Cadena de confianza y emisores

Un certificado dice «esta clave pública pertenece a este nombre» y lo avala una firma. En un servidor publicado hay tres papeles. La hoja es el certificado del servicio. La intermedia es una autoridad que la firmó y que a su vez fue firmada por otra. La raíz es la autoridad que se firma a sí misma y que el cliente ya trae instalada en su almacén de confianza.

El cliente reconstruye el camino desde la hoja hacia arriba: comprueba cada firma con el certificado siguiente y, si el camino termina en una raíz de su almacén, acepta. Por eso el servidor debe entregar la hoja y sus intermedias; la raíz no hace falta enviarla, porque el cliente no confía en una raíz solo por recibirla, sino por tenerla ya.

Cuando un servidor entrega solo su hoja y olvida la intermedia, algunos clientes la reconstruyen por su cuenta y otros no. Resultado típico: el servicio «funciona en mi computador» y falla en el de un distribuidor. El síntoma en la revisión es una cadena de una sola posición cuyo emisor no aparece como asunto de ningún otro certificado de esa cadena.

Consulta la tabla cadena y compara, servicio por servicio, el emisor de la hoja con los asuntos de las posiciones siguientes.

Un certificado autofirmado tiene como emisor su propio asunto. Es normal en una raíz, porque alguien tiene que ser el principio de la cadena. En una hoja que atiende a clientes es otra cosa: nadie de fuera tiene motivo para confiar en ella, y los equipos acostumbrados a pulsar «continuar» pierden el hábito de leer los avisos.

En la tabla cadena, la columna tipo distingue la hoja de la raíz. Busca la hoja cuyo emisor es ella misma.

«Confiable» depende de quién mira. Una autoridad interna es de confianza en los equipos donde la empresa instaló su raíz y en ninguno más. Un cliente cualquiera de Internet, un distribuidor o un comprador, solo confía en lo que llega a una raíz que ya viene en su sistema.

Mira la tabla servicios y la tabla almacenes: la primera dice lo que ve un cliente; la segunda, qué raíces tiene cada grupo de equipos.

La tentación ante el servicio al que le falta el intermedio es arreglarlo desde afuera: pedir a cada cliente que instale el certificado, o decirle que acepte el aviso. Ninguna de las dos sirve: una empresa no controla los equipos de sus distribuidores, y enseñar a ignorar avisos es enseñar justo lo que el atacante necesita. La cadena se completa en el servidor.