Comprender el establecimiento de claves públicas y el establecimiento de certificados en Umbrella

Introducción

Este documento describe la fijación de certificados y la fijación de claves públicas en Cisco Umbrella.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en Cisco Umbrella.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Overview

La fijación de certificados es un mecanismo de seguridad de Internet que permite a las aplicaciones resistir la suplantación contra servidores HTTPS que utilizan certificados digitales mal emitidos o fraudulentos de otro modo. Para ello, asocia un servidor a un conjunto definido de claves públicas, que pueden ser las únicas de confianza para las conexiones a ese servidor. Existen dos técnicas para fijar certificados:

• La fijación de clave pública (PKP RFC7469) es un mecanismo obsoleto para activar la fijación de certificados en los navegadores web. Los certificados anclados se envían al explorador mediante encabezados HTTP.
• La fijación de certificados estáticos es el lugar donde una aplicación está codificada para esperar certificados específicos o autoridades de certificados. Algunas aplicaciones de escritorio/móvil utilizan un mecanismo estático de fijación de certificados para ofrecer seguridad adicional.

Cuando estas aplicaciones web son procesadas como proxy por Umbrella, la clave pública proporcionada por Umbrella no coincide, lo que hace que la aplicación cierre la conexión HTTPS. La fijación de certificados se aplica normalmente sólo a aplicaciones de escritorio/móviles porque los exploradores web modernos han eliminado la compatibilidad con PKP.

Compatibilidad con Umbrella SWG

Umbrella omite las direcciones URL conocidas del descifrado SSL para resolver los problemas de fijación de certificados en determinadas circunstancias. La tabla 1 incluye aplicaciones que se han omitido globalmente para todos los clientes de Umbrella. La tabla 1 también incluye otras aplicaciones que se sabía que utilizaban el anclaje de certificados en el momento de escribir este documento. Si está utilizando cualquiera de estas aplicaciones, puede considerar la posibilidad de utilizar los métodos descritos más adelante, por las razones dadas, para omitir la aplicación de la inspección HTTPS. La tabla 2 proporciona más detalles sobre los servicios de aplicación que se tratan en la tabla 1. 

Otras aplicaciones de fijación de certificados

Las aplicaciones se pueden omitir por cliente (por política) para resolver los problemas de fijación de certificados mediante la función Descifrado selectivo de Umbrella. Estas excepciones se pueden implementar fácilmente en función del dominio, el nombre de la aplicación o la categoría; Umbrella SWG incluye una gran biblioteca de aplicaciones en nuestra base de datos de aplicaciones.

En la mayoría de los casos, la decisión de omitir la aplicación corresponde al administrador de TI. La adición de una excepción de descifrado es una contrapartida de seguridad, ya que impide la inspección de archivos y seguridad del contenido web. Se trata de una decisión individual que depende del tipo de aplicación y de las necesidades empresariales. Por ejemplo, si el problema de fijación de certificados afecta únicamente a una aplicación móvil/de escritorio, el administrador puede agregar una excepción para que la aplicación móvil funcione o, en su lugar, puede optar por pedir a los usuarios que utilicen la versión web de la aplicación.

Esta es una tabla de aplicaciones que se omiten globalmente para los clientes de Umbrella y no se requiere ninguna acción o se sabe que se usa el anclaje de certificados en el momento de escribir y no se omite por Umbrella de forma predeterminada. Si utiliza las aplicaciones que no se omiten de forma predeterminada, puede considerar el uso de los métodos descritos anteriormente, por las razones dadas, para omitir la aplicación de la inspección HTTPS.

Tabla 1 - Aplicaciones que pueden utilizar fijación de certificados

Tabla 2: Detalle deServicios omitidos globalmente, como se muestra en la tabla 1

Para obtener ayuda adicional, consulte Solución de problemas de aplicaciones que no son de navegador o póngase en contacto con el servicio de asistencia técnica de Umbrella. Las solicitudes pueden ser consideradas para ser agregadas a nuestra lista global de desvío después de haber sido revisadas por el equipo de ingeniería.