Autoridad de Certificación del CIGB

Autoridad de Certificación del CIGB
Jorge Lodos Vigil, Nelson Gamazo Sánchez*, Yossué Rodríguez Cruz*
Centro de Ingeniería Genética y Biotecnología (CIGB)
Ave. 31 e/ 158 y 190 PO Box 6162
Tel: +53(7)218200
Fax: +53(7)218070
E-mail: [email protected]
*Los autores contribuyeron por igual a este trabajo
Introducción
En el CIGB existe una red corporativa de más de 500 computadoras, situadas en Ciudad de la Habana,
Camaguey y Sancti Spiritus. En esta red se brindan a sus usuarios un número importante de servicios entre
los que se encuentran acceso a Internet, correo electrónico, videoconferencias, acceso por WWW al correo
electrónico a través de Internet, cambio de contraseñas con interface Web y otros. En todos estos servicios
se requiere que la información que se transmite por la red sea protegida, de forma tal que capturando
paquetes no se pueda obtener la información que se transmite como voz y video, o la contraseña que se
quiere cambiar, o el contenido de un correo electrónico. En otras palabras, es necesario cifrar esta
información. Todos los programas que implementan estos servicios en el CIGB soportan esta posibilidad, a
través del uso de certificados digitales. Por tanto, para garantizar la confidencialidad de todos estos
servicios se necesita el uso de certificados digitales.
Existen el mundo varias autoridades de certificación prestigiosas, que en algunos casos brindan certificados
gratuitos con algoritmos que pueden ser fácilmente quebrados o que con un pago pequeño brindan
certificados que implementan algoritmos mucho más seguros. Estas autoridades de certificación son casi
universalmente reconocidas, de forma tal que los certificados emitidos por ellas son reconocidos en
prácticamente cualquier institución o programa. En el CIGB se necesitaban utilizar los certificados de
forma interna, por lo cual esto último no era de gran importancia, al mismo tiempo se deseaba garantizar el
máximo de seguridad con el mínimo costo. De aquí la determinación de establecer una autoridad de
certificación institucional.
Autoridad de Certificación del CIGB
Para implementar la Autoridad de Certificación del CIGB se seleccionó el programa Certification Server de
Microsoft. Esta elección estuvo determinada por el alto nivel de integración de este con los servicios
existentes en el CIGB y la facilidad de instalación mantenimiento y configuración. Otro factor clave que
posibilitó esta elección es que los certificados emitidos por esta autoridad de certificación no serán
utilizados para cifrar información clasificada o realmente sensible. Al ser un programa cuyo código fuente
no es públicamente conocido, el Microsoft Certification Server por definición no puede considerarse un
programa seguro. Si bien hay factores que permiten tener cierta confianza, como el uso que se hace del
mismo en empresas y compañías, el hecho de que cerca de 300 instituciones académicas poseen el código
fuente, las posibles demandas que pudiera enfrentar Microsoft ante la aparición de vulnerabilidades
intencionales y otros, simplemente no se puede confiar en los certificados emitidos por este programa de
forma absoluta, es necesario establecer límites de utilización. En el CIGB los certificados emitidos por la
autoridad de certificación se utilizan solamente para identificar usuarios dentro de la red interna y cifrar
información no clasificada.
Política de certificación del CIGB
La autoridad de certificación del CIGB emite varios tipos de certificados digitales, con usos diferentes. Por
ejemplo hay certificados para servidores WWW, certificados para administradores de red, certificados para
diferentes programas y servicios, certificados para usuarios de la red, etc. Cada tipo de certificado se
solicita, procesa, emite y revoca en circunstancias diferentes y son posiblemente procesados por personas o
programas diferentes. La definición de las personas o programas autorizados a acciones concretas sobre
determinados tipos de certificados constituye la política de certificación del CIGB. Por ejemplo, en esta
política se define que cualquier servidor de WWW registrado en el servicio de directorio del CIGB puede
solicitar un certificado, que cualquier usuario de la red del CIGB puede solicitar un certificado, que
solamente los administradores de certificados pueden autorizar la emisión de certificados para firmas
digitales de programas, como macros para programas de Office, instaladores de programas autorizados en
el CIGB etc.
