Comprensión de Cisco SUDI: Identidad de Dispositivo Basada en Hardware en el Control de Acceso a la Red

Comprendiendo Cisco SUDI: Identidad de Dispositivo Basada en Hardware para el Control de Acceso a la Red Un informe técnico de Purple - Guion completo del podcast (aprox. 10 minutos) --- SEGMENTO 1: INTRODUCCIÓN Y CONTEXTO (aprox. 1 minuto) Hola y bienvenidos a un informe técnico de Purple. Voy a dedicar los próximos diez minutos a explicarles qué es exactamente Cisco SUDI - Secure Unique Device Identifier -, cómo encaja en su arquitectura de control de acceso a la red y qué deben hacer al respecto si gestionan infraestructura Cisco a gran escala. Este contenido está dirigido a arquitectos de red, responsables de TI y directores de tecnología en establecimientos - hoteles, cadenas de tiendas, estadios, centros de conferencias -, es decir, en cualquier lugar donde dispongan de WiFi empresarial y necesiten tener la total seguridad de que el hardware de su red es exactamente lo que dice ser. Comencemos por el problema que resuelve SUDI. En la red de cualquier gran recinto, se cuenta con decenas o cientos de puntos de acceso, switches y controladores. La pregunta de la que depende su nivel de seguridad es: ¿cómo saber que cada uno de esos dispositivos es un producto Cisco original y sin modificar, y no una falsificación, una unidad comprometida o un equipo que ha sido manipulado durante el transporte? Ese es el vacío que cubre SUDI. --- SEGMENTO 2: ANÁLISIS TÉCNICO DETALLADO (aprox. 5 minutos) SUDI significa Secure Unique Device Identifier (identificador único y seguro de dispositivo). Se trata de un certificado X.509 versión 3 - el mismo formato de certificado que se utiliza en HTTPS y TLS -, pero en lugar de emitirse para una persona o un servidor, se emite para una pieza de hardware específica durante su fabricación. Contiene el identificador de producto y el número de serie del dispositivo, y tiene su origen en la propia infraestructura de clave pública de Cisco. Esto es lo que diferencia a SUDI de un certificado de software que podría instalar uno mismo. El certificado SUDI, junto con su par de claves asociado, reside dentro de un chip resistente a la manipulación llamado módulo Trust Anchor, o TAm. La clave privada se genera dentro de ese chip y nunca sale de él. No se puede exportar. No se puede clonar. Si alguien manipula físicamente el chip, la clave se destruye. Esa es la raíz de confianza basada en hardware. SUDI es la implementación que hace Cisco del estándar IEEE 802.1AR, el estándar de la industria para Identificadores Seguros de Dispositivo, o DevIDs. Bajo el estándar 802.1AR, la credencial instalada por el fabricante se denomina Initial Device Identifier, o IDevID. El SUDI de Cisco es exactamente eso: un IDevID que Cisco instala en fábrica. Puede complementarlo con un Locally Significant Device Identifier, o LDevID, que emite su propia PKI para las políticas de autorización locales. Ahora bien, ¿cómo se integra esto en el control de acceso a la red? El punto de integración más común es IEEE 802.1X, el estándar de control de acceso a la red basado en puertos. Cuando un punto de acceso o switch Cisco se conecta, puede presentar su certificado SUDI a un servidor RADIUS - normalmente Cisco ISE, Identity Services Engine - utilizando EAP-TLS, que es el Protocolo de Autenticación Extensible con Seguridad en la Capa de Transporte. El servidor RADIUS valida el certificado frente a la entidad de certificación pública de Cisco, confirma que el dispositivo es genuino y, a continuación, aplica la política de red adecuada. Esto es considerablemente más robusto que la omisión por dirección MAC, que es la alternativa que la mayoría de las redes utilizan para los dispositivos de infraestructura. Las direcciones MAC se pueden suplantar en menos de un minuto. Un certificado vinculado al hardware en un chip resistente a manipulaciones no se puede suplantar sin destruir físicamente el dispositivo. En el contexto de un recinto, esto importa por tres razones. En primer lugar, elimina el riesgo de que puntos de acceso no autorizados se unan a su red. Un dispositivo falsificado o no autorizado sencillamente no puede presentar un SUDI válido. En segundo lugar, permite un aprovisionamiento automatizado y sin intervención (Zero Touch Provisioning): un nuevo dispositivo se envía a su recinto, se enciende, presenta su SUDI y su sistema de gestión lo verifica con su inventario antes de aplicar la configuración. Sin intervención manual. En tercer lugar, le proporciona un registro de auditoría verificable criptográficamente. Cada dispositivo que se autenticó en su red lo hizo con un certificado que demuestra que es un producto Cisco específico y designado. Permítame hablar del módulo Trust Anchor con un poco más de detalle, ya que es la base sobre la que se asienta todo lo demás. El TAm es un chip propietario de Cisco que proporciona tres cosas: almacenamiento seguro no volátil para el SUDI y las claves, servicios criptográficos que incluyen la generación de números aleatorios y la huella dactilar de hardware. Cabe destacar esto último: Cisco registra la huella dactilar de los componentes de hardware críticos de un dispositivo durante su fabricación y la almacena en el TAm. Cuando el dispositivo arranca, compara la huella dactilar de hardware detectada con la almacenada. Si no coinciden, el dispositivo no arranca. De este modo se detecta la manipulación del hardware en tránsito, una preocupación real en los despliegues de grandes recintos donde el hardware puede pasar por múltiples manos antes de su instalación. Un aspecto operativo que debe tener en cuenta: los certificados SUDI emitidos antes de mayo de 2019 caducan a los diez años de la fecha de fabricación o el 14 de mayo de 2029, lo que ocurra primero. Cisco ha solucionado esto con una nueva generación de certificados denominada SUDI-2099, válidos hasta diciembre de 2099. Si tiene hardware de la serie Catalyst 9000 fabricado antes de 2019, debe comprobar ya las fechas de caducidad de su SUDI. El comando es show crypto pki certificate en IOS-XE. Busque el punto de confianza CISCO_IDEVID_SUDI y compruebe la fecha de finalización. Si utiliza Catalyst 9200, actualice a IOS-XE 17.12.2 o posterior para asegurarse de que está utilizando el certificado 2099 correcto. - - - SEGMENTO 3: RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES (aprox. 