Uma CA privada é uma autoridade de certificação (CA) específica de uma empresa que funciona como uma CA de confiança pública, mas é executada exclusivamente por -- ou para -- a empresa. Com uma AC privada, uma empresa cria seu próprio certificado raiz privado que pode emitir certificados de entidade final privada para servidores e usuários internos. Certificados emitidos por uma AC privada não são de confiança pública e não devem ser usados fora dos membros e infra-estrutura da empresa.
Uma autoridade certificadora finalmente garante a identidade de cada máquina, usuário ou processo de código na infra-estrutura. Sem esse tipo de identidade forte, ataques são possíveis através dos quais programas de software man-in-the-middle roubam informações ou emitem comandos falsos, potencialmente resultando em perda de dados, violações de segurança, roubo de fundos ou outros problemas. No caso de mecanismos de confiança pública -- como certificados usados para proteger o tráfego da web, e-mail e código distribuído -- os certificados emitidos seguem uma "cadeia" criptográfica até as CAs públicas. No caso de uma CA privada, a empresa se configura como a fonte final da verdade sobre quais dispositivos, usuários ou processos são confiáveis dentro da rede.
No passado, as empresas comumente usavam a ferramenta Microsoft CA para máquinas Windows ou qualquer coisa em a pilha de tecnologia Microsoft. A Microsoft CA era gratuita e integrada com o Active Directory, por isso era bem adequada para grande parte desse uso. Nos últimos anos, entretanto, tendências como suporte a dispositivos móveis (incluindo BYOD), Internet das coisas (IoT), computação em nuvem e DevOps forçaram o uso de sistemas operacionais não-Microsoft em larga escala para aplicações críticas de negócios. Essas arquiteturas exigiram a adoção de outras ofertas privadas de CA, incluindo aplicativos de CA privados pós-venda de fornecedores de segurança de TI.
Os usos comuns de ACs privadas incluem:
- Intranet sites
- Autenticação VPN ou wireless
- Identificação de dispositivos
- Projetos de Internet das Coisas (IoT)
- Comunicações seguras entre serviços internos
- Comunicações interoperáveis entre terceiros, incluindo ambientes em nuvem em containers ou conectados a API.
Por que são importantes os CAs privados?
A necessidade de identidade controlada por certificados dentro da empresa é vasta. muitos dos casos de uso são inadequados para certificados de confiança pública comuns, portanto as empresas devem emitir certificados a partir de sua própria estrutura de confiança para essas circunstâncias. A falha em implementar uma forte prática de identidade para sistemas internos representa um risco inaceitável de roubo de dados ou outras violações catastróficas.
Uma oferta comercial privada de CA pode ajudar uma empresa a reduzir riscos e ajudar a conformidade, seguindo as melhores práticas de infra-estrutura de chave pública (PKI), criptografia e segurança de TI - incluindo o rastreamento e automatização da renovação de certificados implantados. Pode reduzir o tempo de colocação no mercado e aumentar a agilidade dos negócios, permitindo que os administradores de rede gerenciem certificados e práticas em vez de criar sua própria PKI a partir do zero. E pode liberar o tempo dos funcionários para outras tarefas, automatizando a maioria das tarefas administrativas para certificados internos.
O que mais o leitor deve saber sobre CAs privados?
Muitas das arquiteturas que impulsionam o aumento do uso de certificados ainda estão em seus primeiros dias. Containers, multi-cloud, IoT e outras arquiteturas de computação contemporânea estão aumentando o número de certificados exigidos por ordens de magnitude, o que em muitos casos reduz a vida útil do certificado médio em conformidade. Nessas arquiteturas, a automação é um requisito para a implantação e gerenciamento de certificados.