Si, el titulo es un poco largo y posiblemente ya sabéis por donde va el tema, esperad que os pongo un poco al día.
Hoy en mis que haceres matutinos me ha sorprendido un hombre que me aseguraba que un certificado autofirmado era valido por qué la empresa que se ocupaba de instalar la herramienta se dedicaba exclusivamente a ello y por ahorrarse unos Euros pues que no lo iban a cambiar. Por lo que mi cabeza a empezado a dar chispazos y les he tenido que pasar el siguiente Paper para que entraran un poco en razón.
Es un poco antiguo pero a mi me ha venido la mar de bien para explicarles porque un certificado autofirmado es inseguro y ademas da una visibilidad horrenda de la empresa. Sobretodo he remarcado lo siguiente
Otro de los riesgos de usar certificados autofirmados para sitios internos es que los empleados acaben por hacer caso omiso de los avisos de seguridad del navegador y empiecen a añadir certificados a la lista de certificados fiables cuando de hecho no lo son . Esto no solo pone en riesgo las redes y sistemas internos, sino que además conduce a una peligrosa actitud de permisividad respecto a la seguridad de la empresa y va en contra de las normas más básicas de
seguridad de cualquier sistema interno .
Por último, con los certificados autofirmados las empresas también corren más riesgo ante las amenazas avanzadas persistentes (APT) o los ataques con varios vectores, debido a que las CA internas suelen carecer de los procesos y medidas de seguridad que sí adoptan las CA externas .Por ejemplo, puede darse el caso de que el servidor donde se almacene y administre CA esté conectado a la misma red que se utiliza también para otros sistemas, sin establecer límites
de seguridad físicos adicionales . Normalmente, las CA internas carecen de control de acceso biométrico para utilizar la clave raíz que genera los certificados . Esto incide negativamente en
el nivel de seguridad y el rigor con el que se emiten los certificados . En definitiva, las empresas operan con un falso sentido de la seguridad .
Enlace al paper:
Sed Buenos ;)
No hay comentarios:
Publicar un comentario