Hispanopedia Wiki
En criptografía y seguridad informática , un certificado raíz es un certificado de clave pública que identifica una autoridad de certificación raíz (CA). [ 1 ] Los certificados raíz son autofirmados (y es posible que un certificado tenga múltiples rutas de confianza, por ejemplo, si el certificado fue emitido por una raíz que fue firmada cruzadamente) y forman la base de una infraestructura de clave pública (PKI) basada en X.509 . O bien tiene un identificador de clave de autoridad que coincide con un identificador de clave de sujeto, en algunos casos no hay un identificador de clave de autoridad, entonces la cadena del emisor debe coincidir con la cadena del sujeto ( RFC 5280 ). Por ejemplo, las PKI que admiten HTTPS [ 2 ] para la navegación web segura y los esquemas de firma electrónica dependen de un conjunto de certificados raíz.
Una autoridad de certificación puede emitir varios certificados en una estructura de árbol . El certificado raíz es el certificado superior de la estructura, cuya clave privada se utiliza para firmar otros certificados. Todos los certificados firmados por el certificado raíz, con el campo "CA" establecido en verdadero, heredan la confiabilidad de dicho certificado. Una firma mediante un certificado raíz es similar a la autenticación de identidad en el mundo físico. Este certificado se denomina certificado intermedio o certificado de CA subordinado. Los certificados que se encuentran más abajo en la estructura también dependen de la confiabilidad de los certificados intermedios.
El certificado raíz suele ser confiable gracias a algún mecanismo distinto al certificado, como la distribución física segura. Por ejemplo, algunos de los certificados raíz más conocidos son distribuidos en sistemas operativos por sus fabricantes. Microsoft distribuye certificados raíz pertenecientes a miembros del Programa de Certificados Raíz de Microsoft a equipos de escritorio con Windows y Windows Phone 8. [ 2 ] Apple distribuye certificados raíz pertenecientes a miembros de su propio programa de certificados raíz .
Incidentes de uso indebido de certificados raíz
El hackeo de DigiNotar de 2011
En 2011, la autoridad de certificación neerlandesa DigiNotar sufrió una brecha de seguridad. Esto provocó la emisión de varios certificados fraudulentos, que, entre otras cosas, se utilizaron para atacar a usuarios iraníes de Gmail. La confianza en los certificados de DigiNotar se retiró y el gobierno neerlandés asumió la gestión operativa de la empresa .
El Centro de Información de la Red de Internet de China (CNNIC) emite certificados falsos.
En 2009, un empleado del Centro de Información de la Red de Internet de China (CNNIC) solicitó a Mozilla que agregara CNNIC a la lista de certificados raíz de Mozilla [ 3 ] y fue aprobado. Posteriormente, Microsoft también agregó CNNIC a la lista de certificados raíz de Windows .
En 2015, muchos usuarios optaron por no confiar en los certificados digitales emitidos por CNNIC porque se descubrió que una CA intermedia emitida por CNNIC había emitido certificados falsos para nombres de dominio de Google [ 4 ] y generó preocupación sobre el abuso del poder de emisión de certificados por parte de CNNIC. [ 5 ]
El 2 de abril de 2015, Google anunció que ya no reconocía el certificado electrónico emitido por CNNIC. [ 6 ] [ 7 ] [ 8 ] El 4 de abril, siguiendo a Google, Mozilla también anunció que ya no reconocía el certificado electrónico emitido por CNNIC. [ 9 ] [ 10 ]
WoSign y StartCom: Emisión de certificados falsos y con fecha anterior
En 2016, WoSign , el mayor emisor de certificados CA de China , propiedad de Qihoo 360 [ 11 ] y su filial israelí StartCom , vio denegados sus certificados por Google . Microsoft eliminó los certificados correspondientes en 2017. [ 12 ]
WoSign y StartCom emitieron cientos de certificados con el mismo número de serie en tan solo cinco días, además de emitir certificados con fecha anterior. [ 13 ] En 2016, un administrador de sistemas en Florida logró que WoSign y StartCom emitieran certificados falsos para múltiples dominios de GitHub . [ 14 ]
Véase también
Referencias
- ↑ "¿Qué son los certificados CA?" . Microsoft TechNet . 28/03/2003.
- 1 2 "Programa de certificados raíz SSL para Windows y Windows Phone 8 (CA miembros)" . Microsoft TechNet . Octubre de 2014.
- ↑ "476766 - Agregar certificado raíz CA del Centro de Información de la Red de Internet de China (CNNIC)" . bugzilla.mozilla.org . Archivado del original el 22 de febrero de 2020. Consultado el 3 de enero de 2020 .
- ^ "CNNIC发行的中级CA发行了Google的假证书" . solidot . 2015-03-24. Archivado desde el original el 26 de marzo de 2015 . Consultado el 24 de marzo de 2015 .
- ^ "最危险的互联网漏洞正在逼近" . Archivado desde el original el 21 de noviembre de 2015 . Consultado el 26 de marzo de 2015 .
- ↑ "Google prohíbe a la autoridad de certificación de sitios web de China tras una brecha de seguridad" . N.° 2 de abril de 2015. Extra Crunch.
- ^ "谷歌不再承認中國CNNIC頒發的信任證書" .華爾街日報. 2015-04-03 . Consultado el 3 de abril de 2015 .
- ^ "谷歌不再信任中国CNNIC 的网站信任证书" .美國之音. 2015-04-03 . Consultado el 3 de abril de 2015 .
- ↑ "Google y Mozilla deciden prohibir la autoridad de certificación china CNNIC en Chrome y Firefox" . VentureBeat. 2 de abril de 2015.
- ^ "Mozilla紧随谷歌 拒绝承认中国安全证书" .美國之音. 2015-04-04 . Consultado el 4 de abril de 2015 .
- ^ "谷歌宣布开始全面封杀使用沃通CA证书网站，信誉破产的恶果 - 超能网" . www.expreview.com . Consultado el 3 de enero de 2020 .
- ↑ Equipo de investigación de seguridad de Microsoft Defender (08/08/2017). "Microsoft eliminará los certificados WoSign y StartCom en Windows 10" . Microsoft.
- ↑ "CA: Problemas de WoSign - MozillaWiki" . wiki.mozilla.org . Consultado el 3 de enero de 2020 .
- ↑ Stephen Schrauger. "La historia de cómo WoSign me dio un certificado SSL para GitHub.com" . Schrauger.com .
- Infraestructura de clave pública
- Seguridad de la capa de transporte