Certificados TLS de servidor
Tráfico web seguro a gran escala
Inventario de certificados
Descubrir y rastrear todos los certificados
Certificados DevOps
Automatizar para pipelines CI/CD
Cifrado de correo electrónico
S/MIME para correo electrónico empresarial
Cada dispositivo conectado es un vector de ataque potencial. Los certificados digitales otorgan a las máquinas una identidad criptográfica, permitiéndoles autenticarse, cifrar comunicaciones y demostrar su integridad sin intervención humana.
Ahora hay muchas más máquinas conectadas a Internet que personas. Sensores industriales en los pisos de fábricas, dispositivos médicos en hospitales, medidores inteligentes en redes de servicios, vehículos conectados en autopistas, cámaras de vigilancia en ciudades. Se proyecta que el número de dispositivos IoT en todo el mundo supere los 30 mil millones para 2030. Cada uno de estos dispositivos necesita una identidad de máquina.
Sin una identidad verificable, un dispositivo no puede demostrar que es hardware genuino de un fabricante legítimo, que su firmware no ha sido manipulado, o que los datos que envía son confiables. Las contraseñas codificadas y las claves API compartidas, todavía sorprendentemente comunes en IoT, son triviales de extraer, clonar o forzar por fuerza bruta. Una vez que un dispositivo está comprometido, las mismas credenciales a menudo otorgan acceso a todos los dispositivos de la flota.
Certificados digitales resuelve esto proporcionando a cada dispositivo una identidad única, vinculada criptográficamente. Emitido por una autoridad de confianza Autoridad de Certificación, un certificado de dispositivo contiene la clave pública del dispositivo's y la información de identificación (su número de serie, modelo, fabricante, o cualquier atributo que lo distinga). La clave privada correspondiente se almacena en el elemento seguro o TPM del dispositivo's, asegurando que no pueda ser extraída o clonada.
Los certificados proporcionan tres capacidades fundamentales que son esenciales para cualquier dispositivo conectado que opere en un entorno de producción:
Un certificado demuestra que el dispositivo es lo que afirma ser. Cuando un sensor se conecta a una plataforma en la nube, o un dispositivo médico se une a una red hospitalaria, el sistema receptor puede verificar la identidad del dispositivo' criptográficamente, sin depender de una contraseña compartida que pueda ser interceptada o adivinada.
Los certificados permiten TLS-canales encriptados entre dispositivos y sistemas de backend. Esto garantiza que las lecturas de sensores, los datos de telemetría y los comandos en tránsito no puedan ser interceptados ni alterados. Esto es crítico para los sistemas de control industrial, los dispositivos de salud y cualquier entorno donde la integridad de los datos sea importante.
Los certificados pueden verificar que las actualizaciones de firmware sean auténticas antes de la instalación, evitando ataques a la cadena de suministro donde se envía código malicioso a los dispositivos. También permiten cadenas de arranque seguras, donde cada componente del proceso de arranque se verifica criptográficamente antes de su ejecución.
Los atributos del certificado (organización, tipo de dispositivo, ubicación) pueden impulsar políticas de acceso granulares. Un sensor de temperatura podría estar autorizado a publicar datos en un tema MQTT específico pero no suscribirse a canales de control, todo aplicado en base a los campos del certificado', sin necesidad de gestión adicional de credenciales.
A diferencia de los certificados de usuario gestionados mediante flujos de trabajo de TI, los certificados de dispositivo deben adaptarse a los procesos de fabricación, condiciones de campo y, potencialmente, a vidas útiles de hardware de décadas. El ciclo de vida tiene tres fases distintas:
El momento ideal para aprovisionar un certificado de dispositivo es durante la fabricación, cuando el elemento seguro o TPM del dispositivo genera un par de claves y la clave pública se envía a la CA para su certificación. Este certificado de nacimiento, a veces llamado Identificador Inicial de Dispositivo (IDevID), se incorpora al dispositivo antes de que sea enviado. Proporciona una raíz de confianza que persiste durante toda la vida útil del dispositivo, sin importar dónde se despliegue o quién lo posea.
Los certificados expiran, y los certificados de dispositivos no son una excepción. Un medidor inteligente instalado para un despliegue de 20 años necesitará que sus certificados operativos se renueven varias veces. Esto debe suceder automáticamente, sin que un técnico visite el dispositivo. El dispositivo usa su certificado válido actual (o su IDevID como credencial de arranque) para autenticarse en la CA y solicitar un nuevo certificado mediante protocolos de inscripción como EST o CMP.
When a device reaches end of life, is sold, or is compromised, its certificates must be revoked to prevent further use. This is especially important in industrial environments where decommissioned devices might be resold or repurposed. A revoked certificate ensures the device can no longer authenticate to any system that checks revocation status, effectively disconnecting it from the trusted network.
Los dispositivos can't llenar un formulario web para solicitar un certificado. Necesitan protocolos de inscripción máquina a máquina diseñados para una operación automatizada y sin supervisión. Tres protocolos dominan el panorama:
La inscripción sobre Transporte Seguro es el estándar moderno para la inscripción de certificados de dispositivos. Funciona sobre HTTPS, admite autenticación basada en certificados y usuario/contraseña para la solicitud inicial, y gestiona la re‑inscripción de forma nativa. EST es el protocolo recomendado para nuevas implementaciones y cuenta con amplio soporte en plataformas IoT modernas y soluciones PKI.
Simple Certificate Enrollment Protocol ha sido la pieza clave del registro de dispositivos durante más de dos décadas. Desarrollado originalmente por Cisco, utiliza HTTP y una contraseña de desafío para la autenticación inicial. Aunque muestra su antigüedad (carece de protección TLS nativa y tiene capacidades limitadas de renovación), SCEP sigue siendo esencial porque millones de dispositivos desplegados y plataformas MDM dependen de él.
