022.1 Lección 2

La infraestructura de clave pública (PKI) es fundamental para generar confianza y proteger las comunicaciones digitales. En esencia, la PKI proporciona un marco estructurado para gestionar certificados digitales y pares de claves públicas y privadas, que son esenciales para verificar identidades y proteger los intercambios de datos a través de Internet. Cuando dos entidades, como un usuario y un sitio web, necesitan comunicarse de forma segura, la PKI garantiza que cada parte pueda confiar en la identidad de la otra y en la integridad de los datos que se comparten.

La PKI permite una comunicación segura mediante la gestión de claves públicas y privadas. A entidades como sitios web, servidores o personas se les emite un certificado digital que vincula su identidad a una clave pública.

Los certificados digitales funcionan como un “pasaporte” electrónico para una entidad, ya sea una persona, un dispositivo o un servicio. Este certificado es emitido por un tercero de confianza conocido como Autoridad de Certificación (CA).

Antes de emitir un certificado, el CA realiza un exhaustivo proceso de verificación para confirmar la legitimidad de la identidad de la entidad. Este proceso evita que actores maliciosos se hagan pasar por otra persona. Una vez emitido el certificado, se puede utilizar para cifrar datos con la clave pública de la entidad. Solo la clave privada correspondiente, que la entidad guarda de forma segura, puede descifrar estos datos, lo que garantiza que la información sensible siga siendo confidencial y accesible solo para el destinatario previsto.

En el corazón de PKI se encuentran las autoridades de certificación y las autoridades de certificación raíz de confianza, que forman la columna vertebral de la cadena de confianza que sustenta la seguridad de los certificados digitales utilizados en la navegación web, el correo electrónico seguro y otras aplicaciones.

Las CA desempeñan un papel fundamental en la PKI al emitir, validar y gestionar certificados digitales. Una vez emitidos, otros usuarios o sistemas que dependen de la autoridad de la CA pueden confiar en el certificado.

Las CA raíz forman la parte superior de la jerarquía de confianza en PKI. Las CA raíz emiten certificados a las CA intermedias, creando una cadena de confianza que se extiende a los certificados del usuario final. Los certificados raíz están preinstalados en los sistemas operativos y navegadores web, y proporcionan la base para todos los certificados emitidos en la jerarquía.

Esta cadena de confianza es esencial, ya que crea una relación jerárquica entre las CA raíz, las CA intermedias y las entidades a las que emiten certificados. Cada certificado de la cadena es validado por el que está por encima de el, y finalmente conduce a una CA raíz de confianza. Este modelo jerárquico garantiza que los usuarios y los sistemas puedan confiar en los certificados que encuentran en las interacciones digitales.

A continuación se muestra un ejemplo de una cadena de confianza que involucra una CA raíz, una CA intermedia y certificados de entidad final.

Los certificados X.509 son el formato de certificado digital estándar que se utiliza en la infraestructura de clave pública (PKI) y son esenciales para verificar la identidad de las entidades en comunicaciones seguras. Estos certificados, a los que a menudo se denomina “pasaportes digitales”, establecen una asociación fiable entre la identidad de una entidad y su clave pública mediante la certificación por parte de una autoridad de certificación (CA) de confianza.

Cada certificado X.509 contiene campos que detallan la clave pública de la entidad, el nombre de la CA emisora e información de identidad específica, como el nombre de dominio de la entidad o el nombre de la organización. Este formato estandarizado garantiza que los certificados X.509 proporcionen un método consistente y confiable para autenticar entidades en una amplia gama de aplicaciones digitales.

Comprender la función de los certificados X.509 es esencial porque se utilizan para facilitar conexiones seguras en muchas aplicaciones, incluido HTTPS para la navegación web segura, SSL/TLS para el cifrado de datos y firmas digitales para verificar la autenticidad e integridad de los documentos electrónicos.

El certificado contiene una firma digital generada por la CA utilizando su clave privada, que vincula la clave pública a la identidad de la entidad. Esta firma digital puede ser verificada por cualquier persona que utilice la clave pública de la CA, lo que garantiza que el certificado no ha sido alterado y que efectivamente proviene de la CA de confianza.

Existen docenas de CA en todo el mundo, la mayoría de las cuales ofrecen servicios de emisión de certificados pagos. Entre las CA más conocidas se encuentra Let’s Encrypt, que ofrece certificados SSL/TLS gratuitos y automatizados y promueve la adopción generalizada de HTTPS.

Let’s Encrypt ha transformado el proceso de obtención y gestión de certificados X.509 al ofrecer certificados SSL/TLS automatizados y gratuitos. Esta iniciativa promueve la adopción generalizada de HTTPS, lo que hace que Internet sea más segura al reducir las barreras para el cifrado.

Antes de Let’s Encrypt, obtener certificados SSL/TLS solía ser un proceso costoso y técnicamente complejo. Let’s Encrypt simplifica este proceso automatizando el proceso de emisión y renovación de certificados, lo que permite a los sitios web proteger sus comunicaciones de forma sencilla y sin coste alguno.

Let’s Encrypt ha desempeñado un papel importante en el aumento de la adopción de HTTPS, mejorando la seguridad y la privacidad en la web. Sin embargo, es importante tener en cuenta que Let’s Encrypt emite certificados validados por dominio (DV), que verifican la propiedad del dominio, pero no brindan el mismo nivel de seguridad que los certificados validados por organización (OV) o los certificados de validación extendida (EV).

Los certificados Let’s Encrypt tienen una validez de solo 90 días. Este breve período de validez garantiza que los certificados se actualicen periódicamente, lo que reduce el riesgo de uso indebido en caso de vulneración. Debido a la corta duración de los certificados Let’s Encrypt, la renovación automática es crucial para mantener la seguridad.