Cómo asegurar claves criptográficas en entornos hostiles

Cuando se trata de proteger sus datos confidenciales, el cifrado se reconoce universalmente como un requisito, pero no es una bala de plata para la seguridad. El talón de Aquiles del cifrado es el clave criptográfica. Los atacantes buscan estas claves criptográficas, ya que permiten el acceso a los datos cifrados. Básicamente, si usted obtiene la clave, obtiene los datos.

¿Cómo roban los atacantes las claves de cifrado?

La mayoría de las organizaciones son vulnerables a los ataques de robo de claves por dos razones:

  • Implementaciones criptográficas que no tienen en cuenta entornos hostiles: Esto es particularmente cierto para los teléfonos inteligentes y otros dispositivos móviles; El código binario de la aplicación está disponible en las tiendas de aplicaciones para que los delincuentes lo estudien y manipulen. Los piratas informáticos pueden realizar aplicaciones de ingeniería inversa fácilmente para capturar claves de cifrado y obtener acceso a los datos.
  • Las malas prácticas conducen a la exposición de claves al almacenar y usar claves: Este es un problema común y preocupante. Cuando Marriott International fue violado en 2018 sus claves de cifrado, así como sus datos, se vieron comprometidos. Sus claves se habían almacenado en el mismo servidor con los datos que debían proteger. Para poner esto en perspectiva, es peor que dejar la llave de la casa debajo del tapete, es como dejar la llave en la puerta para que cualquiera la abra.

De hecho, la gestión de claves es un problema de ciberseguridad creciente y difícil de resolver en muchas empresas, según un Informe del Ponemon Institute. En 2020, el 69 % de las empresas estaban preocupadas por la gestión de las claves de cifrado, frente al 67 % del año anterior. Más de una cuarta parte de las empresas encuestadas mencionaron la administración y el almacenamiento de claves como un desafío importante en su estrategia de encriptación de datos y más de la mitad dijo que la administración de claves es «muy dolorosa».

Criptografía de caja blanca es un enfoque de software muy sólido para proteger las claves criptográficas en entornos hostiles. Una biblioteca de un solo C sencilla y potente, que se puede incluir en casos de uso de sistemas móviles, de escritorio, en la nube y de sistemas integrados.

¿Qué es la criptografía de caja blanca?

Transformaciones de criptografía de caja blanca claves criptograficas utilizado en implementaciones de software de propósito general. Eso significa que incluso si un atacante obtiene el control de un dispositivo y el entorno de ejecución de su aplicación, no podrá ver sus claves o datos cifrados, incluso si el dispositivo está rooteado o liberado.

Si bien cada proveedor implementa la criptografía de caja blanca de manera diferente, el principio central es el mismo: la criptografía de caja blanca combina métodos de encriptación y ofuscación para incrustar claves criptográficas y cifrados dentro del código de la aplicación para que tanto el código como las claves de cifrado parezcan indistinguibles para un atacante. Esto evita que esas claves se encuentren o se extraigan de la aplicación. La criptografía de caja blanca está diseñada para proteger las claves criptográficas y las operaciones criptográficas en entornos hostiles, por diseño asume que el atacante tiene el control total del sistema y asume que está siendo atacado directamente en todo momento.

¿Quién necesita criptografía de caja blanca?

La mayoría de las organizaciones pueden beneficiarse de la criptografía de caja blanca, especialmente en los siguientes escenarios:

  • Cualquier organización con una aplicación valiosa: La mayoría de las organizaciones tienen aplicaciones móviles que a menudo son una pieza esperada de la pila de tecnología de una empresa. Si bien las aplicaciones móviles son un gran beneficio tanto para las personas como para las empresas, también son vulnerables a los piratas informáticos. Los delincuentes no solo pueden acceder a los archivos binarios a través de la tienda de aplicaciones, sino que muchas aplicaciones se basan en claves criptográficas que se generan en el backend (por ejemplo, en un HSM), pero se utilizan sin protección dentro de la aplicación móvil del teléfono. Si un atacante rootea o hace jailbreak al dispositivo, puede hacerse con las claves fácilmente. Mediante el uso de criptografía de caja blanca, los equipos de desarrollo pueden emplear una fuerte seguridad de clave dentro de la aplicación de una manera independiente del hardware y protegerse contra las vulnerabilidades que plantean el hardware no compatible y los dispositivos comprometidos.
  • Organizaciones que migran a la nube: Cuando las aplicaciones son puramente locales, la organización suele tener un almacén de claves con hardware dedicado instalado en su propio centro de datos. El hardware se utiliza para almacenar la clave y realizar cualquier función criptográfica. También tienden a confiar en su perímetro, y el cambio a la nube cambia ese nivel de confianza. Como parte del proceso de migración a la nube, las empresas deben elegir quién administrará y almacenará las claves criptográficas utilizadas para cifrar los datos almacenados en la nube. Un método para hacer esto es el enfoque Hold Your Own Key (HYOK). Con este enfoque, la organización genera, administra y almacena claves de cifrado en su propio entorno. El proveedor de la nube no tiene acceso a las claves y no puede acceder al contenido de los archivos cifrados. La criptografía de caja blanca permite a las organizaciones proteger las claves y los secretos dentro de las aplicaciones, incluso cuando se ejecutan en entornos de proveedores de nube pública de múltiples inquilinos.

Proteja sus claves de cifrado con zKeyBox de Zimperium

los gestión segura de claves criptográficas es una pieza crucial de la encriptación y la estrategia general de seguridad de datos. Entonces, ya sea que sus claves criptográficas estén almacenadas en sus aplicaciones móviles o en algún lugar de su backend, se debe usar criptografía de caja blanca para proteger sus claves.

de Zimperium zKeyBox proporciona criptografía de caja blanca para proteger contra ataques de robo de claves. Las claves criptográficas nunca se revelan en texto sin formato; ni en disco, ni en memoria, ni en tránsito, ni siquiera durante la ejecución de operaciones criptográficas. Esto hace que sea extremadamente difícil para los atacantes ubicar, modificar o extraer claves. zKeyBox también le permite tener su propia llave; su aplicación puede ejecutarse en una nube pública de múltiples inquilinos, pero sus claves estarán protegidas de los atacantes que quieren comprometerlo a través de terceros.

Con la criptografía de caja blanca de Zimperium, los equipos de desarrollo de aplicaciones pueden promulgar una protección de claves sólida e independiente del hardware comprobada que protege sus claves contra los ataques de extracción de claves y las vulnerabilidades que plantean el hardware no compatible y los dispositivos comprometidos. Contáctenos para obtener una demostración personalizada y obtener más información sobre cómo Zimperium protege las claves criptográficas.

Deja un comentario