Tema 21 4 Las autoridades y el sistema de confianza de PKI
Administración de claves públicas
Al establecerse una conexión asimétrica entre dos hosts, estos intercambian su clave pública. Un certificado SSL es un certificado digital que confirma la identidad de un dominio de una web y, para adquirir uno propio, se debe comprar a una Autoridad de Certificados (CA) de confianza. Al solicitar la compra, el proveedor investiga exhaustivamente la web, y emite el certificado digital tras ello.
No obstante, no todos los certificados se reciben directamente de una CA, existen las Autoridades de Registro (RA), que son CA secundarios certificados por CA primarios para emitir certificados para usos específicos.
Así, cuando alguien intenta conectarse a ese sitio web certificado, el navegador comprueba dicho certificado. Después, lo guarda localmente junto con la clave pública incluida en él para transacciones futuras y, por último, procede con la validación para comprobar que la autenticidad del sitio web.
| TÉRMINO | DEFINICIÓN |
| Infraestructura de Claves Públicas (PKI) | Especificaciones, sistemas y herramientas utilizadas para crear, administrar, almacenar, distribuir y revocar certificados digitales. |
| Autoridad de Certificados (CA) | Organización que crea certificados digitales vinculando una clave pública a una identificación confirmada, como un sitio web o un individuo. |
| Ejemplos de CA | IDentrust, DigiCert, Sectigo, GlobalSign, GoDaddy, Let’s Encrypt (sin fines de lucro que ofrece certificados gratuitos). |
| Tarifas por Servicios | Algunas CA, como IDentrust, DigiCert, Sectigo, GlobalSign y GoDaddy, pueden cobrar una tarifa por sus servicios. |
| CA sin Fines de Lucro | Let’s Encrypt ofrece certificados de forma gratuita y opera como una CA sin fines de lucro. |
| Objetivo de la PKI | Salvaguardar identidades digitales contra el hacking, incluyendo amenazas sofisticadas o estados nacionales. |
La infraestructura de claves públicas (PKI)
La Infraestructura de Claves Públicas (PKI) es un sistema complejo utilizado para crear, administrar, almacenar, distribuir y revocar certificados digitales. Así, se salvaguardan las identidades digitales contra el hacking.
Principales elementos de la PKI:
- Sus certificados contienen una clave pública de una entidad o una persona, su propósito, la autoridad certificadora que validó y emitió el certificado, el plazo durante el cual el certificado se puede considerar válido y el algoritmo utilizado para crear la firma.
- El almacén de certificados reside en un ordenador local y almacena certificados emitidos y claves privadas
- La autoridad de certificación (CA) de PKI es un tercero de confianza que emite certificados PKI a entidades y personas luego de verificar sus respectivas identidades. Éste firma esos certificados usando su clave privada.
- En la base de datos de certificados se almacenan todos los certificados aprobados por la CA.
Cada certificado digital PKI contiene la clave pública de la entidad o persona, el propósito del certificado, la CA que validó y emitió el certificado, el plazo de validez y el algoritmo de encriptación utilizado. Veamos un ejemplo de los elementos principales de la PKI
La siguiente figura muestra cómo interoperan los elementos de la PKI:
- Bob ha recibido su certificado digital de la CA. Este certificado se utiliza cada vez que Bob se comunica con otras partes.
- Bob se comunica con Alice.
- Cuando Alice recibe el certificado digital de Bob, ella se comunica con la CA de confianza para validar la identidad de Bob.
Sistema de autoridades de la PKI
Algunos proveedores que emiten certificados son Symantec Group (VeriSign), Comodo, Go Daddy Group, GlobalSign, DigiCert… Si acudimos a las propiedades de un fichero ejecutable, seguramente podamos encontrar alguno de estos proveedores. De otro modo, las organizaciones también pueden implementar certificados privados con, por ejemplo, OpenSSL. Estos pueden utilizarlos para autenticar a empleados que tengan acceso a la red.
Las CA emiten certificados basados en clases que determinan la confiabilidad del certificado. Dichas clases son:
| CLASE | DESCRIPCIÓN |
| 0 | Se utiliza con fines de pruebas. |
| 1 | Verificación de correo electrónico. |
| 2 | Demostrar la identidad de organizaciones |
| 3 | Firma de servidores y software. |
| 4 | Transacciones comerciales en línea entre empresas. |
| 5 | Organizaciones privadas o agencias de seguridad gubernamentales. |
Un ordenador puede tener multitud de certificados firmados por CA. En ese caso, el navegador considerará como legítimo cualquiera de dichos certificados.
Algunas claves públicas de la CA están precargadas, como las que aparecen en los navegadores web.