2 minutos) Permítame ofrecerle una perspectiva de la implementación práctica. Si está desplegando una autenticación basada en SUDI en el entorno de un recinto, esta es la secuencia que funciona. Comience con su infraestructura RADIUS. Cisco ISE es la opción natural si ya se encuentra en el ecosistema de Cisco, pero cualquier servidor RADIUS que admita EAP-TLS y pueda realizar la validación frente a una CA externa funcionará. Debe importar la CA raíz de Cisco y los certificados de la CA SUDI ACT2 en el almacén de confianza de su RADIUS. Estos están disponibles públicamente en el portal PKI de Cisco. A continuación, configure su política 802.1X para requerir autenticación basada en certificados para los dispositivos de infraestructura. Separe esto de su política de autenticación de usuarios finales: los flujos de autenticación de empleados y de invitados son diferentes y deben estar en conjuntos de políticas distintos en ISE. Para nuevos despliegues, habilite Zero Touch Provisioning. Su sistema de gestión de red - Cisco DNA Centre o Catalyst Centre - puede utilizar SUDI para verificar la identidad del dispositivo antes de aplicar la configuración. Esto elimina el proceso de puesta en marcha manual y reduce el tiempo de aprovisionamiento de horas a minutos por dispositivo. Ahora, los errores comunes. El más frecuente que observo es mezclar la autenticación SUDI con la omisión de dirección MAC en el mismo puerto. Si recurre a MAB cuando SUDI falla, habrá debilitado el modelo de seguridad. Defina una política clara: los dispositivos compatibles con SUDI deben autenticarse mediante SUDI, sin excepciones. Los dispositivos que no sean SUDI pasan a una VLAN de cuarentena a la espera de una revisión manual. El segundo error es la caducidad del certificado. Configure ahora mismo la supervisión de las fechas de caducidad de SUDI en todo su parque informático. No espere a que se produzca una interrupción del servicio para descubrir que sus puntos de acceso ya no pueden autenticarse. La plataforma de Purple se integra con Cisco Meraki y otros proveedores de hardware para mostrar las señales de estado de los dispositivos - incluido el estado de autenticación - en un único panel de control, lo que hace que este tipo de supervisión proactiva sea práctica a gran escala. El tercer error es la desviación del alcance. SUDI autentica el dispositivo de hardware. No autentica al usuario que se conecta a través de ese dispositivo. Sigue necesitando una capa de identidad independiente para invitados, empleados y residentes. Ahí es donde se sitúa una plataforma como Purple: nosotros gestionamos la capa de identidad humana, la captura de consentimiento, la asignación de VLAN para el tráfico de invitados y las analíticas, mientras que SUDI se encarga de la capa de infraestructura subyacente. - SEGMENTO 4: PREGUNTAS Y RESPUESTAS RÁPIDAS (aprox. 1 minuto) Permítame repasar tres preguntas que me hacen con regularidad. ¿Reemplaza SUDI mi PKI existente? No. SUDI es un IDevID instalado por el fabricante. Demuestra que el dispositivo es hardware original de Cisco. Su PKI empresarial emite LDevIDs y certificados de usuario para todo lo demás. Funcionan en paralelo. ¿Puedo utilizar SUDI en hardware que no sea de Cisco? No. SUDI es específico de Cisco. HPE Aruba tiene un equivalente llamado certificados de aprovisionamiento IAP. Ruckus y Juniper Mist tienen sus propios mecanismos de identidad de dispositivos. El estándar subyacente - IEEE 802.1AR - es neutro respecto al proveedor, pero cada fabricante lo implementa de manera diferente. ¿Qué ocurre cuando caduca un certificado SUDI? Los servicios que dependen de SUDI para la autenticación (HTTPS, SSH con autenticación de certificado, Zero Touch Provisioning) fallarán. El propio dispositivo sigue funcionando, pero ya no puede probar su identidad de forma criptográfica. Por eso es tan importante la migración a SUDI-2099. - SEGMENTO 5: RESUMEN Y PRÓXIMOS PASOS (aprox. 1 minuto) Para resumir: Cisco SUDI le proporciona una identidad de dispositivo con raíz de hardware que no se puede suplantar, clonar ni exportar. Es la base de una capa de infraestructura fiable. Combinado con IEEE 802.1X y una política RADIUS bien configurada, elimina el riesgo de dispositivos no autorizados y permite el aprovisionamiento automatizado a escala. Sus tres acciones inmediatas: una, audite su parque de Cisco para comprobar las fechas de caducidad de SUDI mediante show crypto pki certificate. Dos, importe la CA raíz de Cisco en su almacén de confianza RADIUS y configure políticas EAP-TLS para los dispositivos de infraestructura. Tres, separe su política de autenticación de infraestructura de su política de autenticación de usuario final: sirven para propósitos diferentes y deben gestionarse de forma independiente. Si desea profundizar en cómo se integra Purple con Cisco Meraki y otros proveedores de hardware para ofrecer una segmentación de red basada en la identidad para invitados, personal y residentes, visite purple.ai o lea las guías relacionadas enlazadas debajo de este episodio. Gracias por escuchar. Nos vemos en el próximo informe. - FIN DEL SCRIPT