Certificados observados en la red

En TLS 1.2 y versiones anteriores, el servidor envía su certificado en claro durante el saludo, y un sensor pasivo puede leerlo y guardarlo. En TLS 1.3 el certificado viaja cifrado, así que el mismo sensor ya no lo ve. A medida que la red migra a TLS 1.3, los registros de certificados se vacían, y no por eso hay menos conexiones.

Dos consecuencias para el análisis. Primera: un registro de certificados describe sobre todo lo que sigue usando TLS 1.2 o anterior, lo cual es una muestra sesgada y a veces la más interesante, porque incluye servicios viejos. Segunda: para mirar certificados de sesiones TLS 1.3 hay que ir a otro sitio, por ejemplo al propio servidor o a un proxy que termine la conexión con autorización.

Un certificado dice para qué nombres vale (los nombres alternativos del sujeto, o SAN) y quién lo emitió. Cuando el cliente pide un nombre y el servidor responde con un certificado que no incluye ese nombre, un cliente corriente avisaría. Un programa que no valida el certificado no avisa, y por eso un servidor así puede seguir recibiendo tráfico sin que nadie lo note.

En el registro de certificados, compara el nombre pedido (SNI) con los nombres que cubre el certificado de cada destino y busca el que no encaja.

El emisor distingue tres mundos. Una autoridad pública (de las que los navegadores reconocen) emite para nombres de internet tras comprobar que quien lo pide controla el nombre. Una autoridad interna emite para los servicios de la propia empresa y solo la reconocen los equipos que la tienen instalada. Y un certificado que se firma a sí mismo no pasa por nadie: cualquiera puede crearlo en un minuto, sin comprobación alguna.

No es malo en sí: hay aparatos y pruebas que lo usan. Lo que cuenta es si el servicio está inventariado. Lee la columna «servicio» de la fila que acabas de aislar y el emisor que declara.

Las fechas de validez cuentan una historia. Las autoridades públicas automatizadas emiten hoy certificados de unos noventa días, y las empresas con gestión seria renuevan con tiempo. Un certificado de vigencia muy corta, creado el mismo día en que aparece en la red y sin servicio inventariado, es el perfil de algo montado a toda prisa.

Calcula la duración, en días, del certificado de la fila que aislaste antes. Resta las fechas de inicio y fin de validez.

No todo certificado raro es sospechoso. Entre las filas del laboratorio hay un servicio interno cuyo certificado venció hace meses: lo emitió la autoridad interna, el servicio está en el inventario y nadie lo renovó. Eso es un hallazgo de operación, con riesgo propio (los usuarios aprenden a ignorar avisos, y un certificado vencido que alguien acepta sin leer es el terreno ideal para una suplantación), pero no es una intrusión.