La guida definitiva alla PKI

Sotto la superficie digitale, una struttura di sicurezza completa sostiene molte delle funzioni essenziali che diamo per scontate. Dalla posta elettronica all'online banking e molto altro ancora, l'infrastruttura a chiave pubblica (PKI) opera dietro le quinte per garantire affidabilità e integrità in quasi tutti gli aspetti della vita digitale.

In questa guida esploreremo come la PKI crea un ambiente sicuro per le interazioni online, fornendo solide protezioni su diverse piattaforme sia per i singoli che per le organizzazioni.

L'infrastruttura a chiave pubblica comprende le politiche, i ruoli, l'hardware, il software e le procedure necessarie per creare, gestire, distribuire, utilizzare, archiviare e revocare i certificati digitali. I certificati digitali funzionano come un passaporto o una patente di guida, infatti attestano la tua identità e forniscono determinate autorizzazioni.

Lo scopo di una PKI è quello di facilitare il trasferimento elettronico sicuro di informazioni per una serie di attività di rete quali l'e-commerce, l'internet banking e la posta elettronica riservata. Si tratta di un sistema che consente a utenti e macchine di scambiare dati in modo sicuro su Internet e di verificare l'identità dell'altra parte.

Ad esempio, quando accedi al tuo conto bancario online, la PKI crittografa la connessione e garantisce che i tuoi dati sensibili rimangano privati e protetti. In questo modo, puoi inserire le tue credenziali in tutta sicurezza e accedere al tuo account con la certezza di non interagire con un sito web illegale.

Componenti della PKI

L'infrastruttura a chiave pubblica non è una tecnologia unica, bensì una combinazione di diverse componenti essenziali. Insieme, forniscono le tecnologie e i processi per gestire la crittografia, proteggere i dati e rendere sicure le comunicazioni su larga scala.

La PKI, ad alto livello, include:

• Chiavi PKI: Una coppia di chiavi che consente la crittografia, un processo che nasconde i dati per impedire a chiunque, tranne al destinatario previsto, di leggerli. Nella crittografia, ogni chiave pubblica è abbinata a una chiave privata. La chiave pubblica viene distribuita liberamente e apertamente, mentre la chiave privata è segreta e riservata al proprietario.
• Certificati digitali: Credenziali elettroniche che legano l'identità del titolare del certificato a una coppia di chiavi che può essere utilizzata per crittografare e firmare le informazioni. 
• Certificate authority (CA): Un'entità fidata che emette certificati digitali. 
• Autorità di registrazione (RA): È responsabile dell'accettazione delle richieste di certificato e dell'autenticazione della persona o dell'organizzazione che ne è alla base.
• Repository di certificati: Luoghi sicuri in cui i certificati vengono archiviati e possono essere recuperati per la convalida.
• Gestione centralizzata del software: Una dashboard in cui le organizzazioni possono gestire le proprie chiavi crittografiche e i certificati digitali.
• Moduli di sicurezza hardware (HSM): Dispositivi fisici che forniscono un ambiente sicuro per l'esecuzione di operazioni crittografiche e l'archiviazione/gestione di chiavi digitali.

Molti di questi componenti sono disponibili tramite provider completi per PKI. Ad esempio, Entrust PKI è una soluzione leader del settore che le organizzazioni utilizzano per mantenere persone, sistemi e risorse connesse in modo sicuro. In quanto offerta flessibile, è disponibile in locale, nel cloud e come servizio PKI gestito (Managed PKI Services).

Sapere come funziona la PKI può aiutarti a comprendere perché è essenziale e come la tua organizzazione può massimizzare le sue capacità. Ecco un'analisi più approfondita di ciascuna componente:

Crittografia e cifratura

Questi termini, anche se sono correlati, non sono intercambiabili. La crittografia è la scienza che si occupa di proteggere le comunicazioni tramite codice, mentre la cifratura è un sottoinsieme della crittografia che realizza questo compito utilizzando algoritmi matematici. Entrambi offuscano le informazioni sensibili, rendendole illeggibili a soggetti non autorizzati.

