Ciclo de vida, emisión, renovación y expiración

Un certificado pasa por fases: se solicita (el servidor genera su par de claves y pide al emisor que firme la clave pública; la privada no sale del servidor), se emite, se despliega, se vigila, se renueva antes de caducar y, al final, se retira. Si algo sale mal por el camino, se revoca. Cada fase necesita un dueño, y el inventario es lo que dice quién es.

Las renovaciones manuales dependen de que una persona se acuerde y siga en su puesto. Por eso las políticas modernas acortan la vigencia y exigen automatizar: con vigencias cortas se renueva tantas veces que hacerlo a mano deja de ser viable, y una clave expuesta tiene menos tiempo de ser útil.

La primera lectura de un inventario es la más simple: comparar cada fecha de vencimiento con la fecha del informe. Un certificado vencido que sigue publicado no solo da error a los clientes; acostumbra a todos a aceptar el aviso del navegador, y ese mal hábito es el que un atacante aprovecha.

Consulta la tabla certificados y compara la columna vence con la fecha de la tabla politica.

Lo que cae después del vencido es lo que se atiende primero, y los que se renuevan a mano son los más frágiles. Entre los renovados por una persona, el que vence antes es el que más urgencia pide; el que ya venció no cuenta aquí, porque ya es un incidente.

Filtra la tabla certificados por renovacion manual y descarta el que ya pasó de fecha.

El plazo que se dice en voz alta es «en pocos días»; el que se escribe es un número. La política exige alerta a 30 días del vencimiento. Cuando el número que queda es menor que el de la alerta, la alerta llegó tarde o no llegó, y eso también es un hallazgo.

Calcula con las fechas de la tabla certificados y la de la tabla politica.

Renovar con la misma clave privada alarga la vida de un certificado, pero también la de cualquier copia de esa clave. Si se confirmara que la clave de un servicio se filtró, renovar sería lo contrario de lo que hace falta: la respuesta es revocar el certificado y emitir uno nuevo con un par de claves distinto. Revocar no basta del todo, porque no todos los clientes comprueban la revocación; por eso conviene además que la vigencia sea corta.