Claves, rotación y conjuntos de claves publicadas

Cuando el emisor firma con una llave privada, los servicios verifican con la pública correspondiente. Para poder cambiar de clave sin cortar el servicio, el emisor publica un conjunto de claves públicas (JWKS, formato del RFC 7517) y pone en el encabezado de cada token un identificador, kid, que dice con cuál lo firmó. El validador busca ese identificador en el conjunto que descargó de una dirección fija de su configuración.

Rotar bien es un orden: publicar la clave nueva antes de usarla, para que todos los servicios la tengan en su caché; empezar a firmar con ella; y retirar la vieja del conjunto cuando haya vencido el último token que firmó. Si una clave se compromete no se espera a nada: se retira de inmediato y se acepta que los tokens que firmó dejen de servir.

Una clave declarada comprometida que sigue publicada sigue verificando: cualquiera que tenga la copia de su llave privada puede firmar tokens que todos los servicios aceptarán como legítimos, con el sujeto y el rol que quiera. El acta del incidente no cambia nada mientras la acción no se ejecute.

Abre el laboratorio y cruza bitacora-de-claves.txt con jwks-publicado.json.

Las especificaciones de JWS prevén cabeceras que señalan una dirección donde estarían las claves o los certificados. Si el validador las obedece, el que decide qué clave verifica el token es quien escribió el token: basta con publicar un conjunto propio y apuntar a él. Las buenas prácticas de la IETF (RFC 8725) piden restringir esas direcciones a una lista conocida, y además una dirección elegida por el token convierte al servicio en alguien que hace peticiones a donde le digan.

Lee validador-organizadores.py.

El registro de descargas muestra cuándo y desde dónde obtuvo claves organizadores-api, y qué validaciones se hicieron con ellas. Una descarga desde un dominio que no es el del emisor, seguida de validaciones aceptadas con un kid que el emisor nunca publicó, es la consecuencia directa del código que acabas de leer.

Revisa registro-claves.txt y su nota.

El equipo va a ejecutar por fin la acción del incidente. Ten en cuenta la vida máxima de un token de Mavecure (bitácora), la caché del conjunto en organizadores-api (código) y que mav-2025-07 no firma nada legítimo desde abril.