Los costes ocultos de los certificados SSL autofirmados

LOS COSTES OCULTOS DE LOS
CERTIFICADOS AUTOFIRMADOS
White paper
Los costes ocultos de los
certificados SSL autofirmados
Por qué los certificados autofirmados resultan
mucho más caros —y entrañan más riesgo—
que trabajar con un proveedor de confianza
White paper: Los costes ocultos de los certificados SSL autofirmados
Los costes ocultos de los certificados SSL autofirmados
ÍNDICE
Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Diferencia entre los certificados verificados por terceros y los certificados autofirmados . . . 3
El alto coste de la infraestructura de seguridad SSL . . . . . . . . . . . . . . . . . . . . . . . . . . .
Los centros de datos y la seguridad física . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Los componentes de hardware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
La gestión y el personal . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
4
4
5
6
Riesgos técnicos y comerciales de las soluciones SSL desarrolladas internamente por las
empresas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
El coste total de propiedad (TCO) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
Conclusión . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
White paper: Los costes ocultos de los certificados SSL autofirmados
Introducción
Las empresas inteligentes nunca pierden de vista la cuenta de resultados, ni siquiera cuando el
negocio va viento en popa. Cuando necesitan recortar gastos, la seguridad no suele ser en lo primero
que se fijan, pero algunos técnicos informáticos piensan que una forma fácil de ajustar el presupuesto
es prescindir de los servicios de las autoridades de certificación (CA) externas que se encargan de
emitir los certificados SSL (Secure Sockets Layer).
Aunque comprenden la necesidad de invertir en seguridad SSL para sus sitios web públicos (como la
página de inicio de la empresa o toda la parte dedicada al comercio electrónico), consideran que los
certificados SSL autofirmados son una alternativa aceptable para los sitios internos. Su argumento es
que, como a los servidores donde están alojados esos sitios web internos (portales de intranets, wikis,
etc.) solo tiene acceso el personal de la empresa, los certificados autofirmados ya proporcionan la
protección necesaria a un coste prácticamente nulo.
Sin embargo, este razonamiento es una arma de doble filo que entraña graves riesgos.
El coste total de propiedad (TCO) de un certificado SSL es muy superior al de adquisición. Los
certificados autofirmados requieren una cara infraestructura de seguridad, desde el hardware de
seguridad hasta el software de gestión, pasando por la contratación de espacio en un centro de datos,
por lo que los costes se disparan rápidamente. Y no solo eso, sino que el hecho de desarrollar sus
propias soluciones de seguridad SSL puede acarrear graves riesgos para la empresa, desde el punto de
vista tanto técnico como comercial.
En este artículo se explica el verdadero coste total de propiedad de los certificados SSL autofirmados,
comparando este tipo de soluciones con las ofrecidas por un proveedor de SSL externo. Es una
información que vale la pena tener muy en cuenta antes de optar por los certificados autofirmados.
Diferencias entre los certificados verificados por terceros y los certificados autofirmados
La aparición en 1995 del protocolo SSL marcó un punto de inflexión en la seguridad de las
transacciones comerciales a través de la Red. Desde ese momento, la tecnología SSL ha ido
evolucionando hasta convertirse en el protocolo de autenticación más importante para los negocios en
Internet.
¿Por qué es necesaria la tecnología SSL? La mayor parte del tráfico que circula por Internet no
está cifrado. Esto significa que cualquier persona con los conocimientos técnicos y herramientas
necesarios podría interceptar las conversaciones entre el emisor y el receptor. La seguridad SSL cifra
los datos que se transmiten entre el servidor web y el navegador, lo que dificulta enormemente la
probabilidad de que alguien pueda interceptar y descodificar la información.
Con todo, la seguridad SSL abarca mucho más que el cifrado de datos. Desde una perspectiva
meramente técnica, la infraestructura de clave pública (PKI) protege con gran eficacia la transferencia
de datos, pero presenta algunas lagunas en lo que se refiere a la seguridad de las transacciones.
Así pues, en una comunicación ¿cómo pueden asegurarse el emisor y el receptor de que tanto uno
como otro es quien dice ser? Por ejemplo, si una persona desea comprar una cámara cara en una
tienda online, el comerciante debe tener mecanismos para confirmar su identidad ante ese cliente.
