La Certificate Lifecycle Management ha bisogno di una piattaforma di monitoraggio dedicata

Il monitoraggio dei certificati, come categoria di prodotto, è sempre stato un mercato complesso. In parte perché gran parte di questo tipo di funzionalità finisce per essere integrata negli strumenti di monitoraggio della rete, e in parte perché le aziende hanno spesso qualcuno interno che scrive un paio di script veloci e considera il lavoro concluso. O almeno, questa è l'intenzione.

Nella pratica, questi approcci non funzionano mai bene, anche se risolvono alcune delle esigenze. La causa principale è il fatto che il monitoraggio dei certificati è uno di quei problemi che sembrano facili visti dall'esterno; ma non c'è nulla di facile quando si tratta di Infrastrutture a Chiave Pubblica (PKI), e la maggior parte delle organizzazioni lo impara e lo re-impara mentre lavora con i propri script.

Red Sift offre una piattaforma dedicata per il monitoraggio dei certificati e ci viene spesso chiesto di spiegare cosa il nostro prodotto possa fare meglio rispetto allo status quo. Lo scopo di questo articolo è discutere lo stato dell'arte del monitoraggio dei certificati, in modo da chiarire quanto impegno richieda la progettazione di un buon prodotto.

Il monitoraggio dei certificati è spesso considerato parte della categoria Certificate Lifecycle Management (CLM), che negli ultimi anni ha visto una crescente popolarità. Gli strumenti di CLM sono progettati per l'orchestrazione dei certificati. I fornitori che dispongono di tali prodotti dichiarano spesso anche capacità di monitoraggio, ma, secondo la mia esperienza, anch'esse lasciano molto a desiderare. Sembra controintuitivo, ma ci si aspetterebbe che gli strumenti di CLM abbiano buone capacità di monitoraggio dei certificati, giusto?

Nel caso della CLM, la causa principale è il fatto che lo scopo primario di questi strumenti è gestire i certificati. Non è un compito facile, perché esiste una grande varietà di prodotti che utilizzano certificati. Gli sviluppatori di CLM trascorrono la maggior parte del tempo implementando integrazioni per l'automazione, il che lascia loro meno tempo da dedicare al monitoraggio, che spesso finisce per essere aggiunto come funzione secondaria al prodotto principale.

Nella pratica, le CLM possono offrire visibilità sui certificati sotto il loro controllo, ma questi rappresentano solo una frazione di tutti i certificati utilizzati da un'organizzazione.

Il sogno della CLM è implementare un unico prodotto che offra il pieno controllo su tutti i certificati. Nella pratica, è molto difficile da realizzare. Uno dei motivi è che l'automazione richiede l'integrazione con molte piattaforme diverse, e nessuna CLM può dichiarare il supporto per tutto. Una piccola azienda può finire per avere un'unica CLM perfettamente adeguata, ma un'azienda più grande avrà inevitabilmente più CLM, sia perché sono necessarie per le loro funzionalità migliori (ad esempio, l'integrazione con una particolare PKI privata importante) sia a causa di fusioni e acquisizioni. A questo si aggiungono le CDN e i server esternalizzati. E si aggiunge ACME, che ora viene fornito di default in molte situazioni, e che è troppo costoso su larga scala da collegare a una CLM, anche quando è supportato.

Di conseguenza, ci si ritrova con più CLM e più implementazioni ACME, ma non si è comunque più vicini ad avere piena visibilità e un monitoraggio unificato. Semmai, avere più CLM rende tutto ciò ancora più difficile.

Il nostro approccio consiste nel fornire una piattaforma di monitoraggio dei certificati dedicata, dove dedichiamo il nostro tempo di sviluppo a essere davvero bravi nel nostro set di funzionalità principali. Cosa significa in pratica? Ebbene, considerate i seguenti aspetti generali:

• Scoperta automatizzata dell'infrastruttura e monitoraggio approfondito dell'infrastruttura; questi aspetti sono necessari per evitare di affidarsi al lavoro manuale, che richiede tempo ed è limitato in ciò che può produrre. Abbiamo un articolo separato con maggiori informazioni su questo argomento.
• Monitoraggio della Certificate Transparency per una visibilità completa di tutti i certificati emessi, che copre sia i certificati esistenti sia le nuove emissioni in tempo reale. Maggiori dettagli in questo precedente articolo del blog.
• Crittografia e PKI come competenze fondamentali, che garantiscono il supporto dei protocolli chiave e della loro configurazione, con l'obiettivo di costruire un inventario crittografico. Con così tanti cambiamenti in questo ambito, semplicemente stare al passo richiede un notevole impegno di sviluppo, per funzionalità esattamente nel nostro ambito principale.
• Strumenti DevOps per ispezioni e consulenza ad hoc su una varietà di opzioni di configurazione, tra cui TLS, PKI, HSTS, CAA, DNSSEC, DANE e altre.

Il nostro obiettivo qui non è elencare una serie di funzionalità, ma evidenziare come un buon strumento per questo caso d'uso complesso debba essere progettato e costruito da zero. Ad esempio, le nostre capacità di scoperta si concentrano prima di tutto sull'infrastruttura, e a questo aggiungiamo la scoperta dei certificati che funziona senza problemi su tutte le CA senza alcuno sforzo manuale. Aggiungiamo poi un monitoraggio attivo della rete per poter capire cosa viene utilizzato e dove, oltre a scoprire le relazioni con terze parti.

Ciò che sentiamo dai nostri clienti è che apprezzano la nostra visibilità, non solo per le informazioni che fornisce, ma anche come modo per comprendere il proprio patrimonio digitale e poter pianificare altre attività, come l'acquisto di CLM, l'implementazione di PKI private e la valutazione della propria prontezza in termini di automazione e post-quantum. Non guasta il fatto che la nostra piattaforma sia molto facile da implementare e fornisca risultati rapidamente.