Gli algoritmi di cifratura rientrano in due categorie:

• Cifratura simmetrica: Questo metodo utilizza la stessa chiave crittografica per criptare (proteggere) e decriptare (sbloccare) i dati. Nonostante la semplicità, è come mettere tutte le tue uova in un solo paniere: chiunque comprometta la chiave può accedere a qualsiasi cosa stia proteggendo.
• Cifratura asimmetrica: Al contrario, la cifratura asimmetrica è utilizzata in tutta la PKI, motivo per cui viene chiamata anche "crittografia a chiave pubblica". Questo metodo utilizza una coppia di chiavi matematicamente collegate per gestire separatamente la cifratura e la decifratura. Poiché la chiave privata consente l'accesso, è nota solo all'entità che riceve il messaggio protetto.

Supponiamo che tu voglia inviare un messaggio privato a John. Il messaggio viene crittografato utilizzando la chiave pubblica di John, accessibile a chiunque. In questo modo si garantisce che solo la chiave privata di John, che lui custodisce gelosamente, possa essere in grado di decifrare il messaggio. Questa configurazione impedisce a chiunque altro, compresi potenziali aggressori, di leggerne il contenuto.

Ma come fai a sapere che la chiave pubblica che hai ricevuto appartiene a chi pensi che sia? Senza l'autenticazione, rischi di essere vittima di un attacco MITM (man-in-the-middle). Questo avviene quando un impostore utilizza una chiave pubblica per intercettare e alterare le comunicazioni per scopi nefasti, come la raccolta di dati.

Fortunatamente, è qui che entrano in gioco i certificati digitali.

Certificati digitali

Un certificato digitale, a volte chiamato "certificato a chiave pubblica", è un documento elettronico utilizzato per identificare il proprietario di una chiave pubblica. Ciò consente al destinatario di confermare che la chiave proviene da una fonte legittima, riducendo il rischio di un attacco di MITM. 

I certificati in genere includono:

• Informazioni identificabili, come il nome del titolare del certificato, il numero di serie del certificato e la data di scadenza
• Una copia della chiave pubblica
• Digital Signature della CA emittente per la prova di autenticità

Autorità di certificazione

Un'autorità di certificazione, o Certificate Authority, è un'organizzazione terza attendibile che crea ed emette certificati digitali. Nel caso di una CA pubblica, è anche responsabile del controllo e della convalida dell'identità dei titolari dei certificati, il che la rende parte integrante dell'infrastruttura a chiave pubblica.

Tutte le CA devono mantenere un "elenco di revoche dei certificati". In breve, documenta tutti i certificati revocati da una CA attendibile prima della data di scadenza programmata, identificando quelli che non dovrebbero più essere considerati attendibili.

In termini generali, esistono due tipi di CA:

• Root CA: Il tipo di CA più affidabile nella gerarchia PKI. Il certificato di una root CA è autofirmato, il che significa che è autenticato dalla propria Digital Signature. Queste CA costituiscono il fondamento della fiducia poiché i loro certificati vengono utilizzati per creare, firmare ed emettere certificati alle CA subordinate o direttamente alle entità finali.
• CA subordinato: Un'organizzazione certificata da una Root CA o da un'autorità subordinata più in alto nella catena. I certificati emessi da una CA subordinata riportano la firma della Root CA, ereditando quindi la fiducia. Ogni certificato nella catena è responsabile della certificazione dell'autenticità del successivo, creando un percorso di fiducia continuo e affidabile dall'alto verso il basso.

In che modo le CA creano i certificati digitali? Il processo di base funziona così:

1. Generazione della chiave: Un utente genera una coppia delle chiavi.
2. Richiesta di certificato: L'utente invia una richiesta di firma del certificato (CSR) a una CA, includendo la propria chiave pubblica e le informazioni di identificazione.
3. Verifica: La CA convalida l'identità dell'utente, spesso con l'aiuto di una RA. 
4. Emissione di certificati: Una volta verificata, la CA emette un certificato digitale contenente la chiave pubblica dell'utente e altri dettagli di identificazione. Anche questo certificato è firmato dalla chiave privata della CA, creando una firma digitale.
5. Utilizzo del certificato: Quando si tratta di comunicazioni sicure, il mittente può criptare il messaggio utilizzando la chiave pubblica del destinatario. Una volta ricevuto, il destinatario può decifrare il messaggio utilizzando la sua chiave privata.

Sistemi di gestione dei certificati

I sistemi di gestione dei certificati sono soluzioni software che semplificano tutti gli aspetti del ciclo di vita dei certificati. Dall'iscrizione e dall'emissione dei certificati alla distribuzione, alla revoca e al rinnovo, utilizzano l'automazione per snellire i processi e garantire che le risorse crittografiche siano gestite in modo appropriato.

