En los entornos de TI, algunos secretos se gestionan bien y otros pasan desapercibidos. A continuación, se incluye una lista rápida de los tipos de secretos que suelen gestionar las empresas, incluido un tipo que deberían gestionar:
- Contraseñas [x]
- Certificados TLS [x]
- Cuentas [x]
- ¿Claves SSH???
Los secretos enumerados anteriormente suelen estar protegidos con soluciones de gestión de acceso privilegiado (PAM) o similares. Sin embargo, la mayoría de los proveedores de PAM tradicionales apenas hablan sobre la gestión de claves SSH. La razón es simple: no tienen la tecnología para hacerlo correctamente.
Podemos demostrarlo. Todos nuestros clientes de gestión de claves SSH han implementado un PAM tradicional, pero se dieron cuenta de que no podían administrar claves SSH con él. En el mejor de los casos, los PAM tradicionales pueden descubrir, y mucho menos administrar, el 20 % de todas las claves.
Entonces, ¿por qué tanto alboroto en torno a las claves SSH?
Las claves SSH son credenciales de acceso en el protocolo Secure Shell (SSH). En muchos sentidos, son como las contraseñas, pero funcionalmente diferentes. Además, las claves tienden a superar en número a las contraseñas, especialmente en entornos de TI de larga data, en una proporción de 10:1. Si bien solo algunas contraseñas son privilegiadas, casi todas las claves SSH abrir puertas a algo valioso.
Una clave también puede abrir puertas a varios servidores, como una llave maestra en las mansiones antiguas. Una clave raíz permite el acceso de administrador a un solo servidor o a varios. Después de realizar una evaluación de riesgos con nosotros, uno de nuestros clientes descubrió una clave raíz que permitía el acceso a TODOS sus servidores.
Otro riesgo es que cualquiera puede autoabastecerse de claves SSH. No se gestionan de forma centralizada y es así por diseño. Por eso la proliferación de claves es un problema persistente en los entornos de TI a gran escala.
Y aún hay más: las claves no tienen una identidad por defecto, por lo que compartirlas o duplicarlas es muy fácil. Y también con terceros. Por defecto, las claves nunca caducan.
Además de todo esto, existen conexiones interactivas y automatizadas, siendo estas últimas las más frecuentes. Cada día se ejecutan millones de conexiones automatizadas entre aplicaciones, servidores y máquinas mediante SSH, pero no hay suficientes organizaciones (la mayoría de ellas, nuestros clientes) que tengan control sobre las credenciales SSH de las máquinas.
Estoy seguro de que entendiste el punto: tu entorno de TI puede estar plagado de claves para tu reino, pero no sabes cuántas hay, quién las usa, cuáles son legítimas y cuáles deberían eliminarse, las claves no tienen fecha de caducidad y se pueden crear más a voluntad sin una supervisión adecuada.
El problema clave es tu problema clave.
¿Por qué los PAM tradicionales no pueden manejar claves SSH??
Debido a que las claves SSH son funcionalmente diferentes a las contraseñas, los PAM tradicionales no las administran muy bien. Los PAM tradicionales se crearon para almacenar contraseñas y tratan de hacer lo mismo con las claves. Sin entrar en demasiados detalles sobre la funcionalidad de las claves (como las claves públicas y privadas), almacenar claves privadas y entregarlas cuando se las solicita simplemente no funciona. Las claves deben estar protegidas en el lado del servidor; de lo contrario, mantenerlas bajo control es un esfuerzo inútil.
Además, su solución debe descubrir claves primero para poder administrarlas. La mayoría de los PAM no pueden hacerlo. También hay archivos de configuración de claves y otros elementos clave que los PAM tradicionales pasan por alto. Lea más en el siguiente documento:
Su PAM no está completo sin la gestión de claves SSH
Incluso si su organización administra el 100 % de sus contraseñas, es probable que aún falte el 80 % de sus credenciales críticas si no administra las claves SSH. Como inventores del protocolo Secure Shell (SSH), en SSH Communications Security somos la fuente original de la credencial de acceso denominada clave SSH. Conocemos todos los detalles de su administración.
Su PAM no está preparada para el futuro sin acceso sin credenciales
Volvamos al tema de las contraseñas. Incluso si las tienes guardadas, no las estás administrando de la mejor manera posible. Los entornos modernos y dinámicos (que utilizan servidores en la nube alojados o internos, contenedores u orquestación de Kubernetes) no funcionan bien con bóvedas o con PAM que se crearon hace 20 años.
Por eso ofrecemos un acceso efímero moderno, en el que los secretos necesarios para acceder a un objetivo se otorgan justo a tiempo para la sesión y caducan automáticamente una vez que se realiza la autenticación. Esto no deja contraseñas ni claves que administrar. Nuestra solución también es no intrusiva: su implementación requiere cambios mínimos en su entorno de producción.
¿Qué te parece esta idea de reducir la superficie de ataque, eliminar la complejidad, ahorrar costes y minimizar el riesgo? Lee más aquí:
Entonces, la mejor manera de administrar contraseñas Y claves es No tener que gestionarlos en absoluto y pasar a la gestión de secretos efímeros. Así:
“Ojalá siguiera rotando contraseñas y claves”, ¡no ha dicho ningún cliente jamás!
Una vez que se deja de usar credenciales, no se puede volver atrás. Escuche el ejemplo de nuestros clientes, que han calificado nuestra solución con una puntuación NPS de 71, lo que es astronómico en el campo de la ciberseguridad.
Los PAM tradicionales han funcionado bien hasta ahora, pero es hora de preparar su entorno para el futuro con una solución moderna que le permita prescindir de contraseñas y claves, a un ritmo que le resulte cómodo.
Echa un vistazo a nuestro Conjunto de confianza cero PrivX Aprender a realizar la gestión de accesos y secretos de forma integral.