CA private e pubbliche: forse state usando quella sbagliata

Per un team IT sotto pressione, un'autorità di certificazione (CA) pubblica sembra spesso un martello e ogni requisito di cifratura sembra un chiodo. Ma usare una CA pubblica per qualsiasi lavoro è uno dei modi più comuni di mandare in crisi la produzione senza accorgersene.

A che cosa servono le CA pubbliche

Una CA pubblica (come DigiCert, Sectigo o Let's Encrypt) è pensata per uno scenario principale: stabilire la fiducia con dispositivi che non si controllano. L'idea è che gli utenti esterni non debbano configurare nulla dalla loro parte per considerare attendibile il proprio sito o servizio.

Una CA pubblica ha senso quando:

• Si gestiscono servizi rivolti al pubblico per utenti esterni, clienti o partner che non hanno un rapporto di fiducia preesistente con l'organizzazione
• API o servizi esterni si connettono all'infrastruttura senza una configurazione client personalizzata
• Gli errori sui certificati si presenterebbero agli utenti finali come un avviso del browser
• Si firmano messaggi di posta elettronica e i destinatari devono poter verificare la firma senza alcuna configurazione preliminare

Il CA/Browser Forum stabilisce che cosa le CA pubbliche possono emettere. Ci si sottopone quindi a regole che non si controllano e, per molti, è un compromesso ragionevole negli scenari appena descritti. Ricorrere a una CA pubblica può però diventare un problema quando gli stessi certificati vengono usati per l'autenticazione interna.

A che cosa servono le CA private

Una CA privata è una CA gestita internamente, oppure gestita da un fornitore per conto dell'organizzazione. La politica di emissione viene definita dall'organizzazione stessa. I certificati non sono considerati attendibili da nessuna parte per impostazione predefinita. Il certificato radice della CA privata viene distribuito a dispositivi e utenti tramite Criteri di gruppo, Intune o la piattaforma MDM in uso, e da quel momento gli endpoint gestiti considerano attendibili i certificati emessi dalla CA privata.

Una CA privata è la scelta giusta ogni volta che il certificato deve essere considerato attendibile soltanto dalla propria infrastruttura:

• Autenticazione dei dispositivi, per dimostrare che una macchina è gestita e appartiene all'organizzazione
• Autenticazione degli utenti tramite certificato, accesso senza password, equivalenti della smart card o accesso alle applicazioni interne
• Protezione delle connessioni Wi-Fi (802.1X) e VPN
• Configurazione del TLS reciproco (mTLS) tra microservizi di backend
• Firma del codice per strumenti e script interni

Si mantiene il pieno controllo sulla catena di fiducia e sulla politica di emissione, senza dipendere dalla governance di una CA esterna.

CA pubblica o CA privata? Un confronto rapido

Dove nascono i problemi

L'errore più comune dei team IT è usare certificati di CA pubbliche per l'autenticazione interna. Le CA pubbliche non sono mai state pensate per i carichi di lavoro interni e due cambiamenti in corso proprio ora rendono impossibile ignorare questo scarto.

1. Niente più EKU di autenticazione client sul TLS pubblico

I certificati TLS pubblicamente attendibili non possono più contenere l'EKU Client Authentication. Sulla spinta della votazione SC-081 del CA/Browser Forum e degli aggiornamenti dei principali root program, le CA pubbliche stanno eliminando clientAuth in vista del termine ultimo di marzo 2027. Se l'autenticazione interna di dispositivi o utenti si basa su certificati pubblici, quelle configurazioni smetteranno di funzionare al rinnovo successivo.

2. Durata sempre più breve

Le CA pubbliche riducono di continuo le finestre di validità dei certificati. Con SC-081v3 il limite pubblico di validità è fissato a 200 giorni (2026), scende a 100 giorni a marzo 2027 e a 47 giorni entro marzo 2029. Gli strumenti automatici gestiscono senza problemi rinnovi a 90 giorni sui server web pubblici, ma ripetere la registrazione di migliaia di portatili o dispositivi interni ogni sei settimane è un incubo amministrativo.

Una CA privata resta fuori da questi vincoli. Poiché la revoca viene gestita direttamente all'interno del proprio ambiente, non servono durate artificialmente brevi né controlli di convalida esterni. Periodi di validità e regole si stabiliscono in base a ciò che ha senso per il proprio team.

Come decidere quale usare

Per ogni certificato presente nell'ambiente vale la pena chiedersi: si controllano tutti i dispositivi o i client che devono convalidare questo certificato?

• Se sì: conviene una CA privata. Si distribuisce il certificato della Root CA, si controlla che cosa viene emesso e non si è più soggetti a cambiamenti di regole esterni.
• Se no: serve una CA pubblica. Chi si connette dall'esterno senza configurazione preliminare ha bisogno di una CA già considerata attendibile dal proprio dispositivo.

La maggior parte dei reparti IT finisce per averne bisogno di entrambe: certificati pubblici per i servizi rivolti all'esterno, certificati privati per dispositivi, utenti e servizi interni.

Come si inserisce SCEPman

SCEPman è una CA privata cloud-native che si integra con Microsoft Intune ed Entra ID, oltre che con altre piattaforme MDM tramite SCEP ed EST. Si occupa dell'emissione automatica dei certificati per dispositivi e utenti gestiti.

Negli ambienti Intune, SCEPman lega la validità del certificato allo stato di conformità del dispositivo. Un dispositivo che viene azzerato o che esce dalla conformità perde il proprio certificato, con la conseguente interruzione automatica dell'accesso a Wi-Fi, VPN e applicazioni interne.

SCEPman può anche emettere certificati manualmente tramite Certificate Master. Così i reparti IT possono sostituire i certificati delle CA pubbliche nei sistemi interni come portali web, applicazioni e interfacce di gestione dei dispositivi.

Da dove partire

Se non si dispone di una CA privata o si vuole abbandonare la vecchia installazione on-premises di Active Directory Certificate Services (ADCS), è un buon punto di partenza per parlare di SCEPman.

Provate SCEPman di persona

Avviate una prova di 30 giorni per vedere come SCEPman emette e gestisce i certificati di una CA privata per i vostri dispositivi, utenti e servizi interni, senza l'onere di gestire una PKI propria.

Avviate la prova di 30 giorni di SCEPman

Domande frequenti