Ad esempio, alcune soluzioni tengono un registro dettagliato di tutte le attività correlate, aiutando a rispettare i requisiti normativi e gli audit interni. Centralizzando la gestione attraverso un'unica fonte di verità, le organizzazioni riducono il rischio di certificati mal gestiti e migliorano la protezione dei dati.

Hardware Security Modules

Infine, gli HSM svolgono un ruolo fondamentale nell'architettura di sicurezza della PKI. In parole povere, sono dispositivi fisici progettati per proteggere i processi crittografici generando, conservando e gestendo le chiavi in un ambiente protetto e resistente alle manomissioni.

Prendiamo come esempio la generazione delle chiavi. Un modulo di sicurezza hardware può creare una coppia di chiavi utilizzando generatori di numeri casuali di alta qualità, fondamentali per mantenere la forza e l'integrità dei sistemi crittografici. Poiché le chiavi non escono mai dal dispositivo in formato testo normale, la loro esposizione a potenziali vulnerabilità è ridotta al minimo.

Allo stesso modo, una delle funzioni principali di un HSM è l’archiviazione delle chiavi private. Conservarli in un ambiente hardware li protegge dall'estrazione o dalla compromissione da parte di soggetti non autorizzati.

Forse il modo migliore per comprendere l'importanza della PKI è mettere in prospettiva i suoi casi d'uso. Ecco alcuni dei modi più significativi in cui le organizzazioni sfruttano la PKI a loro vantaggio:

1. Comunicazioni sicure (SC)

La PKI è un elemento fondamentale per la protezione di diverse forme di comunicazione digitale, tra cui posta elettronica, servizi di messaggistica e altro ancora. Non solo salvaguarda questi canali, ma li rende anche più affidabili per tutte le parti coinvolte: consumatori, partner, dipendenti, cittadini,

2. Autenticazione e controllo degli accessi

La PKI fornisce meccanismi di autenticazione avanzati per gli utenti che accedono a sistemi, reti o servizi online. I certificati possono fungere da forma di identificazione digitale sicura, garantendo che l'accesso sia concesso solo agli utenti verificati.

Queste funzionalità rendono la PKI particolarmente utile alle organizzazioni che implementano un modello di sicurezza Zero Trust. Zero Trust si basa sul principio "non fidarti mai, verifica sempre", che richiede un'autenticazione continua per confermare ogni utente e ogni dispositivo che accede alle risorse, indipendentemente dalla posizione.

Inoltre, questo approccio è vantaggioso. Secondo uno studio di Forrester, la sicurezza Zero Trust può amplificare i risultati aziendali migliorando al contempo l'esperienza utente.

3. Navigazione sicura su Internet

Molti aspetti della PKI sono decisamente rilevanti per la navigazione in Internet e per le transazioni online. Grazie ai protocolli Secure Sockets Layer (SSL) e Transport Layer Security (TLS), i browser sfruttano i certificati digitali per autenticare i siti web e stabilire connessioni crittografate. In parole più semplici, informano gli utenti finali che stanno accedendo a un dominio affidabile.

I certificati TLS/SSL garantiscono la riservatezza di tutte le informazioni che vengono trasferite tra il server web e il browser. I siti web e i server privi di certificati sono vulnerabili agli attacchi e rischiano di lasciare i dati sensibili nelle mani sbagliate.

4. Firma dei documenti e marcatura temporale

Le firme digitali basate su PKI verificano l'autenticità e l'integrità dei documenti elettronici. Ciò è essenziale per documenti legali, contratti e altra documentazione per la quale è richiesta la prova di originalità e del consenso.

La cosa più importante è che i certificati di firma dei documenti servono a tre scopi principali: 

• Autenticità: Il certificato conferma che il documento è stato firmato dalla persona o dall'entità che detiene la chiave privata corrispondente alla chiave pubblica nel certificato.
• Integrità: Qualsiasi modifica apportata al documento dopo la firma rende nulla la firma digitale. In questo modo si garantisce che il documento ricevuto sia esattamente ciò che il firmatario intendeva inviare, privo di modifiche.
• Non ripudio: Il firmatario non può negare l'autenticità della propria firma su un documento, poiché la firma digitale e il certificato associato forniscono una prova solida dell'identità del firmatario e del suo accordo con il contenuto del documento al momento della firma.