La política de certificación se implementa a través de la configuración del servidor de certificados, con la
configuración de seguridad para cada tipo de certificado se garantiza que solamente los usuarios o
programas autorizados puedan efectuar las acciones a las que tienen permiso.
Seguridad de las llaves privadas
Los servidores de certificados necesitan almacenar información sobre los certificados emitidos, en muchos
casos el certificado mismo, o sea, la información necesaria para descifrar la información cifrada con el
certificado o para suplantar la identidad del recipiente del certificado. Por esto la seguridad en el servidor
que emite los certificados es de suprema importancia. El costo que hay que asumir para garantizar esta
seguridad depende del costo de la información que se protege con los certificados emitidos, ya sean datos o
identidades de personas o programas. Por ejemplo, en las compañías serias que se dedican a emitir
certificados digitales, estos servidores no están en red, y se protegen en cajas fuertes, que a su vez están en
edificios protegidos, en algunas ocasiones a prueba de explosiones nucleares, según afirman algunas de
estas compañías.
En el CIGB, donde los certificados no pueden ser utilizados para cifrar información sensible y son
utilizados como medio de autentificación solamente en la red interna, el servidor de certificados se
encuentra en línea. Si en algún momento se sospechara que este servidor ha sido comprometido,
simplemente se revocarían todos los certificados emitidos hasta el momento y después de reparadas las
vulnerabilidades serían emitidos nuevos certificados. Cuando sea necesario, están creadas las condiciones
para dedicar una máquina fuera de la red como autoridad primaria de certificación y dejar en línea
solamente a autoridades secundarias que no almacenen llaves privadas.
Usos de los certificados digitales en el CIGB
En el CIGB los certificados digitales son usados por usuarios y programas. Para garantizar su uso de forma
transparente a los usuarios, todas las instalaciones de programas como Windows e Internet Explorer en
todas sus versiones, son configuradas para confiar en la autoridad de certificación del CIGB. Los usuarios
en el CIGB instalan programas de forma centralizada y automática, configurados ya de acuerdo a las
características de la red del CIGB. De esta forma el molesto diálogo de autoridad de certificación
desconocida no aparece ante certificados emitidos por la autoridad de certificación del CIGB.
El primer uso que tuvieron los certificados digitales en el CIGB fue la implementación del protocolo https
en servidores WWW. Actualmente se usa este protocolo en servicios como cambio de contraseña por
WWW y acceso al correo electrónico por WWW, desde dentro y fuera de la institución. Posteriormente se
comenzó a usar para cifrar mensajes electrónicos firmados digitalmente y cifrados dentro y fuera del CIGB,
siempre garantizando que los mensajes no contengan información sensible. Por último se viene usando para
cifrar la información que se transmite como voz y video en los servicios de videoconferencia
implementados en el CIGB. Es de esperar que con la proliferación de servicios en nuestra red aparezcan
nuevos usos que requieran cifrado o garantía de identidad, o sea, el uso de certificados digitales.
Conclusiones
En una red corporativa el uso de certificados digitales es una necesidad, siempre hay servicios que
requieren cifrado o usuarios o programas que necesitan demostrar su identidad. Para aplicaciones que no
procesan información sensible, el Microsoft Certification Server ofrece una solución de compromiso entre
seguridad y facilidad de uso, sin embargo, este programa no debe ser utilizado para aplicaciones que
procesan información sensible, incluso en las redes no directamente conectadas a Internet.
Para explotar realmente las ventajas de estas tecnologías se necesita una legislación adecuada y mejores
soluciones de software, que permitan trabajar con información clasificada de forma cómoda y segura. Se
necesitan crear los mecanismos que permitan legal y prácticamente el reconocimiento de certificados
emitidos por otras empresas cubanas. De esta forma se abriría el camino en Cuba a lo que es ya una
realidad en los países desarrollados, transacciones seguras, transmisión de información clasificada a través
de Internet, acceso a información privada que transita por redes públicas, etc.