Autoridad interna para el proxy de inspección y su custodia

Para inspeccionar, el proxy firma al vuelo un certificado por cada sitio que visita la persona, con la clave de una autoridad intermedia, y los equipos lo aceptan porque la raíz de esa jerarquía está instalada en ellos. Esa instalación es lo que convierte a la clave de la intermedia en algo especial: quien la tenga puede firmar certificados que todos los equipos de la empresa tomarán por buenos, para cualquier sitio.

Un proxy perdido se reemplaza; una clave robada obliga a retirar la autoridad de todos los equipos y a volver a instalar otra. Y mientras no se retire, quien la posea puede hacerse pasar por cualquier sitio ante esos equipos.

La práctica habitual es que la raíz esté fuera de línea: la clave vive en un medio protegido, apagado y guardado, y se usa pocas veces, con testigos y registro, solo para firmar o renovar intermedias. Así, el día a día lo hace la intermedia, que sí está en línea, y la raíz queda lejos de cualquier red. Una raíz en un archivo de un servidor encendido pierde justo esa ventaja.

Consulta la tabla jerarquia y mira las columnas clave_guardada_en y en_linea.

El mínimo privilegio se aplica con más rigor a una clave así que a casi cualquier otra cosa: pocas personas, de la propia empresa, con cuenta nominal y registro de cada uso. Cada cuenta de más es otro punto desde donde la clave puede copiarse, y una cuenta de un tercero lo es doblemente, porque su equipo y sus prácticas no los controla la empresa.

Consulta la tabla accesos y filtra por la clave de la intermedia. Fíjate en la columna area.

Los certificados de una autoridad pueden llevar una restricción de nombres (RFC 5280, apartado 4.2.1.10): la lista de dominios para los que esa intermedia puede emitir. Una intermedia limitada a los nombres de la empresa, aunque se robara su clave, no serviría para suplantar un sitio ajeno ante los clientes que respetan la restricción. Para un proxy de inspección que sí necesita firmar sitios ajenos, esta salida no aplica de manera simple, y por eso la custodia de la clave pesa tanto.

El número que resume la custodia es cuántas cuentas pueden llegar a la clave de la intermedia por cualquier camino, y eso incluye las que la tienen por una copia de respaldo o por acceso a las dos autoridades. Cada una de esas cuentas es parte de la lista de quienes se tendrían que revisar si la clave se pusiera en duda.

Lee la tabla accesos completa: la columna acceso_a dice raíz, intermedia o ambas.