Fallos habituales, comodines amplios y firmas débiles

Un certificado comodín (*.dominio) cubre cualquier nombre de un nivel por debajo del dominio. Según el RFC 9525, el comodín solo puede ser la etiqueta más a la izquierda y cubre exactamente una: *.aldebaran-alimentos.local vale para tienda.aldebaran-alimentos.local, pero no para a.b.aldebaran-alimentos.local. Es cómodo: un certificado y una clave para muchos servicios.

El precio es el radio de daño. La clave privada tiene que estar en cada equipo que use el certificado, y quien la obtenga de cualquiera de ellos puede presentarse como cualquier nombre cubierto. Cuantas más zonas de red comparten el comodín, más equipos y más administradores tienen acceso a esa clave. La regla práctica: comodines acotados a una zona y a un propósito, o un certificado propio por servicio.

No todos los comodines pesan igual. Uno limitado a una zona, con pocos equipos, acota el daño a esa zona. Uno que atraviesa la oficina, la planta y la zona expuesta a internet (DMZ) rompe la separación entre ellas: lo que se robe en el equipo más expuesto sirve en el más sensible.

Abre comodines.txt y mira la columna de zonas donde está instalado cada certificado.

Para priorizar hay que saber cuántos equipos están expuestos. La tabla da, por cada comodín, el número de hosts que lo usan y dónde está copiada su clave. Un hallazgo sin cifra es una opinión; con la suma, el comité sabe la magnitud del trabajo de reemisión.

Suma los hosts de los tres comodines.

El algoritmo con el que la autoridad firma un certificado importa. SHA-1 dejó de considerarse seguro para firmas: se le conocen colisiones prácticas y los navegadores y las autoridades públicas dejaron de aceptarlo hace años. Que una autoridad interna siga emitiendo con sha1WithRSA casi siempre significa una plantilla o un equipo heredado que nadie revisó, no una decisión.

Abre exportacion-inventario.txt y lee la columna «firma». Es una exportación pasiva del inventario: describe certificados, no comprueba nada contra ningún sistema.

Un certificado autofirmado se firma a sí mismo, sin autoridad detrás. No hay cadena que validar: o el cliente lo acepta a ciegas o hay que instalar ese certificado concreto como de confianza, que es justo el atajo que se vio en el módulo de certificados. En el inventario hay uno con vigencia hasta 2029 en una cámara frigorífica de planta. No es una urgencia de seguridad inmediata, pero es un punto ciego: nadie lo renueva, nadie lo revoca y nadie sabe de quién es la clave.