Leer la cadena de certificados en la ficha

Un certificado de firma de código no se avala solo. Lo emite una autoridad intermedia, cuyo certificado a su vez emitió una raíz. La raíz es la única autofirmada y vale porque el sistema la trae en su almacén de raíces de confianza. Al verificar, el sistema sube eslabón a eslabón: el certificado del firmante (la hoja), la intermedia que lo emitió y la raíz que respalda a la intermedia.

Cada eslabón responde de algo distinto. La autoridad intermedia comprobó, al emitir, que el solicitante era quien decía ser, con el nivel de comprobación que exige su política. La raíz responde de la intermedia. Nadie en la cadena responde de lo que el firmante haga después con su clave.

Abre el laboratorio y lee la ficha de la dosificadora:

cat firma-sg01.txt

Lee ahora la ficha de la muestra que detecta el antivirus:

cat firma-sg07.txt

Fíjate en dos partes. La primera es el asunto del eslabón [0], con el nombre, la organización y la ciudad del titular. La segunda es la información de versión del final: la escribe quien compila el archivo y puede decir cualquier cosa. Si la compañía que declara el archivo no coincide con el titular del certificado, manda el certificado, que lo comprobó una autoridad; la información de versión es texto libre.

Saber qué autoridad emitió el certificado sirve para dos cosas: para comparar con la autoridad que usan los programas legítimos de la empresa y para saber a quién se reporta un abuso.

Las fechas de validez del certificado y la fecha del sello de tiempo cuentan una historia. Un fabricante con años de trayectoria suele firmar con certificados que renueva cada uno a tres años y con la misma autoridad. Un certificado que se emitió pocos días antes de firmar la muestra, de una empresa de la que nadie ha oído hablar, encaja con un certificado conseguido para la ocasión. No lo prueba solo, pero es una pregunta que el informe tiene que hacer.

Cada certificado declara para qué sirve en su uso ampliado de la clave. Para firmar código, el certificado debe incluir el uso de firma de código; un certificado de sitio web, con el uso de autenticación de servidor, es perfectamente legítimo para un servidor y no sirve para firmar programas. Cuando un archivo viene firmado con un certificado así, la verificación falla aunque la cadena llegue a una raíz de confianza.

Que alguien firme un ejecutable con el certificado de un sitio web es raro en software legítimo y merece una línea en el informe.

cat firma-sg08.txt

cat firma-sg05.txt

En SG-05 el asunto y el emisor del eslabón [0] son el mismo: es un certificado autofirmado, hecho por TI. Una cadena así solo es de confianza en los equipos donde alguien instaló ese certificado a propósito, y fuera de ellos no prueba nada sobre su titular, porque cualquiera puede crear uno con el nombre que quiera.