Infraestructura de clave pública

La infraestructura de clave pública (PKI) es el sistema de políticas, funciones, hardware y software que crea, administra y valida certificados digitales.

Su función principal es vincular una clave pública con una identidad verificada, como un sitio web, una persona o un servidor, para que los demás puedan confiar en ella.

La criptografía de clave pública permite que cualquiera publique una clave pública. Pero ¿cómo puede saber que una clave pertenece realmente a bank.com y no a un atacante?

PKI resuelve este problema haciendo que un tercero de confianza avale la clave mediante la firma de un certificado.

Un certificado digital vincula una clave pública con una identidad. Contiene:

• El nombre del sujeto, por ejemplo, un dominio
• La clave pública del sujeto
• El emisor, es decir, la autoridad que lo firmó
• Las fechas de validez
• La firma digital del emisor

La mayoría de los certificados siguen el estándar X.509. Puede inspeccionar uno con OpenSSL.

Cada certificado se basa en un par de claves asimétricas:

• La clave privada permanece en secreto en el servidor.
• La clave pública se comparte dentro del certificado.

Los datos firmados con la clave privada pueden verificarse con la clave pública, y viceversa.

Una autoridad calcula el hash de los datos del certificado y cifra ese hash con su propia clave privada. Esto constituye la firma.

Cualquiera que tenga la clave pública de la autoridad puede verificar la firma y demostrar que el certificado no ha sido alterado.

PKI incluye varias funciones:

• La Autoridad de Certificación (CA) emite y firma certificados.
• La Autoridad de Registro (RA) verifica las identidades antes de la emisión.
• El Repositorio de certificados almacena y distribuye certificados.
• La parte confiante es cualquier persona que confía en un certificado y lo utiliza.

La confianza comienza con un certificado raíz autofirmado e instalado de antemano en los sistemas operativos y navegadores.

Esta raíz es el ancla de confianza. Si confía en la raíz, puede confiar en todo lo que esta firme correctamente.

Para obtener un certificado, genere una Solicitud de firma de certificado (CSR) que contenga su clave pública e identidad y, después, envíela a una CA.

PKI está presente en todas partes:

• HTTPS / TLS para el tráfico web seguro
• Firma de código para demostrar la autenticidad del software
• Seguridad del correo electrónico mediante S/MIME
• VPN y autenticación de dispositivos

Los certificados tienen un ciclo de vida completo: solicitud, emisión, implementación, renovación y revocación.

Una buena administración de PKI implica controlar las fechas de vencimiento y revocar rápidamente las claves comprometidas. Un certificado descuidado representa un riesgo de seguridad.

¿Cuál es el propósito principal de PKI?

Ha aprendido que PKI vincula las claves públicas con las identidades mediante certificados digitales.

• La confianza fluye desde los certificados raíz instalados de antemano.
• Las CA firman los certificados; las partes confiantes verifican las firmas.
• Los certificados siguen el estándar X.509 y tienen un ciclo de vida completo.

A continuación, veremos las autoridades que emiten estos certificados.