Perché i log di Certificate Transparency sono la tua migliore difesa PKI

I certificati PKI fanno girare il mondo, ma presentano un difetto serio: scadono e, quando lo fanno, causano interruzioni operative e una perdita di fiducia da parte dei clienti. Innumerevoli ore sono state spese per installare, monitorare e rinnovare i certificati per mantenere Internet in funzione.

Il problema dei certificati che scadono in produzione causando downtime affligge il mondo IT fin dal primo giorno. Quindi, è un po' sorprendente che se ne parli ancora, quasi tre decenni dopo. Negli ultimi anni si è anche registrata una forte spinta a ridurre la durata dei certificati per una maggiore sicurezza, il che richiede rotazioni più frequenti. Più lavoro? Fortunatamente, in parallelo, abbiamo migliorato le nostre capacità di automazione, ma c'è ancora strada da fare prima che diventi una pratica universale.

Per capire perché la scadenza dei certificati è ancora un problema, forse dobbiamo osservare gli strumenti di monitoraggio tradizionali. Chi si avvicina per la prima volta a questo campo potrebbe trovare tre tipi di soluzioni. Dalla più semplice alla più complessa, sono:

• Script sviluppati internamente; molte organizzazioni iniziano così. Dopo che il loro primo o secondo certificato scade in produzione, scrivono rapidamente uno script per recuperare e controllare continuamente i certificati installati sui loro siti web.
• Piattaforme di osservabilità; dato che tutte le aziende necessitano di osservabilità, è naturale integrare il monitoraggio dei certificati come funzionalità di queste piattaforme.
• Prodotti di Certificate Lifecycle Management (CLM); all'estremità più sofisticata dello spettro troviamo le piattaforme CLM, progettate per controllare e automatizzare l'intero ciclo di vita dei certificati, compreso il rinnovo. In questo caso, l'idea è che un'automazione completa eviti il problema dei rinnovi mancati.

Ognuno di questi approcci presenta sfide diverse. Le soluzioni sviluppate internamente sono rapide da mettere in piedi, ma sottovalutano gravemente la complessità della PKI e il tempo necessario per sviluppare una soluzione robusta. La situazione è migliore con le piattaforme di osservabilità, ma il loro approccio generico al monitoraggio lascia comunque molto a desiderare nell'ambito PKI. I prodotti CLM non hanno questo problema, ma sono notoriamente difficili da distribuire in modo sufficientemente capillare all'interno di un'organizzazione per risolvere completamente il problema.

In termini più ampi, una soluzione completa al problema richiede di osservarlo da una prospettiva nuova. Abbiamo scoperto che sono necessari 4 fattori:

• Competenza; in apparenza, rilevare i certificati in scadenza sembra facile, ma non lo è affatto. Approfondendo, si scopre una notevole complessità che può richiedere anni di conoscenza ed esperienza per essere districata. Esistono numerosi casi limite da gestire. Ad esempio, i certificati nominalmente scadono alla data prevista, ma in pratica ci sono state molte revoche anticipate, per problemi reali o imposte dai principali user agent per violazioni commesse dalle CA. Inoltre, sebbene di solito si parli di scadenza dei certificati, in realtà vogliamo che i nostri certificati funzionino, il che significa che dobbiamo monitorare anche altri tipi di guasto. Esempi includono configurazioni errate della catena di certificati, compatibilità con Certificate Transparency, configurazioni TLS errate e così via.
• Copertura; una volta acquisita una conoscenza sufficiente, la domanda successiva riguarda la capacità di osservare tutte le posizioni in cui i certificati sono distribuiti. Ed è qui che anche le migliori soluzioni tradizionali falliscono, perché richiedono tutte una configurazione manuale. Perché questi strumenti siano efficaci, devi indicare loro dove si trovano i tuoi certificati. Nelle aziende moderne, nessuno lo sa con certezza. Tracciare i certificati con dei fogli di calcolo non funziona nel mondo di oggi, dove l'infrastruttura cambia ogni secondo della giornata.
• Monitoraggio di terze parti; questo aspetto riguarda ancora la copertura, ma da una prospettiva diversa. Al giorno d'oggi, è molto raro che un'azienda abbia il pieno controllo sulla propria infrastruttura. Al contrario, anche le aziende più piccole lavorano con decine di fornitori e i loro certificati.

