Google no confia más en Certificados Entrust, ¿Qué significa esto para la industria?

En un movimiento significativo para fortaceler la seguridad de los certificados digitales, Google Chrome ha anunciado su decisión de desconfiar todos los certificados públicos de SSL/TLS emitidos por Entrust, entrando en vigor a partir del 32 de octubre de 2024.

El catalizador para desconfiar

La decisión de Google en desconfiar se basa en una serie de fallos de cumplimiento por parte de Entrust. Hace ya varios meses, Entrust ha experimentado fallas alarmantes, incluyendo retrasos masivos y multiples fallos en el cumplimiento de estandares de seguridad. El Blog de Seguridad de Google señala,

“En los ultimos 6 años, hemos observado y dado seguimiento a un patrón de fallos de cumplimiento, compromisos de mejora incumplidos, y la auscencia de progreso tangible y medible en respuesta a los informes de incidente divulgados públicamente.”

Esta falta de progreso y los problemas constantes justificaron la revocación de la confianza en las raíces públicas de Entrust.

Para que un navegador pueda confiar un Certificado de Autenticación, debe de cumplir con requisitos básicos pero específicos definidos por el Foro de Certificados de Autenticación (CA/Browser Forum). La transparencia es crucial, debido a que un Certificado de Autenticación debe de operar de buena fé con los navegadores para prevenir y solucionar problemas. Una reciente audotoría de raíz indicó que la falta de confianza en la practica de emisión de los certificados TLS de Entrust sirvió como motivación para Google en tomar la decisión de desconfiar los certificados, además de que la noticia no fue de serpresa para la industria.

Qué necesitas hacer si cuantas con certificados de Entrust

Para los negocios y empresas que estén utilizando servicios de certificaciones de Entrust, este desarrollo requiere de acción inmediata. Cualquier sitio web que utilice un certificado de Entrust emitido a partir del 1º de noviembre, Google Chrome lo tomará como un sitio no seguro, y en un futuro próximo los demás navegadores seguirán los mismos pasos.

Esto significa que las compañías deberán de emitir un nuevo certiticado de autenticidad con otro proveedor para antes del 31 de octubre del 2024 para evitar que sus sitios web sean marcados como inseguros. Nosotros le recomendamos a los clientes de Entrust que empiencen con la búsqueda de un nuevo proveedor de certificados SSL y para asegurarse de que no interrumpa o perjudique las actividades de su empresa o negocio cuando ocurra el cambio.

Escogiendo una Autoridad Certificadora reputable

Considerando las fallas de Entrust, las empresas y negocios deben de reasentar sus relaciones con los Autenticadores de Certificados. Un Autenticador de Certificados reputable, debe de demostrar una confianza robusta con estandares industriales, operaciones transparente, y un historial comprobado de ciberseguridad y confiabilidad. Compañías como Sectigo, el cual es el Autenticador de Certificados más escogido en el mundo, ofrece certificados SSL líderes en la industria junto con soluciones integrales en la gestión de ciclo de vida, presentado alternativas viables.

Las opciones de certificaciones SSL/TLS incluyen:

• Certificados EV SSL
• Certificados OV SSL
• Certificados DV SSL
• Wildcard SSL
• SSL Multi-Dominio
• SSL de Un Solo Dominio

Además de proveer certificados SSL, El Gestor de Certificados de Sectigo es una plataforma nativa en la nube que proporciona visibilidad total y gestión de ciclos autómata para certificados tanto públicos como privados.

Impacto en toda la Industria

La decisión que tomó Google tiene implicaciones más altas que la de solo encontrar otro proveedor de Autenticador de Certificados. También resalta el papel crítico de los Autenticadores de Certificados al momneto de mantener la confianza digital y la necesidad constante de cumplir con las medidas de seguridad y estándares estrictos. Los estándares del Foro de Autenticadores de Certificados están establecidas para proteger la integridad de las comunicaciones digitales y las fallas como las que ha hecho Entrust.

¿Qué hacer para el futuro?

• Mayor escrutinio: Es probable que otros Autenticadores de Certificados se enfrenten a un mayor escrutinio, lo que provocará una reevaluación de sus prácticas de cumplimiento y seguridad.
• Mejora de las normas: El Foro de Autenticadores de Certificados puede introducir normas más rigurosas para prevenir incidentes similares, garantizando que las Autenticadores de Certificados se adhieran a los más altos niveles de seguridad y fiabilidad.
• Medidas proactivas: Las empresas deben adoptar medidas proactivas en la gestión de sus certificados digitales, incluidas auditorías periódicas, comprobaciones de cumplimiento y mantenerse informadas sobre la evolución del sector.

A Seguir Adelante

La desconfianza de Google en los certificados SSL/TLS de Entrust es un claro recordatorio del papel crucial que desempeñan las autoridades de certificación en el ecosistema digital. Para las empresas y negocios, este hecho es una llamada a la acción para replantear y fortalecer sus estrategias de seguridad digital, asegurándose de que se asocian con Autenticadores de Certificados fiables y conformes. El sector, por su parte, debe seguir evolucionando, adoptando normas más estrictas y medidas de cumplimiento más sólidas para mantener y mejorar la confianza digital.

Realizar este tipo de transición o cambio puede suponer un reto, pero con las herramientas y los socios adecuados, las empresas y negocios pueden garantizar un cambio sin problemas a los certificados de confianza, salvaguardando sus operaciones y la confianza de los clientes de la era digital. Mediante la automatización de la gestión del ciclo de vida de los certificados y la práctica de la criptoagilidad en toda la empresa, las organizaciones pueden garantizar una migración a los certificados de confianza sin problemas, con las mínimas interrupciones y la máxima seguridad. A medida que el panorama de la criptografía continúa evolucionando con nuevos algoritmos de seguridad cuántica y certificados de 90 días, las organizaciones deben implementar la automatización y convertirse en cripto-ágiles hoy como una mejor práctica para mantener una postura de seguridad resistente.