Glosario
Autenticación por certificado
La autenticación por certificado sustituye la contraseña por un certificado digital instalado en el dispositivo, con su clave privada guardada en el almacén seguro del sistema. El usuario no teclea nada y no hay secreto que se pueda pescar por phishing, lo que la convierte en la forma más limpia de autenticar dispositivos gestionados.
Cómo funciona
Una autoridad de certificación emite un certificado que vincula una identidad (un usuario, un dispositivo) a una clave pública. La clave privada se genera en el propio dispositivo y no sale de él, protegida por el Secure Enclave en Apple, por el Keystore respaldado por hardware en Android o por el TPM en Windows. Para autenticarse, el dispositivo firma un reto con esa clave y el servidor verifica la firma contra la cadena de confianza.
El reparto masivo lo hace el MDM. El protocolo habitual es SCEP, veterano y universalmente soportado, con su debilidad conocida: la contraseña compartida de inscripción. Apple introdujo ACME en sus sistemas de 2023, con atestación de que la clave reside de verdad en el hardware del dispositivo, lo que cierra el hueco de una solicitud emitida desde un equipo distinto. Donde pueda usar ACME, úselo.
Los usos típicos son cuatro: wifi corporativo con EAP-TLS, VPN, acceso a aplicaciones internas con TLS mutuo y firma o cifrado de correo. En todos, el certificado prueba algo que una contraseña no puede probar: que la petición sale de este dispositivo concreto.
Lo que más duele en producción es la caducidad. Un certificado wifi que expira en 200 terminales el mismo día deja a 200 personas sin red. La renovación automática por MDM, iniciada con semanas de antelación, no es un lujo.
Por qué importa para una flota
En el wifi corporativo la diferencia es drástica. Una clave WPA2 compartida escrita en una pizarra, que circula por WhatsApp y que nadie cambia desde 2022, frente a EAP-TLS con un certificado por dispositivo, revocable uno a uno. Cuando alguien se va, usted revoca su certificado y punto.
En el plano de zero trust, el certificado de dispositivo es la señal más sólida que puede aportar: no es una afirmación del usuario, es una prueba criptográfica de identidad del equipo, combinable con el estado de cumplimiento.
La contrapartida es operativa, no técnica. Necesita una autoridad de certificación que alguien mantenga, una política de caducidad coherente y un procedimiento de revocación que funcione de verdad. Muchas organizaciones montan la emisión y nunca prueban la revocación.
Cómo lo gestiona Appaloosa
Appaloosa distribuye certificados de usuario y de dispositivo a los terminales inscritos mediante los perfiles correspondientes, con renovación antes de la caducidad y retirada cuando el dispositivo deja de estar gestionado. Esos certificados alimentan el wifi con EAP-TLS, la VPN, incluida la VPN por aplicación, y el acceso a sus aplicaciones internas, junto al resto de las políticas de seguridad y de cumplimiento descritas en la página de gestión de dispositivos móviles.
Explorar
Toda la plataforma
Inscripción, apps, seguridad, soporte remoto: todo en un lugar.
Explorar Appaloosa →Vea Appaloosa en su parque Reservar una demo