De la firma al indicador y a la política de ejecución

Una firma ofrece varias cosas que se pueden convertir en indicador, y cada una atrapa algo distinto. El nombre del firmante es texto del asunto del certificado: lo comparten todos los certificados que ese fabricante tenga o tenga en el futuro, y no distingue el robado del bueno. La huella del certificado, o su número de serie junto con su emisor, identifica ese certificado y solo ese. La autoridad emisora abarca a todos sus clientes. La huella del archivo atrapa una sola muestra y nada más.

Abre el laboratorio y ejecuta SELECT * FROM indicadores.

Antes de bloquear un certificado se mide a quién afecta. En Windows, las firmas con sello anterior a la revocación siguen siendo válidas, así que la flota puede tener programas legítimos firmados con el certificado robado. Una regla que bloquee el certificado sin excepciones también los para a ellos.

Ejecuta SELECT * FROM flota_firmados.

Una política de ejecución se escribe con el mismo cuidado que el indicador. Bloquear por nombre del editor castiga también al fabricante cuando llegue con su certificado nuevo. Bloquear a la autoridad emisora entera es desproporcionado. Bloquear solo la huella de la muestra deja pasar la siguiente. Lo razonable suele ser bloquear el certificado y permitir, por huella de archivo y con fecha de caducidad, las versiones legítimas inventariadas hasta que el fabricante entregue las nuevas.

Ejecuta SELECT * FROM reglas_propuestas.

En macOS las aplicaciones que se distribuyen fuera de la tienda se firman con un certificado Developer ID, ligado a un identificador de equipo de diez caracteres, y Apple las notariza. La guía de seguridad de Apple explica que, cuando aparece malware nuevo, Apple revoca los certificados Developer ID implicados y puede emitir tickets de revocación que el Mac consulta en segundo plano. La página de Apple sobre Developer ID añade la consecuencia: una aplicación firmada con un certificado revocado ya no se puede instalar y, si ya estaba instalada, deja de abrirse. El indicador natural en un Mac es ese identificador de equipo.

Ejecuta SELECT * FROM mac_firmas.

Compara lo que pasa en los dos sistemas con el mismo robo. En los equipos Windows, plano_corte.exe sigue siendo válido porque su sello es anterior a la revocación, y es la política de la empresa la que decide bloquear el certificado. En el Mac, la revocación del Developer ID la decide Apple y alcanza a todo lo firmado con él.