Skip to main content

Glosario

Autenticación por certificado

La autenticación por certificado sustituye la contraseña por un certificado digital instalado en el dispositivo, con su clave privada guardada en el almacén seguro del sistema. El usuario no teclea nada y no hay secreto que se pueda pescar por phishing, lo que la convierte en la forma más limpia de autenticar dispositivos gestionados.

Cómo funciona

Una autoridad de certificación emite un certificado que vincula una identidad (un usuario, un dispositivo) a una clave pública. La clave privada se genera en el propio dispositivo y no sale de él, protegida por el Secure Enclave en Apple, por el Keystore respaldado por hardware en Android o por el TPM en Windows. Para autenticarse, el dispositivo firma un reto con esa clave y el servidor verifica la firma contra la cadena de confianza.

El reparto masivo lo hace el MDM. El protocolo habitual es SCEP, veterano y universalmente soportado, con su debilidad conocida: la contraseña compartida de inscripción. Apple introdujo ACME en sus sistemas de 2023, con atestación de que la clave reside de verdad en el hardware del dispositivo, lo que cierra el hueco de una solicitud emitida desde un equipo distinto. Donde pueda usar ACME, úselo.

Los usos típicos son cuatro: wifi corporativo con EAP-TLS, VPN, acceso a aplicaciones internas con TLS mutuo y firma o cifrado de correo. En todos, el certificado prueba algo que una contraseña no puede probar: que la petición sale de este dispositivo concreto.

Lo que más duele en producción es la caducidad. Un certificado wifi que expira en 200 terminales el mismo día deja a 200 personas sin red. La renovación automática por MDM, iniciada con semanas de antelación, no es un lujo.

Por qué importa para una flota

En el wifi corporativo la diferencia es drástica. Una clave WPA2 compartida escrita en una pizarra, que circula por WhatsApp y que nadie cambia desde 2022, frente a EAP-TLS con un certificado por dispositivo, revocable uno a uno. Cuando alguien se va, usted revoca su certificado y punto.

En el plano de zero trust, el certificado de dispositivo es la señal más sólida que puede aportar: no es una afirmación del usuario, es una prueba criptográfica de identidad del equipo, combinable con el estado de cumplimiento.

La contrapartida es operativa, no técnica. Necesita una autoridad de certificación que alguien mantenga, una política de caducidad coherente y un procedimiento de revocación que funcione de verdad. Muchas organizaciones montan la emisión y nunca prueban la revocación.

Cómo lo gestiona Appaloosa

Appaloosa distribuye certificados de usuario y de dispositivo a los terminales inscritos mediante los perfiles correspondientes, con renovación antes de la caducidad y retirada cuando el dispositivo deja de estar gestionado. Esos certificados alimentan el wifi con EAP-TLS, la VPN, incluida la VPN por aplicación, y el acceso a sus aplicaciones internas, junto al resto de las políticas de seguridad y de cumplimiento descritas en la página de gestión de dispositivos móviles.

Explorar

Toda la plataforma

Inscripción, apps, seguridad, soporte remoto: todo en un lugar.

Explorar Appaloosa

Vea Appaloosa en su parque Reservar una demo

Preguntas frecuentes

¿Un certificado cuenta como factor de autenticación?
Cuenta como algo que el dispositivo tiene, y es un factor fuerte porque la clave privada no sale del hardware. Muchas organizaciones lo combinan con el desbloqueo biométrico del terminal, y así obtienen dos factores sin pedir códigos al usuario.
¿SCEP o ACME?
ACME si su plataforma lo soporta, porque añade atestación de que la clave reside realmente en el hardware del dispositivo y elimina el problema de la contraseña compartida de inscripción de SCEP. Apple lo incorporó en sus sistemas de 2023. SCEP sigue siendo la opción universal donde ACME no llega.
¿Qué ocurre cuando caduca un certificado?
El servicio que lo usa deja de funcionar, y si era el del wifi, el dispositivo se queda sin red. Configure la renovación automática desde el MDM con semanas de margen y vigile el informe de caducidades próximas. Es la causa más habitual de incidencias masivas con certificados.