De lo contrario, por mucho que los datos de la tarjeta de crédito del cliente se transmitan cifrados,
si alguien ha usurpado la identidad del sitio web del comerciante, puede ocurrir que esos datos tan
bien protegidos vayan a parar a las manos de un delincuente informático que probablemente los
descodifique sin problemas.
White paper: Los costes ocultos de los certificados SSL autofirmados
Ahí radica la verdadera importancia de la validación efectuada por un proveedor externo. Si un
certificado está firmado por una CA independiente y fiable, no hay lugar a dudas de que la empresa
titular del certificado es la legítima propietaria del negocio.
No obstante, es cierto que técnicamente la validación realizada por terceros no es indispensable para
que la seguridad SSL funcione, y que las empresas pueden firmar sus propios certificados. Pero usar
certificados autofirmados es lo mismo que decir: «Verifico que soy quien digo ser. Confíe en mí».
En cualquier caso, en los navegadores estándar como Internet Explorer y Firefox, esta garantía no es
más que papel mojado. A los usuarios que visiten un sitio «protegido» con un certificado autofirmado,
normalmente les aparecerá un error indicando que la entidad de certificación es desconocida y
por tanto carece de fiabilidad. Como es natural, un mensaje así lo único que consigue es asustar
a posibles clientes, socios y demás usuarios del sitio. Por eso hay pocas empresas que firmen sus
propios certificados para sus sitios web públicos: el precio que pagarían —perder la confianza de los
usuarios— es demasiado alto.
La situación cambia si se trata de sitios web o servidores para uso interno de la empresa. Los
servidores de correo corporativos, los portales de Recursos Humanos, las wikis utilizadas en la gestión
de determinados proyectos o los repositorios para el desarrollo de software son solo algunos ejemplos
de sitios y servidores internos que normalmente se protegen con certificados SSL. ¿Necesitan
realmente las empresas certificados validados por terceros, si a estas áreas solo tienen acceso los
empleados? Como ya hemos visto, con un certificado autofirmado lo que en realidad hace la empresa
es pedir a sus empleados que confíen en que esos sistemas son seguros. La cuestión es: ¿hacen bien
en dar por sentado que lo son?
El alto coste de la infraestructura de seguridad SSL
Los centros de datos y la seguridad física
Los certificados autofirmados son, por naturaleza, menos fiables que los firmados por las CA
líderes del sector. Las CA se aseguran mediante procesos muy rigurosos de que sus claves de
cifrado, especialmente sus claves raíz privadas, sean totalmente confidenciales y seguras. Para las
CA, la seguridad es siempre la máxima prioridad: solo emplean a personal altamente cualificado
atendiendo a criterios muy rigurosos, y tienen normas muy estrictas con respecto a dónde se
almacenan las claves privadas. De hecho, si una CA quiere homologarse para los navegadores
convencionales, esas claves deben guardarse en sistemas de almacenamiento no extraíbles de
Smart Cards.
Para garantizar una buena seguridad SSL, la CA también debe proporcionar mecanismos de alta
disponibilidad y redundancia para evitar que el sistema falle. De este modo, puede proporcionar en
todo momento la autenticación adecuada a los usuarios.
Para crear redundancia en una infraestructura de este tipo, que garantice el mismo nivel de
seguridad que las CA, se necesitan una serie de componentes cuyo coste es elevado. Para empezar,
la empresa debe dotar de alta disponibilidad al sistema y a los datos SSL. Otro de los requisitos
es que una redundancia así solo se consigue contratando dos espacios seguros en dos centros de
datos distintos. De esta forma, si cae uno de los centros de datos debido a un corte de suministro o
a cualquier otra causa imprevista, el otro se hace cargo de proporcionar la autenticación. Sin esta
redundancia de los centros de datos, los servidores y navegadores no podrían seguir el proceso de
autenticación y se detendrían todas las transacciones vitales protegidas por SSL, como por ejemplo
White paper: Los costes ocultos de los certificados SSL autofirmados
las compras con tarjeta de crédito en un sitio de comercio electrónico o la transferencia al servidor
de información sobre nuevos empleados desde un portal de RR. HH. de la empresa.
