En muchas empresas, asesorías y gestorías, los certificados digitales siguen gestionándose de una forma muy sencilla: alguien recibe un archivo .pfx, lo guarda en una carpeta y, cuando otro empleado necesita utilizarlo, se lo envía por correo electrónico, WhatsApp, USB o se copia directamente en otro ordenador.
A primera vista puede parecer una solución práctica. El problema aparece cuando el número de certificados y usuarios empieza a crecer.
Copiar un certificado digital de un ordenador a otro significa, en la práctica, crear otra copia de un archivo que contiene una clave privada. A partir de ese momento, resulta mucho más difícil saber dónde está, quién tiene acceso a él y quién podría utilizarlo.
¿Qué contiene realmente un archivo PFX?
Un archivo PFX (normalmente con extensión .pfx o .p12) puede contener tanto el certificado digital como su correspondiente clave privada.
La clave privada es la parte especialmente sensible. Es la que permite realizar determinadas operaciones de firma o autenticación en nombre del titular del certificado.
Por eso, un certificado digital no debería tratarse simplemente como un documento más que se puede copiar y enviar entre compañeros.
Cuando una empresa distribuye archivos PFX entre diferentes ordenadores, está distribuyendo también el material necesario para utilizar esos certificados.
El problema de compartir certificados entre varios ordenadores
En una pequeña empresa puede parecer que copiar un certificado una o dos veces no supone ningún problema.
La situación cambia cuando existen decenas o cientos de certificados y varios empleados necesitan utilizarlos.
Entonces empiezan a aparecer situaciones como estas:
- Un certificado está instalado en varios ordenadores.
- Un empleado conserva certificados que ya no necesita.
- Se envían archivos PFX por correo electrónico.
- Se utilizan carpetas compartidas para almacenar certificados.
- Se hacen copias de seguridad de los archivos en diferentes ubicaciones.
- Nadie tiene claro qué ordenador tiene cada certificado.
- Cuando cambia un empleado, hay que revisar manualmente qué certificados tenía.
- Al cambiar de ordenador, hay que volver a instalar y configurar los certificados.
- Se acumulan copias antiguas que pueden quedar olvidadas.
El problema no es únicamente de seguridad. También es un problema de gestión y control.
1. Se pierde el control sobre dónde está cada certificado
Cuando un certificado se encuentra centralizado, existe un único punto desde el que gestionar su acceso.
Cuando se distribuye como archivo PFX, pueden aparecer múltiples copias.
Por ejemplo:
Ordenador de administración → copia 1
Ordenador de dirección → copia 2
Portátil de un empleado → copia 3
Carpeta compartida → copia 4
Copia de seguridad → copia 5
Con el tiempo, puede resultar difícil determinar cuál es la copia actual y dónde se encuentra cada una.
Y lo más importante: borrar una copia de un ordenador no significa necesariamente que el certificado haya desaparecido de todos los demás lugares.
2. Es difícil controlar quién puede utilizar un certificado
Un archivo PFX puede protegerse mediante contraseña, pero esto no resuelve por sí solo el problema de la distribución.
Si un empleado recibe el archivo y dispone de la contraseña necesaria, ese certificado puede quedar fuera del control central de la empresa.
Además, cuando varias personas utilizan el mismo certificado, puede ser complicado determinar quién lo estaba utilizando en un momento concreto.
Esto es especialmente relevante cuando una organización utiliza certificados de diferentes sociedades, clientes o departamentos.
3. Los empleados que cambian de puesto o abandonan la empresa
Este es uno de los problemas que más fácilmente se pasa por alto.
Imaginemos que una empresa tiene varios empleados utilizando certificados digitales y uno de ellos deja la organización.
Si los certificados se gestionan mediante archivos distribuidos, hay que comprobar manualmente:
- Qué certificados tenía instalados.
- En qué ordenadores estaban.
- Si existían copias en otras ubicaciones.
- Si tenía archivos PFX almacenados.
- Si las contraseñas de los certificados eran conocidas.
- Qué accesos deben eliminarse.