5. Firma del codice

Per autenticare i loro script, gli sviluppatori di software utilizzano certificati di firma del codice. In questo modo, gli utenti finali possono verificare che il software scaricato non sia stato alterato. Ciò contribuisce a proteggere dal malware, a preservare l'integrità del software e a rafforzare la fiducia dei consumatori.

6. Internet delle cose (IoT)

Con la proliferazione dei dispositivi connessi, le macchine tendono a superare in numero gli utenti umani. Questi dispositivi sono potenzialmente vulnerabili alle minacce informatiche, esattamente come i sensori che raccolgono, archiviano e trasmettono dati ad altre macchine. Con così tante cose da gestire però, la sicurezza dell'IoT è diventata sempre più difficile.

La PKI, fornendo a ciascun dispositivo un certificato digitale univoco, garantisce un'autenticazione solida, verificando che i dispositivi che comunicano siano effettivamente legittimi. Ciò è fondamentale per prevenire accessi non autorizzati e violazioni dei dati.

Inoltre, la PKI facilita le comunicazioni crittografate tra dispositivi, proteggendo la trasmissione di dati sensibili da intercettazioni e manomissioni. Questo approccio di sicurezza completo è essenziale per mantenere l'integrità e la riservatezza dei dati negli ecosistemi IoT sempre più complessi.

Ecco alcune delle best practice per sfruttare al meglio l'implementazione della PKI:

• Usare l'archiviazione delle chiavi private: Implementare meccanismi efficaci per la protezione delle chiavi private, come l'utilizzo di HSM che forniscono protezione fisica e logica contro manomissioni e accessi non autorizzati.
• Ruotare e rinnovare regolarmente le chiavi: Le chiavi e i certificati non devono essere utilizzati indefinitamente. Stabilire una routine per la rotazione regolare delle chiavi e il rinnovo dei certificati in modo da attenuare i rischi associati all'esposizione delle chiavi e migliorare la sicurezza. Inoltre, è utile revocare le risorse crittografiche quando è necessario, ad esempio se un dipendente lascia l'azienda o se una chiave privata viene compromessa.
• Implementare schemi di autenticazione forti: Integrare l'autenticazione a più fattori (MFA) per migliorare la sicurezza, in particolare per l'accesso ai sistemi PKI e l'esecuzione di operazioni sensibili come l'emissione o la revoca di certificati.
• Centralizzare la gestione dei certificati e delle chiavi: Implementare strumenti e procedure per gestire l'intero ciclo di vita dei certificati, dall'emissione alla revoca o scadenza. Garantire che questi strumenti facilitino la conformità alle politiche sulle PKI e agli standard di sicurezza.
• Creare politiche di backup e di ripristino delle chiavi: Stabilire e testare regolarmente le procedure di backup e ripristino per confermare che i componenti PKI critici possano essere recuperati rapidamente e in modo sicuro dopo un'interruzione o un incidente.
• Mantenere aggiornate le politiche e le procedure: Le politiche sui certificati (CP) e le dichiarazioni sulle prassi di certificazione (CPS) sono essenziali per la PKI. Il CP è un documento completo che descrive le diverse classi di certificati emessi da un'autorità di certificazione e le relative politiche applicabili. Il CPS illustra nel dettaglio il modo in cui la CA implementa queste politiche a livello tecnico. Mantenere aggiornati questi documenti è fondamentale per preservare la sicurezza, l'affidabilità e la conformità legale. Dovrebbero essere regolarmente rivisti e modificati per allinearli al panorama dinamico della sicurezza informatica, della tecnologia e dei cambiamenti normativi.

Solo una soluzione per PKI completa può raggiungere l'obiettivo di stabilire e mantenere un ambiente di rete affidabile e allo stesso tempo fornire un sistema automatico, chiara e facile da usare. Fortunatamente, con Entrust avrai tutto ciò che ti serve per avere successo.

I nostri servizi di PKI gestite stabiliscono identità basate su certificati per proteggere utenti, app e dispositivi nella tua azienda in crescita. Inoltre, i nostri esperti si occuperanno per tuo conto dell'installazione iniziale, della configurazione, della manutenzione continua e delle verifiche. Perché? E garantiranno in questo modo che l'implementazione della tua PKI sia la migliore possibile.