Certificados como identidad, emisión y caducidad

Un certificado es un documento que dice «esta clave pública pertenece a este nombre» y que lo firma una autoridad certificadora. Quien lo recibe no necesita conocer al servidor: le basta confiar en la autoridad que firmó. Dentro de una empresa, esa autoridad es la CA interna, y la confianza se logra instalándola como autoridad de confianza en las máquinas.

Lo que el certificado afirma lo fija la autoridad al emitirlo: el sujeto, los nombres válidos (el SAN), la vigencia y el uso. Si la autoridad emite sin comprobar quién lo pide, el certificado sigue pareciendo legítimo; por eso la identidad que vale es la que la autoridad verificó antes de firmar.

Cada plantilla de certificado fija una vigencia máxima. Un certificado de servicio de 90 días y uno de identidad de cliente de 30 no son caprichos: cuanto más largo es el certificado, más tiempo sirve la clave si alguien la copia, y más tarde se detecta que un nombre cambió de dueño. La CA emite lo que se le pide; la regla la comprueba quien revisa.

Abre glosario.txt, plantillas.txt y certificados.txt. Calcula la vigencia de cada certificado, los días entre «desde» y «hasta», y cuenta los que superan el máximo de su plantilla. Uno que iguala el máximo no lo supera.

Un certificado vencido no se «afloja» poco a poco: desde el segundo en que pasa su fecha, los clientes que validan lo rechazan. Si un servicio sigue funcionando con un certificado vencido, es porque nadie lo valida, y eso es un hallazgo por sí mismo. Para encontrarlos basta comparar la fecha «hasta» de cada uno con la fecha de corte del registro.

Revisa certificados.txt y localiza el certificado cuya fecha «hasta» ya pasó a la fecha de corte.

Un cliente que valida un certificado comprueba, además de la firma y las fechas, que el nombre al que se conectó esté en el SAN. Es lo que impide que un servidor con certificado válido se haga pasar por otro. Cuando una aplicación usa un nombre distinto del que el certificado lista, la conexión falla aunque todo lo demás esté bien. La salida correcta es emitir un certificado que incluya el nombre real, no desactivar la validación.

Compara nombres-usados.txt con la columna SAN de certificados.txt y encuentra el nombre que una aplicación usa y que ningún certificado cubre.

Las vigencias cortas parecen una molestia: obligan a renovar más seguido. Su ventaja es que reducen la dependencia de la revocación: si un certificado vive 30 días, una clave filtrada deja de servir en 30 días aunque nadie la haya revocado. Pero solo funcionan si la renovación es fiable; un certificado corto sin renovación automática y sin inventario es una cuenta regresiva que alguien terminará perdiendo.