Ataques al ecosistema PKI y Certificate Transparency

Un sistema operativo moderno incluye en su almacén raíz (Trust Store) más de 120 Autoridades Certificadoras comerciales y gubernamentales de docenas de países. Si una sola de esas entidades intermedias o raíces comete un error administrativo o es infiltrada por un servicio de inteligencia, puede emitir un certificado aparentemente legítimo para google.com, banco.com o cualquier otro servicio. Tu navegador mostrará el candado verde sin advertir ninguna anomalía, porque la firma proviene de una CA de su lista de confianza.

En julio de 2011, atacantes penetraron los servidores de la autoridad certificadora holandesa DigiNotar. Durante semanas, emitieron más de 500 certificados fraudulentos para dominios críticos, incluyendo *.google.com, torproject.org y servicios de inteligencia. Con ese certificado falso firmado por DigiNotar, se realizaron ataques de intermediario (MitM) masivos contra más de 300.000 ciudadanos en Irán para espiar sus cuentas de correo. Cuando el incidente se descubrió, los navegadores eliminaron a DigiNotar de sus Trust Stores y la compañía quebró en cuestión de días.

Para evitar que una CA emita certificados en secreto, Google impulsó Certificate Transparency (RFC 6962). Se trata de una red mundial de bitácoras públicas independientes (CT Logs) implementadas mediante árboles criptográficos de Merkle que son estrictamente de adición (Append-only). Cuando una CA emite un certificado, DEBE registrarlo previamente en estos logs públicos. Cualquier propietario de un dominio puede monitorizar los logs y recibir una alerta en minutos si alguien emite un certificado para su dominio sin su consentimiento.

Los navegadores modernos no aceptan ningún certificado TLS a menos que venga acompañado de marcas SCT (Signed Certificate Timestamps) que demuestren que fue publicado en al menos dos logs de CT independientes. Como defensa complementaria, los administradores configuran en su servidor de nombres el registro DNS CAA (Certification Authority Authorization), por ejemplo: ejemplo.com. CAA 0 issue "letsencrypt.org". Si un atacante intenta solicitar un certificado para ese dominio a otra entidad como DigiCert o Sectigo, la CA está obligada por ley a comprobar el DNS y rechazar la solicitud.