Perfiles de certificado: qué se emite y para quién

Un perfil de emisión (plantilla, en muchos productos) es la promesa que la PKI hace a sus consumidores. Fija los usos extendidos de la clave (autenticación de servidor, de cliente, firma de código, protección de correo), la vida del certificado, dónde se genera la clave privada y si puede salir de ese equipo, quién puede pedirlo y qué aprobación necesita.

El arquitecto diseña cada perfil para su consumidor y para nada más. Un uso de sobra no es inocuo: un certificado con firma de código emitido para un servicio interno permite firmar programas con una identidad en la que confía toda la empresa, y su clave vive en un servidor, no en el módulo protegido del equipo que libera software. Si otro consumidor necesita otro uso, se crea otro perfil con su propio control.

Los perfiles también deciden la vida. Un perfil de aprobación automática y vida larga es cómodo hoy y caro el día que una clave se filtra o que el certificado vence sin que nadie lo recuerde.

Para saber si un perfil concede de más, no basta con leerlo: hay que cruzarlo con lo que hace su consumidor. El inventario de consumidores dice quién usa cada perfil y para qué; si un uso del perfil no aparece en esa columna, nadie lo necesita y alguien podría aprovecharlo.

Abre el laboratorio y cruza la columna de usos de perfiles.txt con consumidores.txt, sin olvidar la nota del final de este último.

La política fija una vida máxima por tipo de certificado, y el perfil es el lugar donde esa regla se cumple o se rompe sin que nadie lo note: si el perfil dice tres años, cada certificado que emite nace fuera de la política. Revisar perfiles es más barato que revisar certificados, porque un perfil mal configurado se corrige una vez.

Compara la vida de cada perfil con la que politica-de-certificados.txt fija para su tipo. Ojo con el tipo: un perfil de correo firmado es un certificado de personas, no de servidor.

Una autoridad interna solo sirve donde la empresa controla los consumidores: puede instalar su raíz en sus cajas, sus servidores y sus portátiles. Un sitio que visitan los clientes desde su propio teléfono necesita un certificado de una autoridad pública, una de las que ya vienen de fábrica en navegadores y sistemas operativos. Pedirle al cliente que instale la raíz de la empresa no es una opción: le enseña a confiar en cualquier raíz que le pidan instalar.

Lo público trae sus propias reglas: vidas máximas que fija el sector y que se acortan con los años, y validación del dominio en cada emisión. Por eso estos certificados también necesitan dueño y renovación automática.