Gli approcci tradizionali falliscono perché non sono stati progettati per risolvere il problema in modo completo.

Certificate Transparency (CT) è un'aggiunta relativamente recente all'ecosistema PKI. Distribuito nel 2018 dopo che Chrome lo ha reso obbligatorio, CT è stato progettato per supportare l'audit del comportamento delle varie Autorità di Certificazione (CA) che emettono certificati. Prima di CT, non avevamo alcuna visibilità sulle pratiche di emissione delle CA. Questo ha portato a una serie di problemi, con CA violate e attaccanti che emettevano certificati per alcuni dei siti web più popolari al mondo. L'incidente più famoso di questo tipo è stata la compromissione totale e lo sfruttamento di una CA olandese chiamata DigiNotar nel 2011.

Con CT otteniamo un registro pubblico affidabile di ogni certificato di sito web emesso in qualsiasi parte del mondo. Le aziende di alto profilo possono monitorare CT per assicurarsi che tutti i certificati emessi per le loro proprietà siano legittimi.

CT è inoltre inestimabile nel contesto del monitoraggio dei certificati perché, monitorando CT, scopriamo i domini e i sottodomini in essi incorporati e, con ciò, siamo in grado di scoprire la maggior parte delle posizioni distribuite. Di conseguenza, otteniamo una copertura molto migliore. E, cosa ancora più importante, eliminiamo la necessità di configurare manualmente qualsiasi cosa.

Uno strumento che consuma il flusso pubblico di certificati da CT è in grado di cercare continuamente certificati emessi in modo errato e di aggiornare l'inventario degli asset aziendali, contribuendo a un monitoraggio completo della corretta distribuzione. Sebbene tecnicamente possibile, per la maggior parte delle organizzazioni non è fattibile monitorare CT direttamente a causa dell'enorme volume di dati. Per trovare i propri certificati è necessario consumare l'intero flusso di certificati in tempo reale, il che equivale a centinaia di eventi al secondo.

In Red Sift, il nostro approccio è stato quello di costruire da zero una soluzione dedicata al monitoraggio dei certificati, mirata a risolvere questo problema nel modo migliore possibile. La nostra decisione di progettazione chiave è stata combinare la competenza PKI con una prospettiva di revisore indipendente. Questo consente distribuzioni rapide e semplici in parallelo con qualsiasi strumento esistente, come le piattaforme di certificate lifecycle management più complesse. Il nostro focus esclusivo sul monitoraggio significa che non abbiamo priorità in competizione tra loro e non possiamo rompere nulla.

La sfida successiva da risolvere è la scoperta di tutti i certificati e di tutte le posizioni in cui sono installati. Per aiutare in questo, monitoriamo Certificate Transparency dal 2017, elaborando molti miliardi di certificati e costruendo i nostri archivi di dati per la scoperta. In sostanza, sappiamo già come trovare tutti i certificati dei nostri clienti, ancor prima di effettuare una singola richiesta di rete di monitoraggio.

Detto ciò, CT è solo uno dei punti di partenza per la scoperta. Manteniamo diversi database di scoperta focalizzati su tutti gli aspetti chiave dell'infrastruttura globale. Inoltre, ci colleghiamo direttamente anche alle CA, garantendo di raccogliere tutte le informazioni che i nostri clienti desiderano avere in un unico posto.

Sul fronte del monitoraggio, sfruttiamo l'ampiezza delle nostre capacità di monitoraggio, ispezionando un'ampia gamma di standard di rete e sicurezza. Questo ci aiuta a identificare le connessioni tra i servizi e la dipendenza da servizi di terze parti. Ci occupiamo di tutti i punti di guasto identificati. Dopotutto, se il certificato del tuo fornitore si rompe, il tuo sito web andrà offline, quindi monitoriamo tutti i certificati di terze parti solo per essere sicuri.

Scopri di più su Red Sift Certificates qui.