Asimismo, los propios centros de datos que albergan los sistemas y datos SSL también deben ser
seguros, lo que obliga a establecer unas estrictas medidas de seguridad física. Además de controlar
a los empleados que tengan acceso físico a los espacios donde se encuentran los datos, habría que
tomar otra serie de precauciones, como instalar lectores de tarjetas identificativas en los accesos
a las áreas restringidas, colocar cámaras de videovigilancia e incluso contratar a vigilantes de
seguridad privados para que inspeccionen continuamente la zona. Cualquier persona que lograse
acceder sin autorización a estos espacios de acceso restringido podría obtener la clave para
descifrar los datos y pondría en riesgo las transacciones.
El alquiler básico de un espacio físico para un bastidor completo en régimen de Co-Location, con
toda la conectividad e infraestructuras necesarias, oscila entre 1000 y más de 10 000 dólares al
mes.1 Y si se necesitan más bastidores, aumentar el ancho de banda o contratar servicio técnico,
la cifra podría incrementarse en cientos de dólares. Por si eso fuera poco, multiplique todos esos
gastos por dos para duplicar los datos en dos centros de datos distintos. Claramente, los costes de
mantenimiento de toda la infraestructura física y de seguridad necesaria para proteger los procesos
de cifrado y autenticación SSL no están al alcance de muchas empresas.
Los componentes de hardware
Es posible que encuentre programas de software muy económicos e incluso gratuitos para generar
certificados SSL autofirmados, pero aun así necesitará un módulo de seguridad de hardware (HSM)
por cada centro de datos para gestionar el proceso de cifrado. Además, cada uno de estos módulos
debe ir acompañado del correspondiente contrato de asistencia técnica para garantizar la continuidad
del negocio.
Un módulo de seguridad de hardware SSL es un procesador criptográfico seguro —un componente
físico de hardware— que sirve para gestionar claves digitales y autenticar claves privadas en un
sistema de protocolo SSL con infraestructura de clave pública (PKI). Dicho módulo tiene una finalidad
triple: 1) generar claves públicas y privadas de forma segura para cifrar transacciones a través de la
Red, 2) almacenar las claves de forma segura, de modo que no puedan extraerse, y 3) permitir que las
empresas gestionen datos criptográficos confidenciales.
Los módulos de seguridad de hardware son unos componentes de hardware muy específicos cuyo
coste unitario suele ser elevado, entre 13 000 dólares el más barato y 30 000 el más caro. De nuevo,
con el fin de crear redundancia y lograr un alto grado de disponibilidad, toda infraestructura SSL debe
contar con al menos dos de estos módulos, uno para cada centro de datos.
Por último, las empresas utilizan estos módulos para liberar a sus servidores de carga de trabajo
tanto para la criptografía asimétrica como la simétrica, si bien hoy en día esto ya no es tan relevante.
Aunque el National Institute of Standards and Technology (NIST) recomienda que las empresas
utilicen claves RSA de 2048 bits, el cifrado SSL no afecta de forma significativa al rendimiento del
sistema.
1 Varias fuentes: http://www.hostventures.com/colocationprices.html, http://www.creativedata.net/index.cfm?webid=168,
http://www.datacenterknowledge.com/archives/2011/02/11/analysis-colocation-pricing-trends/
White paper: Los costes ocultos de los certificados SSL autofirmados
La gestión y el personal
Además de los costes de hardware, la inversión de tiempo y dinero que conlleva contratar a los
profesionales adecuados para gestionar los certificados SSL autofirmados —así como crear las
normas que rijan su uso— son también un factor a tener en cuenta.
Los programas con los que las empresas firman sus propios certificados (por ejemplo, Microsoft
Certificate Services) no incluyen la funcionalidad necesaria para gestionarlos. A pesar de ello,
esas empresas necesitarán planificar e implementar unos procesos muy estrictos que garanticen
el riguroso cumplimiento de los protocolos SSL. De no hacerlo así, cualquiera podría solicitar un
certificado SSL y recibirlo, lo que implicaría que cualquiera puede falsificar a su antojo un sitio
supuestamente «seguro».
