Certificados de las API web de Arbiter y Sentinel

Las API web de Specops Password Policy Sentinel y Specops Password Arbiter utilizan certificados de servidor TLS autofirmados gestionados por Specops. Estos certificados se validan a través de la fijación de certificados, autenticando el servidor y protegiendo contra ataques de intermediarios.

Los escáneres de vulnerabilidades pueden marcar los certificados autofirmados porque no están encadenados a una autoridad de certificación de confianza. Esto identifica correctamente el tipo de certificado, pero no tiene en cuenta la fijación de certificados impuesta por Specops. Por lo tanto, un hallazgo de certificado autofirmado por sí solo no demuestra una vulnerabilidad de intermediario.

La fijación de certificados establece confianza en un certificado o clave pública específica. Es una técnica de seguridad establecida adecuada para entornos controlados como estas conexiones internas, donde Specops gestiona tanto el software cliente como los certificados de servidor.

Los servicios públicos de Specops, incluido el sitio de descarga y la API de la nube de Breached Password Protection, utilizan certificados emitidos por CA y validación estándar basada en CA.

Specops gestiona automáticamente los certificados para los puntos finales de las API web de Sentinel y Arbiter y utiliza la fijación de certificados para validar la identidad del servidor. Esta configuración gestionada es necesaria para mantener la relación de confianza prevista entre los componentes de Specops.

Si un escáner de vulnerabilidades informa de un hallazgo basado únicamente en el uso de certificados autofirmados, ese hallazgo debe documentarse como una configuración esperada, con la fijación de certificados registrada como el mecanismo de validación del servidor.