Autoridades certificadoras

Una Autoridad de Certificación (CA) es una organización de confianza que emite y firma digitalmente certificados.

Cuando una CA firma un certificado, está afirmando: hemos verificado esta identidad y puede confiar en esta clave pública.

Los navegadores y sistemas operativos incluyen una lista integrada de CA raíz de confianza.

Como todo el mundo ya confía en estas raíces, un certificado firmado por ellas recibe confianza automáticamente, sin necesidad de configuración manual.

Las CA funcionan según una jerarquía:

• La CA raíz se mantiene desconectada y se utiliza en raras ocasiones; es el ancla de confianza definitiva.
• Las CA intermedias están firmadas por la raíz y realizan las operaciones de firma cotidianas.

Esto protege de la exposición a la valiosa clave raíz.

Las CA verifican la identidad con distintos niveles de rigor:

• La validación de dominio (DV) solo demuestra el control de un dominio.
• La validación de organización (OV) verifica que la organización existe.
• La validación extendida (EV) realiza una comprobación legal exhaustiva.

Para la validación de dominio, la CA le solicita demostrar que controla el dominio, a menudo proporcionando un token en una URL o añadiendo un registro DNS.

Una CA pública, como un proveedor comercial, goza de la confianza de los navegadores de todo el mundo.

Una CA privada es administrada internamente por una organización para sus propios dispositivos y servicios. Su raíz debe instalarse manualmente en cada cliente que deba confiar en ella.

Let's Encrypt es una CA pública, gratuita y automatizada. Utiliza el protocolo ACME para que los clientes puedan solicitar y renovar certificados sin intervención humana.

La lista de CA raíz de confianza se encuentra en un almacén de confianza.

• Los sistemas operativos mantienen un almacén de confianza del sistema.
• Los navegadores pueden utilizar el suyo propio.

Puede inspeccionar las raíces de confianza en muchos sistemas Linux.

Si roban la clave de firma de una CA o esta emite certificados fraudulentos, todo el modelo de confianza se desmorona.

Algunos incidentes del pasado han llevado a los navegadores a desconfiar de CA completas, invalidando al instante todos sus certificados. Por eso la seguridad de las CA es de máxima importancia.

La Transparencia de certificados (CT) exige que las CA registren cada certificado que emiten en registros públicos a los que solo se puede añadir información.

Esto permite a los propietarios de dominios detectar certificados emitidos para su dominio sin autorización y descubrir certificados fraudulentos o emitidos incorrectamente.

Al elegir una CA, tenga en cuenta:

• Cobertura de confianza en navegadores y dispositivos
• Compatibilidad con la automatización, como ACME
• Nivel de validación necesario, DV, OV o EV
• Costo y asistencia

Ha aprendido que las Autoridades de Certificación emiten y firman certificados en los que confían los navegadores.

• La confianza fluye desde las raíces desconectadas a través de las intermedias.
• La validación tiene niveles DV, OV y EV.
• La Transparencia de certificados registra las emisiones incorrectas.

A continuación, seguiremos la cadena de confianza desde un certificado hoja hasta la raíz.