En primer lugar, una empresa debe ser precavida y controlar muy bien a quién autoriza a crear y
firmar certificados para sus dominios, y también ha de establecer los procesos necesarios para que
todo se lleve a cabo conforme a las normas establecidas. Por ejemplo, debe asegurarse de que solo
el personal de total confianza esté acreditado para crear certificados y firmarlos, y de que reciba
formación especializada en estándares, tecnologías y las mejores prácticas del sector. Tal autoridad
no puede concederse a la ligera, y además hay que implantar un sistema de seguimiento claro por si
en algún momento es preciso realizar una investigación.
En segundo lugar, las CA externas suelen ofrecer aplicaciones web con interfaces de gestión muy
intuitivas que automatizan y aceleran muchos procesos, como el de delegar la autoridad para crear y
aprobar certificados antes de sean firmados por la CA. En última instancia, las solicitudes de firmas
de certificados (CSR) deben recibir la aprobación de quien ostenta la autoridad para un determinado
dominio. Las CA de confianza tienen procedimientos automatizados para que todo esto transcurra por
los cauces reglamentarios.
En tercer lugar, si una organización decide utilizar certificados autofirmados, necesitará implantar
procesos similares a los citados anteriormente. Algunas empresas tratan de automatizar los
procedimientos relativos a la seguridad SSL con software creado a medida, pero muchas otras
optan por gestionar los procesos manualmente. Esto significa una cantidad considerable de tiempo
y esfuerzo por parte de personal especializado y de confianza, lo que normalmente hace necesario
contratar a más empleados cualificados cuyo sueldo no es precisamente bajo.
En cuarto lugar, sin las herramientas de gestión y las alertas que ofrecen las CA de confianza, las
empresas no reciben ninguna notificación cuando caducan los certificados. Esto significa que tanto
la caducidad como la renovación de los certificados autofirmados debe controlarse manualmente,
una ardua tarea para la que habría que destinar un personal cualificado que dejaría sin atender otras
tareas más importantes. El coste de los certificados SSL caducados es inaceptablemente alto; los
certificados «ficticios» pueden derivar en un sistema de seguridad deslavazado que muestre todo tipo
de mensajes de aviso, con el consiguiente efecto negativo tanto en clientes como en empleados.
Por último, con la tecnología de cifrado basada exclusivamente en software, puede haber grandes
limitaciones para conocer el estado de los certificados. A menos que las claves estén almacenadas
en el hardware, las empresas no pueden saber con certeza cuántas claves existen y quién ha tenido
acceso a ellas. Si la red se ve amenazada, una empresa no tiene manera de saber si alguna de esas
claves ha sido sustraída y, por tanto, también corre peligro.
White paper: Los costes ocultos de los certificados SSL autofirmados
Al fin de cuentas, las claves no son más que archivos, y tanto los servidores de archivos, como
los sistemas y servidores de archivos virtuales, las redes de área de almacenamiento (SAN) y los
sistemas de almacenamiento conectado a red (NAS) se pueden guardar en copias de seguridad,
duplicar y reproducir. Esto hace difícil saber cuántas copias existen de una clave y dónde se
encuentran. Y también resulta mucho más difícil controlar el acceso a ellas y hacer cumplir las
normas establecidas.
Cuando las claves se almacenan en el hardware (por ejemplo, un módulo de seguridad de
hardware), de entrada son mucho más seguras, ya que normalmente se generan en el propio
dispositivo y nunca salen de él. Por eso, las empresas saben en todo momento dónde se
encuentran las claves y cuántas copias existen. Además, pueden aplicar mejores normativas
de seguridad a las claves, ya que muchos de esos módulos permiten usar una autenticación de
dos factores para el acceso basado en políticas (por ejemplo, se puede condicionar la firma del
certificado a que estén presentes dos personas autorizadas).
