con conseguenze potenzialmente disastrose.  

Ad esempio, supponiamo che un attore di minacce rubi o falsifichi una copia del certificato di un sito web legittimo. L'aggressore crea quindi una copia dannosa del sito web progettata per rubare le credenziali degli utenti. Poiché l'aggressore ha un certificato apparentemente autentico, i browser web penseranno che il loro sito di phishing sia autentico e gli utenti non riceveranno alcun avviso che il sito sia falso. 

Per mitigare i rischi di cadere nelle mani sbagliate, la maggior parte dei certificati è valida solo per un periodo di tempo limitato. La scadenza del certificato è una misura cybersecurity, proprio come la normale rotazione delle credenziali. Anche se gli aggressori metteranno le mani su un certificato valido, sarà di utilità limitata, ovvero se il vero proprietario non lo revoca prima. 

Un certificato include tipicamente:

• Il soggetto: la persona, la macchina, il sito web o un'altra entità a cui appartiene il certificato. I certificati possono anche registrare i nomi alternativi dei soggetti (SAN), ovvero altri nomi autorizzati a utilizzare il certificato. Ad esempio, il certificato di un sito web potrebbe anche registrare tutti i sottodomini di quel sito.  
   

• L'emittente: l'autorità di certificazione (CA) che ha emesso il certificato.  
   

• Il periodo di validità: quando il certificato entra in vigore e quando scade.
   

• La chiave pubblica del soggetto: altri utenti, umani o non, possono utilizzare questa chiave pubblica per criptare le loro comunicazioni con il soggetto del certificato. Poiché solo il soggetto possiede la chiave privata associata, solo lui può decifrare questi messaggi per scoprirne il contenuto.
   

• La firma digitale dell'autorità di certificazione emittente: questa firma conferma che il certificato è stato emesso da una CA legittima, il che significa che generalmente può essere considerato attendibile. 

La maggior parte dei certificati viene emessa da un'autorità di certificazione (CA), una terza parte fidata che verifica le identità dei richiedenti di certificati e concede loro certificati affidabili.

Le CA sono in genere membri del CA/Browser Forum (CA/B Forum), un consorzio che stabilisce gli standard per i certificati e le autorità di certificazione. È questa affiliazione, e l'adesione agli standard CA/B, che fa guadagnare a un CA la fiducia di altre organizzazioni, applicazioni e utenti. 

Tra le CA più note figurano l'organizzazione no-profit Let's Encrypt e organizzazioni private come GlobalSign, DigiCert e Microsoft Active Directory Certificate Services.

Il processo di emissione funziona come segue:

1.  L'entità che necessita di un certificato («l'oggetto») genera una coppia di chiavi pubblica-privata.
   
   
2. Il soggetto invia una richiesta di firma del certificato (CSR) alla CA scelta. Questa richiesta include la chiave pubblica del soggetto così come le informazioni necessarie per dimostrare l'identità del soggetto alla CA. Ad esempio, una CSR per un sito web potrebbe dover includere la prova che il richiedente è proprietario del sito web in questione. 
   
   
3. La CA esamina la CSR, verifica l'identità del soggetto ed emette un certificato. Il certificato viene firmato crittograficamente dalla chiave privata della CA per dimostrare che è legittimo.
   
   
4. Il certificato viene installato ovunque sia necessario: su un server, un dispositivo o altrove.

In sostanza, i certificati sono un sistema di vouching. Il soggetto fornisce alla CA la prova necessaria per stabilire la propria identità digitale. La CA approva dicendo: Questa identità è legittima, ed ecco una chiave affinché altri possano comunicare con essa in modo sicuro. Poiché la CA è affidabile, i suoi certificati sono affidabili.

Le entità possono anche generare i propri certificati auto-firmati, ma questi hanno poco peso al di fuori di ambienti chiusi in cui tutte le parti si fidano già l'una dell'altra.

Talvolta chiamati certificati SSL o certificati TLS, questi sono tra i certificati più utilizzati. Il loro nome deriva da due protocolli di comunicazione crittografici utilizzati su internet: Transport Layer Security (TLS) e il Secure Sockets Layer (SSL), in gran parte obsoleto.

I certificati TLS/SSL autenticano i server web e forniscono ai browser web la chiave pubblica del server, consentendo connessioni sicure e crittografate tra server e client. 

Esistono tre tipi principali:

• Dominio convalidato (DV): verifica solo la proprietà del sito web. 

• Organizzazione convalidata (OV): verifica sia la proprietà del sito web che l'organizzazione dietro il sito web

• Convalida estesa (EV): Il tipo più rigoroso, che richiede una verifica manuale da parte di un essere umano. Utilizzato nei settori che richiedono i più alti livelli di fiducia, come quello finanziario e bancario. 

Chiamati anche certificati S/MIME (dal nome dello standard Secure/Multipurpose Internet Mail Extensions), consentono la verifica dell'identità e la comunicazione crittografata per le e-mail.

Verificano che un programma, un'applicazione, una patch o un altro pezzo di codice sia autentico e non sia stato manomesso. Funzionano applicando una firma digitale al codice al momento della pubblicazione. Lo sviluppatore firma il codice con la propria chiave privata, e qualsiasi utente o sistema che esegue il codice può verificare quella firma rispetto alla chiave pubblica corrispondente. 

