Los mecanismos de actualización de software, es decir, la funcionalidad integrada mediante la cual el software, el firmware y los dispositivos reciben y aplican actualizaciones, son a la vez una infraestructura de seguridad crítica y una superficie de ataque significativa de la cadena de suministro. Un mecanismo de actualización seguro garantiza que solo se apliquen actualizaciones legítimas del proveedor de software auténtico. Un mecanismo de actualización comprometido o mal diseñado es una vía directa del proveedor de software al entorno de producción de la empresa, una vía que, si se explota, permite a un atacante implementar código arbitrario en todos los dispositivos o sistemas que usan ese mecanismo de actualización.
Las propiedades de seguridad del mecanismo de actualización que importan son: verificación de autenticidad (¿la actualización proviene del proveedor legítimo?), verificación de integridad (¿se ha modificado la actualización en tránsito?), seguridad del transporte (¿la actualización se entrega por un canal seguro?), protección contra la reversión (¿puede un atacante obligar a un dispositivo a instalar una versión anterior y vulnerable?) y limitación del acceso privilegiado (¿puede utilizarse un mecanismo de actualización comprometido para obtener un acceso mayor del que la actualización requiere?). Cada una de estas propiedades debe implementarse y mantenerse correctamente, incluidos los certificados y las claves que se utilizan para la verificación de autenticidad.
El riesgo de la actualización automática es la dimensión de gobernanza. Los mecanismos de actualización automática que aplican actualizaciones sin revisión ni aprobación de la empresa introducen software en los entornos de producción sin visibilidad del equipo de seguridad ni proceso de gestión de cambios. En los entornos empresariales en los que los procesos de gestión de cambios rigen qué software se implementa y cuándo, los mecanismos de actualización automática representan un canal de implementación fuera de banda que elude esos procesos. Las actualizaciones automáticas pueden ser adecuadas para algunas categorías de software, en particular las herramientas de seguridad que requieren la implementación inmediata de parches, pero deben ser una decisión de configuración deliberada, no un supuesto activado por defecto.
Por qué es importante
La seguridad de los mecanismos de actualización es importante para TPRM porque los proveedores de software que entregan productos con mecanismos de actualización automática están proporcionando un canal persistente de implementación de código en el entorno de la empresa. La seguridad de ese canal (su verificación de autenticidad, sus controles de integridad y su modelo de gobernanza) determina si el mantenimiento rutinario del software se convierte en un vector de ataque a la cadena de suministro.
- Mecanismos de actualización automática no evaluados junto con la seguridad del software
- Gestión de certificados y claves para la autenticidad de las actualizaciones no evaluada
- Protección contra la reversión no verificada
- Gobernanza del mecanismo de actualización: quién controla qué actualizaciones se aplican y cuándo
- Configuración predeterminada de actualización automática no revisada en la implementación
Cómo se ve una buena práctica
Los programas maduros de seguridad de los mecanismos de actualización evalúan las propiedades de seguridad del mecanismo de actualización de todo el software de proveedores con capacidad de actualización automática, desactivan la actualización automática en los sistemas críticos para la empresa cuya implementación está regida por controles de gestión de cambios y exigen a los proveedores una notificación de actualizaciones fuera de banda antes de que se apliquen.
- Evaluación de la seguridad del mecanismo de actualización: autenticidad, integridad, transporte, reversión
- Revisión de la gobernanza de las actualizaciones automáticas: si la actualización automática es adecuada o debe desactivarse
- Evaluación de la gestión de certificados y claves de la infraestructura de autenticidad de las actualizaciones
- Requisito de notificación de actualizaciones fuera de banda por parte de los proveedores
- Registro de la aplicación de actualizaciones: visibilidad de qué se aplicó y cuándo
Herramientas
Seguridad de las actualizaciones: directrices Platform Firmware Resilience de NIST SP 800-193 para la seguridad de las actualizaciones de firmware; TUF (The Update Framework) para una arquitectura de actualizaciones segura
The Update Framework (TUF) proporciona una arquitectura de seguridad para los sistemas de actualización de software que aborda el compromiso de claves, los ataques de reversión y los ataques de datos infinitos mediante una estructura jerárquica de claves y metadatos delegados. Para los profesionales de TPRM, preguntar si el mecanismo de actualización de un proveedor implementa TUF o principios equivalentes es una pregunta concreta sobre la seguridad del mecanismo de actualización.