Retener al personal cualificado, que cuenta con los conocimientos y la experiencia necesarios
para llevar a cabo todas estas tareas de gestión, resulta caro. Según la encuesta elaborada por
ComputerWorld en 2011 sobre los sueldos de los profesionales informáticos,2 los técnicos de
nivel intermedio especializados en seguridad ganan aproximadamente 100 000 dólares al año. En
función del tamaño de la empresa, contratar a uno solo de estos empleados especializados puede
disparar el coste de los certificados SSL autofirmados más allá de lo razonable, especialmente si
se compara con el coste de contratar un proveedor SSL externo de confianza.
También existe la opción de externalizar la administración de la infraestructura, pero esta táctica
no solo aumenta los costes, sino que plantea otros interrogantes importantes: ¿quién controlará
a la empresa subcontratada? ¿Qué pasa si esa empresa comete errores que acaban saliendo
caros? Sin olvidar la gran dependencia que se acaba teniendo de este tipo de empresas para un
aspecto clave como son las infraestructuras, y lo difícil que resulta sustituir sus servicios en caso
necesario.
2 http://www.computerworld.com/s/article/9214739/Salary_Survey_2011 (abril de 2011).
White paper: Los costes ocultos de los certificados SSL autofirmados
Riesgos técnicos y comerciales de las soluciones SSL internas
Además de todos los costes fijos que comportan los certificados autofirmados, la empresa
también se expone a mayores riesgos operativos. Aunque no son fáciles de cuantificar, estos
riesgos pueden acarrear un aumento sustancial del gasto si no se solucionan.
Algunos de estos riesgos son técnicos, como por ejemplo las posibles incidencias de seguridad
que pueden producirse al principio y al final del proceso de cifrado o descifrado si el entorno no
está debidamente protegido. Sin mencionar que en un entorno no gestionado de certificados
autofirmados resulta extraordinariamente difícil revocar los certificados.
Incluso más graves que los riesgos técnicos son los riesgos que afectan al propio negocio. Muchos
de estos peligros tienen que ver con la necesidad de infundir confianza en clientes y usuarios. La
confianza es un aspecto vital en cualquier transacción por Internet, ya se trate de un servicio de
banca online o de una intranet corporativa donde los usuarios facilitan sus datos personales.
Aunque el valor real de la confianza siempre es difícil de cuantificar, es innegable que no
proyectar confianza entre los posibles clientes puede llegar a tener consecuencias desastrosas
para el negocio. En los sitios web de uso interno, como por ejemplo un portal de Recursos
Humanos, la posibilidad de que los propios empleados duden de si sus expedientes salariales y
demás datos personales están realmente a buen recaudo podría afectar a su estado de ánimo y su
productividad.
Otro factor que conviene tener en cuenta es que un proveedor de SSL externo puede garantizar
por contrato el nivel de protección. Este tipo de garantías, que oscilan entre los 10 000 y 250 000
dólares (o incluso más), van destinadas a compensar al cliente en el caso de que se produzca una
fuga de datos. Los certificados autofirmados no ofrecen esta seguridad garantizada por contrato.
Otro de los riesgos de usar certificados autofirmados para sitios internos es que los empleados
acaben por hacer caso omiso de los avisos de seguridad del navegador y empiecen a añadir
certificados a la lista de certificados fiables cuando de hecho no lo son. Esto no solo pone
en riesgo las redes y sistemas internos, sino que además conduce a una peligrosa actitud de
permisividad respecto a la seguridad de la empresa y va en contra de las normas más básicas de
seguridad de cualquier sistema interno.
Por último, con los certificados autofirmados las empresas también corren más riesgo ante las
amenazas avanzadas persistentes (APT) o los ataques con varios vectores, debido a que las CA
internas suelen carecer de los procesos y medidas de seguridad que sí adoptan las CA externas.
Por ejemplo, puede darse el caso de que el servidor donde se almacene y administre CA esté
conectado a la misma red que se utiliza también para otros sistemas, sin establecer límites
de seguridad físicos adicionales. Normalmente, las CA internas carecen de control de acceso
biométrico para utilizar la clave raíz que genera los certificados. Esto incide negativamente en
el nivel de seguridad y el rigor con el que se emiten los certificados. En definitiva, las empresas
operan con un falso sentido de la seguridad.