Con muchos usuarios y certificados, esta tarea puede convertirse en un proceso manual difícil de controlar.
4. Cambiar de ordenador vuelve a convertirse en un problema
Un ordenador nuevo debería significar simplemente configurar el puesto de trabajo y continuar trabajando.
Sin embargo, cuando los certificados están instalados localmente, el cambio de equipo puede implicar:
- Localizar los certificados necesarios.
- Conseguir los archivos PFX.
- Conseguir sus contraseñas.
- Instalarlos.
- Configurar el navegador o las aplicaciones necesarias.
- Comprobar que funcionan correctamente.
Si una persona necesita acceder a decenas de certificados, el proceso puede ser especialmente tedioso.
Y cada instalación manual es otra oportunidad para cometer un error.
5. Las copias de los certificados se acumulan
Uno de los problemas más habituales de trabajar con archivos es que las copias tienden a multiplicarse.
Un certificado puede terminar almacenado en:
- El ordenador del administrador.
- El ordenador de un empleado.
- Un servidor de archivos.
- Una carpeta compartida.
- Un pendrive.
- Una copia de seguridad.
- Un correo electrónico.
- Un servicio de almacenamiento en la nube.
Aunque algunas de estas ubicaciones puedan estar protegidas, cada copia adicional aumenta la superficie que la empresa debe controlar.
6. Compartir un PFX por correo o mensajería no debería ser el procedimiento habitual
En muchas organizaciones se termina recurriendo a soluciones improvisadas:
“Te envío el certificado por correo.”
“Te lo paso por WhatsApp.”
“Está en la carpeta compartida.”
“Cópialo del ordenador de María.”
Son soluciones que pueden funcionar desde el punto de vista operativo, pero convierten la gestión de certificados en un proceso difícil de controlar.
El problema no es que un archivo PFX sea intrínsecamente inseguro.
El problema es cómo se distribuye, dónde acaba almacenado y quién puede acceder a él.
El problema no es tener certificados: es distribuirlos
Las empresas necesitan utilizar certificados digitales. Eso no va a cambiar.
El problema aparece cuando la solución para que varias personas puedan utilizarlos consiste en crear continuamente nuevas copias de los archivos.
Una forma más eficiente de trabajar es separar dos conceptos:
El certificado debe estar centralizado.
El acceso debe asignarse a cada usuario según sus necesidades.
De esta forma, cuando un empleado necesita utilizar un certificado, no es necesario enviarle una copia del archivo.
¿Cómo debería ser una gestión moderna de certificados digitales?
Una solución de gestión centralizada debería permitir, como mínimo:
Centralizar los certificados
Los certificados se incorporan a una plataforma central en lugar de distribuir archivos manualmente entre diferentes ordenadores.
Revocar accesos
Si un empleado cambia de puesto o deja la empresa, su acceso puede retirarse sin tener que localizar manualmente todas las copias del certificado.
Utilizar los certificados desde diferentes puestos
El usuario debería poder trabajar con los certificados que tiene autorizados desde los equipos en los que trabaja, sin tener que volver a distribuir los archivos.
Mantener el flujo de trabajo habitual
La tecnología debería adaptarse al trabajo de la empresa, no obligar a los empleados a cambiar continuamente su forma de trabajar.
OmniCert: centraliza los certificados y deja de compartir archivos
OmniCert está diseñado precisamente para resolver este problema.
En lugar de distribuir archivos PFX entre los diferentes ordenadores de una organización, los certificados se centralizan y cada usuario puede acceder únicamente a los certificados que tiene autorizados.
El objetivo es sencillo:
dejar de copiar certificados de un ordenador a otro.
Los usuarios pueden trabajar con sus certificados desde aplicaciones habituales como AutoFirma, navegadores y aplicaciones compatibles de la Administración, manteniendo un funcionamiento similar al de un certificado instalado localmente.
De esta forma, cuando se incorpora un nuevo empleado o se cambia de ordenador, no es necesario volver a buscar y distribuir manualmente todos los certificados que necesita.
Menos copias, más control
Centralizar los certificados no solo simplifica el trabajo