Desafíos de gobernanza
El desafío de gobernanza en la seguridad de los mecanismos de actualización es la tensión con la gestión de cambios. Los procesos empresariales de gestión de cambios que rigen la implementación de software pueden entrar en conflicto con los mecanismos de actualización automática de los proveedores, diseñados para garantizar una rápida implementación de parches. La solución de gobernanza es una gobernanza de actualizaciones estratificada según el riesgo: actualización automática adecuada para las herramientas de baja criticidad y revisión obligatoria de gestión de cambios para las actualizaciones de componentes de infraestructura crítica.
- Evaluar la seguridad del mecanismo de actualización de todo el software de proveedores críticos con actualización automática
- Desactivar la actualización automática en la infraestructura crítica cuando rige la gestión de cambios
- Exigir una notificación de actualizaciones fuera de banda antes de que se apliquen
- Auditar el historial de actualizaciones automáticas: qué se ha aplicado automáticamente
- Exigir capacidad de reversión para las actualizaciones de software críticas
Si usted forma parte de un equipo pequeño
Identifique todo el software y el firmware de su entorno que tenga activada la actualización automática. Para cada uno, pregunte: ¿la verificación de autenticidad del mecanismo de actualización automática está al día? En concreto, ¿cuándo se rotó por última vez el certificado de firma y se supervisa para detectar compromisos? ¿Y la actualización automática es el modelo de gobernanza adecuado para este sistema, o las actualizaciones deberían aplicarse mediante su proceso de gestión de cambios? Esas dos preguntas revelan la postura de seguridad del mecanismo de actualización y la alineación de la gobernanza de su parque de software con actualización automática.
- Identificar todo el software y el firmware con la actualización automática activada
- Preguntar a los proveedores por la rotación de los certificados de firma y la supervisión de compromisos
- Revisar si la actualización automática es adecuada para cada sistema crítico
- Implementar la notificación de actualizaciones fuera de banda para el software crítico
Qué exigir
Pregunte directamente:
"¿Cómo se implementa la verificación de autenticidad de su mecanismo de actualización? En concreto, ¿qué infraestructura de certificados o claves se utiliza, con qué frecuencia se rota y si alguna vez se ha visto comprometida? ¿Y su mecanismo de actualización automática admite una programación de actualizaciones controlada por la empresa para los entornos en los que la gestión de cambios rige la implementación?"
Evidencia que debe esperar
- Descripción de la arquitectura de seguridad del mecanismo de actualización
- Política de gestión y rotación de certificados y claves
- Opción de programación de actualizaciones controlada por la empresa
- Proceso de notificación de compromisos de la infraestructura de actualizaciones
A un proveedor que entrega software con actualización automática se le debe preguntar por la seguridad del mecanismo de actualización y por las opciones de gobernanza para la empresa. La actualización automática es un canal de implementación de código. La seguridad de ese canal y la gobernanza sobre lo que implementa determinan si es una comodidad operativa o un riesgo en la cadena de suministro.
Cómo demostrarlo
- Registros de evaluación de la seguridad del mecanismo de actualización
- Revisión de la gobernanza de las actualizaciones automáticas
- Evaluación de la gestión de certificados y claves
- Integración de la gestión de cambios para las actualizaciones de software críticas
Conclusión clave
Actualización automática: activada por defecto. Certificado de firma: comprometido 3 meses antes. Actualizaciones: aplicadas automáticamente, posiblemente comprometidas. Empresa: sin conocimiento de ninguno de los tres puntos. Los mecanismos de actualización automática son canales de implementación de código con acceso de nivel de producción a los dispositivos y sistemas de la empresa. Su seguridad depende de la infraestructura de autenticidad que verifica la legitimidad de las actualizaciones. El compromiso del certificado hace que esa infraestructura no sea fiable. La programación de actualizaciones controlada por la empresa hace que la implementación sea gobernable. Ambas cosas son necesarias para que la actualización automática sea una función de seguridad y no una superficie de ataque a la cadena de suministro.