White paper: Los costes ocultos de los certificados SSL autofirmados
El coste total de propiedad (TCO)
Una infraestructura de seguridad SSL sólida y fiable no es posible sin la presencia de un buen
número de componentes. A continuación se muestra una tabla comparativa de los costes de los
certificados SSL autofirmados y los certificados SSL ofrecidos por Symantec, el proveedor de
referencia de soluciones de seguridad SSL:
Certificados autofirmados (anualmente)
Certificados SSL de Symantec3
Certificados SSL
Sin coste adicional
Entre 100 y 250 dólares por
certificado
Infraestructura redundante del
centro de datos
Entre 24 000 y 240 000 dólares
Incluido
Módulos de seguridad de
hardware (HSM) y costes de
software y mantenimiento
relacionados
Entre 26 000 y 60 000 dólares
Incluido
Costes de gestión y personal
100 000 dólares, el equivalente a un empleado
Incluido
especializado a jornada completa
TOTAL
Entre 150 000 y 400 000 dólares al año
Entre 100 000 y 250 000 dólares
(para 1000 certificados)
Sumando todos los costes, los certificados autofirmados son claramente la opción más cara
con una diferencia de cientos de miles de dólares al año. Trabajar con una CA de prestigio como
Symantec supone no solo un ahorro de dinero, sino que también la tranquilidad de saber que sus
soluciones de seguridad SSL están respaldadas por la experiencia y los recursos de una de las
empresas más respetadas del sector en todo el mundo.
Conclusión
Aunque algunos técnicos informáticos creen que los certificados SSL autofirmados son una
buena manera de reducir los costes de seguridad en las empresas, las cifras reales demuestran
una realidad bien distinta. Si a la infraestructura del centro de datos le sumamos la seguridad
física, el hardware y el software necesarios para el sistema PKI SSL, así como el personal
necesario para administrar los certificados, el coste real de los certificados SSL autofirmados
se dispara rápidamente.
Todos los sitios web precisan una protección SSL eficaz, tanto los públicos como los de uso
interno, y trabajar con un proveedor de calidad contrastada como Symantec es la manera más
fácil y rentable de proteger a clientes y usuarios con las mejores soluciones de seguridad SSL
del sector. Con los certificados SSL de Symantec, todas las empresas, desde las más grandes
hasta las más pequeñas, pueden proteger sus sitios web —y su reputación— sin comprometer
la cuenta de resultados.
3 Costes anuales basados en 1000 certificados SSL según catálogo de precios de Symantec en febrero de 2012. Los precios pueden variar sin previo aviso.
White paper: Los costes ocultos de los certificados SSL autofirmados
Más información
Visite nuestro sitio web en
http://go.symantec.com/ssl-certificates
Para hablar con un especialista en nuestros productos,
llame al 900 93 1298 o al +41 26 429 7727.
Acerca de Symantec
Symantec es líder mundial en soluciones de gestión de sistemas, almacenamiento y seguridad.
Su objetivo es ayudar a empresas y particulares a gestionar y proteger sus datos en un mundo
cada vez más dominado por la información. Nuestros servicios y programas garantizan una
protección más completa y eficaz frente a una mayor cantidad de riesgos, lo que es sinónimo de
tranquilidad sea cual sea el medio donde se utilice o almacene la información.
Symantec Spain S.L.
Parque Empresarial La Finca – Somosaguas,
Paseo del Club Deportivo, Edificio 13, oficina D1, 28223, Pozuelo de Alarcón, Madrid, España
www.symantec.es
© 2012 Symantec Corporation. Todos los derechos reservados. Symantec, el logotipo de Symantec, el logotipo de la marca de comprobación, Norton Secured y el logotipo de Norton Secured son marcas
comerciales o marcas comerciales registradas en los Estados Unidos y en otros países por Symantec Corporation o sus filiales. VeriSign y otras marcas relacionadas son marcas comerciales o registradas
de VeriSign, Inc. o sus empresas asociadas o filiales en los EE. UU. y en otros países, y Symantec Corporation tiene licencia para su uso. Los demás nombres pueden ser marcas comerciales de sus
respectivos propietarios.