El Protocolo de Gestión de Certificados es un protocolo integral que cubre todo el ciclo de vida del certificado, desde la solicitud inicial hasta las actualizaciones, revocación y recuperación de claves. Es particularmente frecuente en entornos de telecomunicaciones e industriales. CMP admite topologías PKI complejas con Autoridades de Registro y está mandatado por varios estándares de la industria, incluido 3GPP para redes móviles.
Aunque es más conocido por los certificados de servidores web (a través de Let's Encrypt), ACME está siendo adoptado cada vez más para la inscripción de dispositivos en plataformas IoT nativas de la nube. Su diseño orientado a la automatización y el amplio soporte de herramientas lo hacen atractivo para entornos donde los dispositivos se gestionan mediante prácticas modernas de DevOps.
Gestionar certificados para un puñado de servidores es una cosa. Gestionarlos para millones de dispositivos IoT introduce desafíos que son fundamentalmente diferentes en naturaleza:
Una empresa de servicios públicos podría desplegar 5 millones de medidores inteligentes. Un fabricante de automóviles podría producir 10 millones de vehículos al año, cada uno con múltiples módulos conectados. La infraestructura de CA debe manejar la inscripción masiva (decenas de miles de certificados durante una corrida de fabricación) y el tráfico sostenido de renovaciones, todo mientras mantiene baja latencia y alta disponibilidad. Las arquitecturas tradicionales de PKI no estaban diseñadas para este rendimiento.
Muchos dispositivos IoT tienen CPU, memoria y almacenamiento limitados. Un microcontrolador pequeño que ejecuta un sensor podría tener solo 256 KB de flash y 64 KB de RAM. Cadenas completas de certificados X.509 y aperturas de sesión TLS complejas pueden tensionar estos recursos. Los perfiles ligeros, la criptografía de curva elíptica (ECC) y las implementaciones de protocolos optimizadas se vuelven esenciales para que los certificados sean viables en hardware con recursos limitados.
Los dispositivos desplegados en ubicaciones remotas (sensores agrícolas, monitores de tuberías, equipos offshore) pueden conectarse solo de forma esporádica. La renovación de certificados debe ser resiliente a las interrupciones de conectividad, permitiendo que los dispositivos soliciten nuevos certificados con suficiente antelación antes de su vencimiento y reintenten de manera elegante si la CA está temporalmente inaccesible. Los modelos de aprovisionamiento offline y la preinstalación de certificados son a veces necesarios para los dispositivos que operan en entornos totalmente desconectados.
Estas limitaciones hacen descubrimiento e inventario de certificados aún más crítico en entornos IoT. No puedes renovar lo que no puedes ver, y un solo certificado expirado en un controlador industrial crítico puede detener toda una línea de producción.
Varios estándares y marcos de la industria ahora exigen o recomiendan encarecidamente la identidad de dispositivos basada en certificados. Comprender estos es esencial para el cumplimiento y la interoperabilidad:
La norma principal de ciberseguridad para sistemas de control industrial (ICS) y tecnología operativa (OT). IEC 62443 define niveles de seguridad que requieren cada vez más autenticación basada en certificados entre componentes. En niveles de seguridad más altos, la autenticación mutua mediante certificados X.509 es obligatoria para todas las comunicaciones de red entre zonas y conductos.
El estándar Matter (respaldado por Apple, Google, Amazon y Samsung) requiere que cada dispositivo de hogar inteligente lleve un Certificado de Atestación de Dispositivo (DAC) que demuestre que es un producto genuino y certificado. Este certificado se verifica durante la puesta en marcha antes de que el dispositivo se una a la red doméstica, eliminando el problema de dispositivos falsificados que afectaba a los ecosistemas de hogares inteligentes anteriores.
La especificación GSMA's IoT SAFE (SIM Applet For Secure End-to-End Communication) aprovecha la tarjeta SIM como un elemento seguro para almacenar certificados de dispositivos y realizar operaciones criptográficas. Esto permite que los dispositivos IoT conectados a móvil establezcan sesiones TLS usando certificados almacenados en la SIM resistente a manipulaciones, proporcionando seguridad de nivel de operador sin hardware adicional.
PKI de alto rendimiento para IoT: Evertrust PKI está diseñada para manejar los volúmenes de inscripción que exige IoT. Ya sea que estés provisionando certificados durante una producción o renovando millones de certificados de dispositivos en el campo, la plataforma escala para cumplir con tus requisitos de rendimiento mediante EST, SCEP, CMP y ACME.
Inventario completo de dispositivos: Evertrust CLM mantiene un inventario en tiempo real de cada certificado de dispositivo en su flota. Descubrimiento escaneos encuentran certificados que no sabías que existían, mientras los paneles muestran líneas de tiempo de expiración, estado de cumplimiento y distribución de algoritmos de un vistazo.
Flexibilidad de protocolo: No todos los dispositivos utilizan el mismo protocolo. Evertrust soporta EST, SCEP, CMP y ACME simultáneamente, de modo que los dispositivos heredados y las plataformas modernas pueden coexistir bajo una única infraestructura de gestión de certificados sin compromisos.
Política de aplicación a gran escala: Definir plantillas de certificado que apliquen algoritmos de clave, períodos de validez y convenciones de nomenclatura específicas para cada tipo de dispositivo. Evertrust garantiza que cada certificado emitido cumpla con sus políticas organizacionales y estándares de la industria, desde arquitectura PKI requisitos a los mandatos IEC 62443.