Gli strumenti CLM, noti anche come soluzioni di gestione dei certificati, aiutano a semplificare, mettere in sicurezza, ottimizzare e automatizzare gran parte del ciclo di vita della gestione dei certificati. In effetti, molti aspetti fondamentali della gestione dei certificati, come la rinascita di tutti i certificati attivi in una rete e il rinnovo dei certificati prima che scadano, sono praticamente impossibili senza questi strumenti.

Le funzionalità comuni degli strumenti CLM includono: 

• Individuazione e inventario automatici di tutti i certificati, con acquisizione di dettagli chiave come proprietà, luogo di installazione e data di scadenza. 

• Generazione dinamica di certificati on-demand per una maggiore sicurezza e un accesso semplificato ai certificati.

• CSR completamente o parzialmente automatizzati, inclusa la capacità di generare nuove coppie di chiavi, trasmissioni sicure di CSR, integrazioni con sistemi CA affidabili e la possibilità di creare certificati auto-firmati.

• Provisioning remoto, quindi i certificati possono essere installati direttamente sui dispositivi e servizi appropriati da un unico pannello di controllo centrale.

• Registri di monitoraggio e conformità per tracciare l'uso e la validità dei certificati, rilevare le scadenze in corso e identificare le vulnerabilità, come gli standard crittografici deboli o deprecati.  

• Notifiche di certificati in scadenza e rinnovi automatici per evitare interruzioni.

Le identità non umane costituiscono una percentuale crescente della rete aziendale. Le stime variano da 45:1 a 92:1, ma nel sistema IT medio, i non umani superano significativamente gli umani.

Questi NHI si basano su certificati per l'autenticazione e il controllo degli accessi. Gestire tutti questi certificati manualmente non è solo inefficiente: non è scalabile.

Senza un processo CLM formale e gli strumenti adeguati, i certificati possono passare inosservati, esponendo le organizzazioni a ogni sorta di rischio.

Per motivi di sicurezza, i certificati rimangono validi solo per brevi periodi, che si riducono sempre di più. Nel marzo 2029 entreranno in vigore i nuovi standard CA/B Forum che richiedono il rinnovo dei certificati SSL/TLS ogni 47 giorni. 

Se i rinnovi dei certificati vengono gestiti manualmente, le scadenze possono facilmente essere mancate, causando tempi di inattività e introducendo vulnerabilità di sicurezza. I certificati scaduti possono interrompere l'accesso per gli utenti legittimi e creare opportunità per utenti illegittimi, ad esempio opportunità di approvare certificati falsi o utilizzare comportamenti "fail open". 

(In questo contesto, "fail open" significa che, se non è possibile eseguire un controllo di validità del certificato, il sistema continuerà a consentire il traffico a meno che o fino a quando non venga stabilita l'invalidità. Molti sistemi di certificati non sono aperti per impostazione predefinita, perché può essere costoso leggere una CRL o eseguire altri controlli di validità ogni volta che si utilizza un certificato).

Il rinnovo automatico, quindi, è una soluzione tanto di sicurezza quanto operativa. Gli strumenti CLM aiutano a garantire il tempo di attività riducendo il rischio che gli attori delle minacce possano rubare o abusare di certificati validi.  

Negli ambienti ibridi e multicloud incentrati su DevOps, in cui i certificati possono esistere on-premise, in remoto, in modo effimero e in un'infrastruttura basata su cloud, tenere traccia di tutti i certificati di un'organizzazione può essere difficile. 

Gli strumenti CLM consentono una scansione regolare e completa per certificati nuovi ed esistenti su applicazioni, servizi e infrastrutture. Questi strumenti possono anche gestire gli inventari, creando una distinta base crittografica (CBOM) per catalogare algoritmi, chiavi e certificati. 

Un inventario completo dei certificati può acquisire il proprietario di ogni certificato, lo scopo, l'endpoint, l'emittente, il percorso di rinnovo, il percorso di distribuzione e il potenziale raggio di esplosione se il certificato dovesse scadere inaspettatamente.

Il quantum computing rappresenta un caso d'uso emergente per il CLM. Con l'avanzare delle funzionalità quantum, esse minacciano di rompere i metodi di crittografia tradizionali e di erodere la fiducia digitale. Gli strumenti CLM possono aiutare le organizzazioni a rispondere ai cambiamenti guidati dal quantum adottando rapidamente nuovi standard di crittografia e revocando rapidamente i certificati obsoleti che si basano su metodi di crittografia obsoleti. 

Le organizzazioni stanno iniziando a pianificare la crittografia post-quantistica nei loro paesaggi di certificati, con soluzioni ora focalizzate su infrastrutture di chiave pubblica quantisticamente sicure (PKI) e algoritmi emergenti come CRYSTALS-Kyber per la crittografia delle chiavi e CRYSTALS-Dilithium e Falcon per le firme digitali.

Ma le organizzazioni devono sapere dove si trovano i loro certificati e quale crittografia stanno usando affinché queste transizioni abbiano successo. Un certificato mancante può essere proprio ciò di cui gli hacker hanno bisogno per penetrare nel sistema. 

Attraverso una scoperta e un inventario completi, oltre a rinnovi e revoche automatizzate, gli strumenti e i processi CLM possono aiutare le organizzazioni a garantire che i certificati rispettino gli standard più attuali per la sicurezza crittografica.