Desde las primeras instalaciones PKI aisladas o circunscritas a departamentos y reas concretas de empresas e instituciones, las soluciones enmarcadas en la tecnologa PKI se estn extendiendo de manera rpida entre todos los entornos como un elemento clave. Las previsiones indican que el mercado PKI crecer a un ritmo superior al 90 por ciento durante los prximos aos en nuestro pas, hasta alcanzar en 2006 un volumen de negocio de 119 millones de euros.
En un breve espacio de tiempo las instalaciones PKI convivirn con las aplicaciones de empresa, de forma que firmar un documento digitalmente o verificar la autenticidad de un mail formar parte de la rutina en empresas y entornos de trabajo.
Ante tal situacin, la calidad de los productos es un elemento clave para todas aquellas empresas que quieran estar presentes en este mercado. Si bien hasta ahora eran los fabricantes los que imponan los productos y sus caractersticas, estamos asistiendo a un cambio rotundo en este planteamiento, y empiezan a ser los clientes, como es propio de mercados maduros, los que empiezan a exigir lo que quieren y, sobre todo, para que lo quieren.
Teniendo en cuenta todo esto, creo conveniente aclarar cual es la situacin actual en cuanto a la calidad de estos productos, que implica o no la obtencin de ciertos certificados que existen en torno a este mercado.
Desarrollar un sistema seguro implica trabajar en dos dimensiones establecer las medidas de seguridad que son necesarias para el escenario de uso previsto, e implementar el sistema o producto con los atributos de garanta de seguridad necesarios.
Desgraciadamente, este trabajo supone una cierta madurez del proceso de desarrollo y una preocupacin metodolgica por la seguridad, que no siempre se encuentra en la industria del software, incluso en el propio entorno de los productos de seguridad.
Por esta razn, nos encontramos con vulnerabilidades que afectan a nuestro sistema operativo o al cortafuegos, cuando se supone deberan ser seguros, y por eso encontramos tan pocas empresas del sector que puedan demostrar la calidad de su sistema de desarrollo mediante certificaciones independientes, tipo ISO90012000.
Los usuarios podemos esperar cada vez ms productos certificados en el mercado. Significa que son seguros? Se puede determinar cul de ellos es ms seguro? Pues no, si slo atendemos a la existencia del certificado.
Que un producto lo posea slo significa que un laboratorio ha evaluado que la seguridad del producto efectivamente contrarresta las amenazas identificadas por el fabricante en la especificacin, que en trminos de Common Criteria se denomina Security target. Es de aplicacin a mi problema? Hay que entrar al detalle, y analizarlo.
Esta es una de las principales confusiones que el naciente Common Criteria est despertando entre los usuarios. Hemos comprado en la empresa una PKI certificada Common Criteria EAL4 y la tuya slo es EAL3. Bien, pero la especificacin de la primera indica que slo es segura en un entorno de usuarios confiables – domstica -, y la segunda tiene una especificacin adaptada al entorno empresarial. El nivel de evaluacin no dice nada de la adecuacin del producto a su problema, slo indica el rigor de la evaluacin.
As, para comparar la seguridad de dos productos certificados, remtase a su Security Target. Encontrar en el anlisis de los Security Target de diferentes productos certificados que la especificacin del entorno de uso y las medidas de seguridad deja generalmente que desear.
Esto es as porque el propio fabricante realiza esta especificacin, y en las prisas por conseguir el certificado quiz importa ms su obtencin que la realidad de su contenido. Los laboratorios de evaluacin estn adems obligados a ceirse al escenario definido por el fabricante, lo cual puede ser tergiversado en perjuicio de los usuarios.
En teora, se podra definir que un producto PKI es seguro en condiciones de aislamiento cuando la mquina est apagada, y obtener un certificado Common Criteria que lo acredite.
Para evitar este abuso del sistema, la propia norma crea la figura de Protection Profile, que es una especificacin independiente de producto, donde se indican realmente las amenazas e hiptesis de uso que cualquier producto que diga cumplirlo debe respetar.
De esta forma, un colectivo de usuarios puede especificar cmo quiere una PKI (www.safelayer.com/download/pkipp) y exigir productos certificados contra esta especificacin. En este caso, el certificado garantiza que la seguridad del producto se adapta a sus necesidades.
Miguel Ban, director de calidad y certificacin de Safelayer Secure Communications.
Un estndar, el ISO/IEC 154081999, Common Criteria, establece los criterios para medir la seguridad de los productos o sistemas de las Tecnologas de la Informacin.
Pero, cmo lo hace? En primer lugar, exigiendo al producto que se va a evaluar las evidencias de que se ha desarrollado con esos mnimos de rigor en su ingeniera; la especificacin del entorno de uso, de las amenazas esperadas, y los objetivos y funciones de seguridad que contiene; diseo y cdigo fuente con diferentes grados de formalismo y rigor, y trazabilidad a los requisitos de seguridad; pruebas unitarias, de integracin y de las funciones de seguridad; Finalmente, el anlisis de vulnerabilidades y todo ello documentado con unos requisitos determinados de contenido y presentacin.
Con todo este material, se tiene un producto seguro? No necesariamente, pero es un primer paso. Sin estos pasos, puede ser seguro el producto? No es imposible, aunque resulta difcil determinar de manera sistemtica por una tercera parte, y de eso se trata.
El Common Criteria especifica as cmo un laboratorio independiente ha de analizar toda esta informacin y determinar si el trabajo del fabricante es correcto. Intentar incluso desbaratar el producto aplicando tcnicas de intrusin, tal como lo haran los hackers, pero con mayor informacin en su poder y de forma repetible y verificable por otro laboratorio.
De esta manera, un laboratorio puede evaluar un producto, aplicando un esfuerzo determinado. Este esfuerzo est establecido en la norma, conforme a siete niveles -EAL1 a EAL7- que van desde una somera revisin a una demostracin formal de la seguridad. Si al trmino del trabajo no se encuentran vulnerabilidades explotables, el producto conseguir su certificado Common Criteria.
