Cómo controla Redtrust el uso de los certificados

Descripción general

Redtrust protege y controla el uso de cada certificado digital que está bajo su custodia. Proteger la identidad digital implica más de una capa, y Redtrust se ocupa de una concreta y bien definida. Esta página explica la capa que controla Redtrust, cómo funciona y cómo encaja junto a las demás capas de tu seguridad. Entender estos límites te ayuda a diseñar políticas que aprovechan al máximo la plataforma.

La capa del certificado

Cuando subes un certificado a Redtrust, la plataforma toma la custodia de su clave privada. La clave nunca puede extraerse y el certificado nunca se expone directamente a usuarios ni aplicaciones (consulta Certificados). A partir de ese momento, cada uso del certificado pasa por el agente, y eso es lo que te da el control sobre él:

• Se rastrea cada uso: Cada operación se registra como un evento, lo que te da un historial completo de cuándo y cómo se ha usado cada certificado (consulta Eventos).
• El uso se rige por políticas: Las políticas deciden qué usuarios pueden usar cada certificado, en qué sitios y aplicaciones, y a qué horas (consulta Políticas).
• El acceso se filtra por destino: Cuando el servicio de destino expone URL identificables, las políticas permiten o bloquean el acceso por sitio o por ruta. Para pasarelas o aplicaciones que presentan un único inicio de sesión para varios servicios, consulta Sitios mapeados.

Esta es la capa que Redtrust blinda: un certificado bajo custodia no puede usarse sin pasar por estos controles.

El control empieza con la custodia

El control de un certificado empieza en el momento en que pasa a estar bajo la custodia de Redtrust. Un certificado que vive solo en la máquina de un usuario está, por naturaleza, sin control: se puede copiar, usar sin dejar rastro y es fácil de filtrar. Incorporar ese certificado a Redtrust es precisamente lo que sustituye ese estado sin control por una supervisión centralizada y basada en políticas.

Así que el camino para controlar un certificado es sencillo: súbelo a la plataforma. A partir de ese momento, todo queda protegido, rastreado y controlado.

Dónde encaja Redtrust en tu seguridad

Proteger la identidad digital funciona como un conjunto de capas, cada una gestionada por el sistema más adecuado para ella. Las capas que tú gestionas son:

• Redtrust: Protege la clave privada y controla cómo se usa cada certificado bajo custodia: quién puede usarlo, dónde y cuándo.
• Tus controles de red: Los cortafuegos y los servidores proxy gestionan el tráfico hacia y desde los sitios.

Más allá de las capas que tú gestionas, el servicio de destino (el sitio web o servicio en línea en el que inicias sesión con un certificado, como la AEAT u otro portal de la administración pública) establece sus propias reglas sobre lo que puedes hacer una vez dentro.

En conjunto, estas capas forman una defensa en profundidad, y Redtrust hace de la capa del certificado una capa en la que puedes confiar plenamente.

Qué significa esto en la práctica

Como cada certificado bajo custodia está protegido, rastreado y controlado por políticas, puedes conceder accesos precisos por usuario. Un usuario puede tener permiso para usar un certificado en todo un sitio de la administración pública, mientras que a sus compañeros les restringes el acceso únicamente a los trámites que necesitan y deniegas todo lo demás por defecto: un nivel de control que no existe cuando los certificados están en las máquinas locales.

Acotar el acceso a un único trámite es una cuestión de diseño de políticas y sitios: consulta Acotar el acceso a un trámite específico.

Acotar el acceso a un trámite específico

Permitir o bloquear un trámite concreto es una cuestión de diseño de políticas y sitios dentro de la capa del certificado. Dos características de los sitios de la administración pública determinan cómo hacerlo.

Un trámite puede alcanzarse a través de más de una URL. Un usuario puede abrirlo directamente o llegar a él a través de un trámite relacionado. El filtrado por políticas actúa sobre la URL, así que para acotar un trámite tienes que tener en cuenta todas las rutas que conducen a él: bloquear una sola URL deja las demás abiertas.

Esas URL tienen dos formas:

• Una URL de aplicación dedicada, donde el trámite tiene su propia ruta y el año o la variante es solo un segmento dentro de ella. Una única regla con comodín cubre todas las variantes.
• Un endpoint compartido, donde muchos trámites (o todos los documentos) pasan por la misma ruta y solo se distinguen por un identificador por elemento, como un código de verificación. La ruta por sí sola no identifica nada concreto, así que enumeras cada identificador (por ejemplo, una entrada por ejercicio fiscal). Una regla sobre la ruta compartida sin el identificador bloquearía también elementos no relacionados.

Puedes acotar el acceso desde cualquiera de los dos lados:

• Lista de permitidos: Permite solo los trámites que los usuarios necesitan y deniega el resto por defecto. Es la mejor opción cuando el acceso debe ser restringido. Consulta Cómo definir el acceso a eCAC.
• Lista de bloqueados: Permite el sitio de forma amplia y deniega trámites concretos con una política de mayor prioridad. Es la mejor opción cuando quieres bloquear una excepción. Consulta Cómo restringir el acceso a un trámite de la AEAT.