Transparencia de certificados

La transparencia de certificados (CT, RFC 6962) obliga a las autoridades públicas a anotar cada certificado que emiten en registros públicos, de solo añadir (append-only), que cualquiera puede consultar. Al anotarlo, el registro entrega una marca firmada (SCT) que se incluye en el certificado; navegadores como Chrome y Safari exigen esa prueba para aceptar certificados públicos. El resultado es que un certificado público que no se anota no se acepta en esos navegadores, y los que sí se anotan dejan una huella visible.

Para una empresa, la utilidad es de vigilancia: un monitor consulta esos registros buscando el nombre de su dominio, y avisa de cada certificado que aparece. Si un certificado público existe para tu dominio y nadie de la empresa lo pidió, es una señal. Los nombres internos (.local) nunca aparecen allí, porque ninguna autoridad pública los emite; lo que sí aparece es todo nombre del dominio público, incluidos los que pusiste en un certificado público y te habría gustado mantener privados.

La empresa guarda sus peticiones de certificados públicos en tickets de cambio. El monitor devuelve lo que los registros muestran. La diferencia entre las dos listas es la parte interesante: un certificado visto sin ticket es una emisión inesperada, y no necesariamente un ataque: puede ser un empleado que pidió algo por su cuenta, una agencia externa o un error de la autoridad. En todos los casos se investiga, y por eso el monitor existe.

Abre observacion-ct.txt y emisiones-autorizadas.txt y cruza las dos.

El CAA (RFC 8659) es un registro de DNS con el que el dueño del dominio declara qué autoridades públicas pueden emitir certificados para él. Antes de emitir, una autoridad pública debe consultarlo y negarse si no figura. No es una garantía completa (el propio RFC lo dice: cumplirlo es condición necesaria, no suficiente), pero es el primer control.

Lee dominios-y-caa.txt y mira qué autoridad autoriza el registro. Después busca quién emitió el certificado inesperado. Si no coincide, hay una pregunta que responder: o la autoridad no respetó el CAA, o el CAA se cambió después. El fichero indica cuándo se tocó la zona por última vez.

Un monitor bueno no solo detecta: detecta pronto. El tiempo entre la emisión y el momento en que el monitor la ve es la ventana en la que el certificado pudo usarse sin que nadie lo supiera. La CT garantiza que la emisión queda registrada, no que alguien la mire en el instante: si no hay un monitor y alguien que lea sus alertas, la transparencia no ayuda.

Calcula, con las horas de la fila inesperada (todas en UTC), cuántas horas pasaron desde que se emitió hasta que el monitor la vio.

El hallazgo se maneja sin suposiciones. La respuesta correcta no es ignorarlo (está en un registro público, no hay daño que se vea) ni revocar a ciegas. El orden: confirmar con el dueño del dominio y con los equipos si alguien lo pidió; si nadie lo hizo, pedir a la autoridad pública que lo revoque y explique cómo validó el dominio; revisar el historial de la zona DNS, porque la validación suele hacerse con un registro del dominio, y confirmar si el CAA se cambió. El certificado inesperado no se «arregla» desde la CT: la CT solo lo muestra.