El sistema de confianza de la PKI
Las PKI pueden formar distintas topologías de confianza. La figura ilustra un sistema de Certificación de Autoridades (CA) donde una única CA raíz emite todos los certificados a usuarios internos. Aunque simple, este enfoque enfrenta desafíos en entornos grandes debido a una administración centralizada, que genera un punto único de falla.
En redes mayores, las CA de la PKI pueden vincularse con dos arquitecturas básicas:
Topologías de CA con certificación cruzada: En la figura se representa un modelo punto a punto, donde las Certificaciones de Autoridades (CA) establecen relaciones de confianza mediante la certificación cruzada de certificados. Esto asegura que los usuarios en cualquier dominio de CA puedan confiar entre sí, brindando redundancia y eliminando puntos únicos de falla.
Topologías de CA jerárquicas: En la figura se muestra una jerarquía de Certificación de Autoridades (CA) con una CA raíz emitiendo certificados a usuarios y a CAs secundarias. Estas secundarias respaldan diversas unidades de negocio o comunidades. La CA raíz asegura la conformidad con prácticas establecidas, proporcionando escalabilidad y una gestión eficiente. Esta topología puede combinarse con certificación cruzada para crear una infraestructura híbrida, útil cuando comunidades jerárquicas desean confiar entre sí.
Como apunte, la topología jerárquica y de certificación cruzada pueden combinarse para que miembros de diferentes comunidades confíen entre sí.
Interoperabilidad de los diferentes proveedores de PKI
La IETF publicó un estándar para PKI, llamado X.509v3, que define el formato que debe tener un certificado digital. Este estándar es usado ampliamente en la infraestructura de Internet. Veamos ejemplos de uso del estándar X.509v3:
- 1) SSL: en servidores y páginas web, permite implementar correctamente SSL para la autenticación.
- 2) IPsec: las VPN IPsec los usan cuanto se requiere autenticación para el Intercambio de Claves de Internet (IKE)
- 3) S/MIME: utilizado por agentes de correo seguro con protección MIME.
- 4) EAP-TLS: permite a los switches de CISCO autenticar a los dispositivos conectados.
Inscripción, autenticación y revocación de certificados
Para que el funcionamiento del PKI sea el adecuado, las claves públicas de una CA deben verificar todos los certificados emitidos por la misma. A esto se le llama certificado autofirmado, y solo una CA raíz puede emitir dicho certificado dentro de la PKI.
Los navegadores web distribuyen sus certificados públicos automáticamente, mientras que los sitios web distribuyen sus certificados públicos a sus visitantes. Por otro lado, las CA distribuyen certificados privados y públicos a aquellos clientes que los compren o adquieran.
El proceso de inscripción de certificados es el siguiente. El sistema que se inscribe en la PKI contacta con una CA para obtener un certificado propio y un certificado autofirmado por la CA. Finalmente, se verifica que el certificado de la CA es auténtico, ya que se obtiene su huella digital de forma telefónica.
Procedimiento de Autenticación en la Infraestructura de Clave Pública (PKI)
- Obtención de Clave Pública de la CA:La clave pública de la Autoridad de Certificación (CA) es esencial en el Proceso de Infraestructura de Clave Pública (PKI) para validar los certificados emitidos por la CA. Este certificado autofirmado es crucial para el funcionamiento del PKI.
- Distribución de Certificados de CA: Los navegadores web suelen contener un conjunto preinstalado de certificados raíz de CA.
Las organizaciones envían sus certificados públicos a los visitantes del sitio web, mientras que las CA y registradores de certificados emiten y distribuyen certificados públicos y privados a sus clientes. - Inscripción en la PKI:Los sistemas se inscriben en la PKI obteniendo los certificados de CA en la red y autenticándose fuera de banda, a menudo a través de un proceso telefónico. Se solicita un certificado de identidad digital y el certificado autofirmado de la CA. La autenticidad se verifica utilizando métodos fuera de banda, como el sistema telefónico analógico (POTS), para obtener la huella digital del certificado de CA válido.
- Intercambio de Certificados: La autenticación no requiere la presencia del servidor de CA, y los usuarios intercambian
sus certificados que contienen las claves públicas, permitiendo las comunicaciones seguras. - Revocación de Certificados:En ciertas situaciones, como riesgos de clave comprometida o falta de necesidad, se puede
revocar un certificado digital para mantener la seguridad de la infraestructura.
Estos son dos de los métodos más comunes de revocación:- Lista de revocación de certificado (Certificate Revocation List CRL) – Una lista de números de serie de certificados revocados que ya no son válidos porque caducaron. Las entidades de PKI sondean periódicamente el repositorio de CRL para recibir la CRL más actual.
- Protocolo de estado de certificado en línea (Online Certificate Status Protocol OCSP) Un protocolo de Internet utilizado para consultar un servidor de OCSP y comprobar el estado de revocación de un certificado digital X.509. La información sobre revocación se publica inmediatamente en una base de datos en línea.