La CA interna emite un certificado comodín

15

Algunos de nuestros servidores web son administrados por un socio externo que trabaja como nosotros en la misma oficina, usa nuestras computadoras portátiles conectadas a nuestra red corporativa y tiene cuentas de usuario en nuestro AD. Solicitaron y aplicaron certificados comodín para hacer https en algunos de los sitios de IIS (todos ellos con orientación interna).

Alguien en TI expresó la preocupación de que no es aconsejable, desde un punto de vista de seguridad, que los administradores subcontratados soliciten y apliquen certificados en sitios web. Aquí está el argumento:

  

Con un certificado comodín puede "hacerse pasar" por cualquier servicio, incluso los que no son administrados por el equipo específico en los servidores específicos que tienen un acuerdo para administrar.   Si el certificado se filtra fuera de nuestra empresa, podría suponer un riesgo de seguridad, por ejemplo. potencialmente ser utilizado para configurar servicios que pretenden ser propiedad / validados por nosotros cuando no lo son.   Es posible que tengamos NDA, pero aún sería una buena práctica IMHO limitar el número de manos con acceso a certificados (yo diría que incluso manos internas), y teniendo en cuenta que incluso usamos nombres de usuario basados en pseudo roles como esperamos. las personas pueden rotar más a menudo que los empleados internos.

Es un certificado interno que no se resolvería en internet. ¿Qué piensan los demás de esto?

    
pregunta Manu 11.10.2017 - 14:58
fuente

2 respuestas

22

Complementaré la respuesta de @ schoeder con algunos detalles técnicos.

Mi comprensión de su situación es que tiene servidores aplicaciones como esta:

intranet.xyz.abc.com
documents.xyz.abc.com
applications.xyz.abc.com
...

y su socio también tiene algunas aplicaciones que se ejecutan en el mismo servidor:

partner1.xyz.abc.com
partner2.xyz.abc.com

Todo lo anterior es interno (no se puede acceder desde Internet). Ahora, el socio era demasiado perezoso para hacer certificados individuales para cada una de sus aplicaciones IIS, por lo que hicieron e instalaron un certificado global para:

*.xyz.abc.com

Genial. Eso cubre todas sus aplicaciones. Pero también cubre todo el tuyo. Suponiendo que tengan acceso a la clave privada que pertenece a este certificado de comodín, entonces pueden administrar sus servidores de intranet o documentos de Intermedio y leer todo el tráfico.

Además, si su empresa tiene (o un administrador malintencionado con su socio decide defender) cualquier sitio web público que coincida con el comodín, por ejemplo:

www.xyz.abc.com

entonces, dado que se trata de una CA interna privada, el público en general no se dejaría engañar por su falsificación, pero cualquiera de sus empleados que se conecten internamente (con esa CA instalada en su sistema operativo) confiaría en la versión falsificada de www.xyz.abc.com .

Como señala @schroeder, el potencial de amenazas internas es enorme.

    
respondido por el Mike Ounsworth 11.10.2017 - 15:14
fuente
20

Las amenazas internas son un problema importante en el que no piensan las organizaciones suficientes. La persona de TI tiene razón al mencionar esto.

Pero el argumento es solo un factor. Se ha generado una "amenaza" y ahora se debe realizar un "análisis de amenaza". ¿Cuál es el impacto si un usuario interno malintencionado (subcontratado o no) puede hacerse pasar por servicios? Si este impacto es bajo, entonces puede optar por ignorar esta amenaza.

El hecho de que algo pueda suceder no significa que tengamos que asustarnos. Necesitamos considerar los impactos y las probabilidades y determinar si esto es algo con lo que debemos lidiar.

Sin más detalles sobre su entorno, servicios, flujos de datos, etc. (que probablemente no debería revelar aquí), eso es todo lo que podemos responder.

    
respondido por el schroeder 11.10.2017 - 15:06
fuente

Lea otras preguntas en las etiquetas