La pandemia que estamos enfrentando desde principios de 2020, ha acelerado el proceso de digitalización en prácticamente todos los sectores económicos. Con esto, igualmente es de suma importancia la necesidad de reforzar la infraestructura de seguridad de nuestra información y activos más sensibles, así como la de nuestros clientes. El diseño de nuestra infraestructura criptográfica es una parte crítica de la evolución o transformación digital que se ha vuelto el centro de atención de la mayoría de las empresas, especialmente, en el mercado de los proveedores de servicios de confianza e identidad digital.

Precisamente los proveedores de servicios de confianza, son organizaciones que realizan operaciones jurídico-tecnológicas para garantizar la integridad y autenticidad de documentos, firmas, archivos e incluso identidades digitales. Estos proveedores de confianza pudieran ayudarnos a crear, validar y enviar una factura electrónica, además de ser una entidad de confianza entre nuestra empresa y la autoridad fiscal. De igual manera, pudieran otorgarnos una identidad en línea mediante un certificado digital que contiene nuestra información y nuestra huella o identidad digital para realizar operaciones como la de firma de un contrato o la digitalización de nuestro archivo muerto.

Para los proveedores de confianza, como en el caso de una entidad acreditadora (Certification Authority), hemos observado dos principales tendencias de ciberseguridad que han cobrado fuerza para impactar su infraestructura de seguridad. Podemos destacar la implementación de nubes híbridas y equipos con altos estándares de seguridad como lo son los Hardware Security Modules (HSM), con los que, además de cumplir con requerimientos gubernamentales, garantizan a sus clientes la seguridad e integridad del material criptográfico más sensible.

Los HSM han evolucionado desde su creación, dejando de ser equipos grandes y de operación compleja a convertirse en equipos ligeros, dinámicos y de manejo amigable, contribuyendo a la reducción de tiempos y complejidad en la implementación de este tipo de dispositivos. Es así como FutureX ha revolucionado la implementación de los Hardware Security Modules en un entorno corporativo a través de su tecnología para la virtualización de estos equipos criptográficos (HSM Virtual).

En una solución que por su misma naturaleza normalmente ve muy poca innovación o evolución más allá de los estándares exigidos, FutureX ha desarrollado una tecnología innovadora. Con la virtualización de este tipo de soluciones, podemos convertir nuestro HSM físico en hasta 20 HSM Virtuales independientes, brindando una mayor seguridad a nuestra información más sensible. Con cada equipo virtual, obtienes su propia llave maestra, custodios (quorum) y tokens criptográficos independientes, aislando todos los controles de seguridad y acceso a los HSM.

Asimismo, permite la virtualización de servicios criptográficos (manteniendo tanto las políticas de FIPS 140-2 nivel 3, como el cumplimiento de PCI) implementando múltiples entornos con HSM Virtual para la separación de funciones como por ejemplo la emisión/validación de transacciones.

Pasemos de la teoría a la aplicación de esta tecnología en la vida real. Analicemos la implementación de virtualización con diferentes casos de uso.

El proveedor puede hacer más robusta esta arquitectura a través de un HSM Virtual. De esta manera, sobre el mismo dispositivo se podría tener dos o hasta tres instancias de Hardware Security Module y hacer un clúster de HSMs Virtuales para responder al mismo conjunto de aplicaciones, simplemente alternando los distintos servicios del módulo criptográfico, round robin (Fig 2.1). Asimismo, clonando el HSM principal, tendríamos la capacidad de bajar y actualizar un equipo sin afectar el servicio, mientras los otros dos se encuentran en el clúster atendiendo la carga del trabajo. Podemos ir cambiando y actualizando los hardwares de uno en uno y el aplicativo podría seguir manteniendo sin problema una o dos instancias (Fig 2.2).

Otro caso de implementación podría ser un proveedor de confianza ofreciéndole servicios especializados a un cliente que requiere el resguardo de llaves criptográficas ligadas al procesamiento o servicio de algún aplicativo.

El proveedor puede hacer más robusta esta arquitectura a través de un HSM Virtual. De esta manera, sobre el mismo dispositivo se podría tener dos o hasta tres instancias de Hardware Security Module y hacer un clúster de HSMs Virtuales para responder al mismo conjunto de aplicaciones, simplemente alternando los distintos servicios del módulo criptográfico, round robin (Fig 2.1). Asimismo, clonando el HSM principal, tendríamos la capacidad de bajar y actualizar un equipo sin afectar el servicio, mientras los otros dos se encuentran en el clúster atendiendo la carga del trabajo. Podemos ir cambiando y actualizando los hardwares de uno en uno y el aplicativo podría seguir manteniendo sin problema una o dos instancias (Fig 2.2).

Otro caso de implementación podría ser un proveedor de confianza ofreciéndole servicios especializados a un cliente que requiere el resguardo de llaves criptográficas ligadas al procesamiento o servicio de algún aplicativo.

Para poder ofrecer servicios de confianza, se debe implementar un HSM para resguardar las llaves con las que se firman las transacciones más sensibles. Generalmente, este proveedor puede proteger sus llaves por medio de un HSM con certificación FIPS 140-2 Nivel 3, pero en algunos casos las llaves de los usuarios no son protegidas con los mismos niveles de seguridad. En ocasiones éstas son resguardadas en algún directorio del sistema operativo, en una base de datos o en distintos lugares que no le ofrecen al cliente final todas las garantías de seguridad y no repudio sobre sus llaves.

Al tener este servicio de virtualización, proveemos un mayor nivel de seguridad entre las llaves que nos otorga ese cliente para su custodia. Si las almacenamos en una base de datos, directorio o alguna parte del aplicativo, estas quedan expuestas a terceros que podrían acceder a ellas. Con la tecnología de virtualización, podríamos crear para cada cliente su propio HSM Virtual que resguarde exclusivamente sus llaves y tenga una bitácora que registre sus transacciones; esto provee un nuevo nivel de seguridad para ese cliente al separarlo íntegramente de todos los procesamientos de otros clientes o sistemas que tenemos almacenados en nuestro HSM.

Como verás, la implementación de la tecnología de virtualización que ofrece FutureX, puede ayudar a los proveedores de confianza a robustecer su arquitectura de procesamiento y proporcionar a sus clientes un entorno más seguro para las llaves y transacciones sensibles, ofreciéndoles un HSM Virtual sobre el mismo dispositivo con el que opera actualmente.