¿Qué es un certificado autofirmado?

Un certificado TLS/SSL autofirmado no está firmado por una autoridad de certificación (CA) de confianza pública, sino por el desarrollador o la empresa responsable del sitio web; como no están firmados por una CA de confianza pública, suelen considerarse poco seguros para aplicaciones y sitios web públicos.

La función de una CA pública es garantizar la validez de la información incluida en un certificado, especialmente la propiedad o el control del nombre o nombres de dominio asociados al certificado en el caso de TLS/SSL. Por lo tanto, utilizar certificados autofirmados equivale a utilizar credenciales que no han sido emitidas por una autoridad válida.

La expresión "certificados autofirmados" suele referirse a los certificados TLS/SSL que se han generado de forma autónoma, sin ninguna vinculación con un certificado raíz o intermedio. Esto también puede aplicarse a otros certificados de firma digital X.509 como S/MIME, firma de código y firma de documentos.

La naturaleza de los certificados autofirmados implica que la información del certificado no ha sido verificada por una parte de confianza (una CA pública), y dichos certificados activarán una alerta de seguridad: Los navegadores web y los sistemas operativos detectarán y marcarán los certificados que no hayan sido firmados por una CA de confianza pública porque representan un riesgo de seguridad para su usuario: El certificado no proviene de una parte de confianza, por lo que podría ser obra de un atacante que despliegue un ataque man-in-the-middle.

Estos mensajes de advertencia ahuyentan a los usuarios, temiendo que sus datos personales o financieros estén en peligro al interactuar con su sitio.

Por su diseño, los certificados autofirmados —ya sea para TLS/SSL, S/MIME, firma de documentos o firma de código— pueden tener cualquier periodo de validez porque no están sujetos a ninguna regulación. No obstante, habrá que renovarlos y reutilizarlos antes de que caduquen. Cuanto más largo sea el periodo de validez, mayor será el riesgo de olvidar la existencia del certificado y su fecha de caducidad.

A diferencia de los certificados autofirmados, los certificados TLS/SSL de confianza pública no pueden emitirse durante más de 13 meses. Antes de 2015, el periodo máximo de validez permitido era de cinco años, pero se redujo gradualmente a un año. Esto se aplica a los certificados validación extendida (EV) y validación de la organización (OV) TLS/SSL.

Utilizar un certificado autofirmado significa optar por proceder sin el apoyo de una autoridad certificadora de confianza que garantice la validez de los datos del certificado. Por defecto, los navegadores web y los sistemas operativos nunca confían en los certificados autofirmados. Depende de cada usuario eludir la advertencia de seguridad aprobando manualmente cada certificado de autofirma que encuentre, en cada dispositivo que utilice, caso por caso. Y los mensajes de advertencia dejan claro que los certificados de autofirma pueden representar un riesgo para la seguridad, por lo que es poco probable que los usuarios procedan.

Los certificados TLS/SSL autofirmados son marcados por los navegadores, porque no son emitidos por las CA de confianza, por lo que no hay garantía de que el certificado sea legítimo. El navegador muestra una advertencia, indicando que el certificado del sitio no está emitido por una CA de confianza y, por tanto, no se garantiza que la conexión sea segura.

Las alertas de seguridad de los navegadores y los sistemas operativos disuadirán al usuario final de utilizar el sitio web o la aplicación al sentirse inseguro. Por ello, los certificados autofirmados se suelen utilizar sólo para entornos de prueba o redes internas de bajo riesgo.

Los certificados TLS/SSL autofirmados son seguros en un entorno de pruebas, y puede utilizarlos mientras espera que sus certificados sean emitidos por una CA pública. Sin embargo, su uso en un entorno de producción disminuirá significativamente el tráfico de su sitio web o aplicación y provocará la falta de confianza de los usuarios.

Algunas organizaciones pueden considerar interesante el uso de certificados TLS/SSL autofirmados, ya que pueden generarse de forma gratuita; sin embargo, lo que no suelen tener en cuenta son los riesgos de confianza y el mantenimiento de los certificados autofirmados. Su renovación, en particular, puede acarrear muchos costes ocultos.

Un certificado TLS/SSL autofirmado está firmado con su propia clave privada y no está encadenado a ninguna CA intermedia o raíz. Los certificados autofirmados son creados, emitidos y firmados por la empresa o el desarrollador responsable del mantenimiento del sitio web que necesita que se firme. Aunque esto podría ser una forma de reducir los costes de los certificados para los sitios web internos, nunca es una buena idea para los sitios web y las aplicaciones públicas.

Las claves privadas comprometidas pueden ser una gran amenaza para la infraestructura de la organización. Puede informar de los certificados comprometidos a su autoridad de certificación y ellos los revocarán inmediatamente. Pero para los certificados autofirmados, no habrá ningún mecanismo de revocación de confianza.

Además, las organizaciones a menudo no vigilan sus certificados autofirmados, lo que hace que los certificados caducados o comprometidos se pasen por alto o pasen desapercibidos. Estos certificados comprometidos son las puertas de entrada para que los actores maliciosos accedan a la red y lancen ataques avanzados y sofisticados de malware, ataques man-in-the-middle (MITM), ataques de phishing y botnets.

No hay garantía ni asistencia técnica

Las autoridades públicas de certificación ofrecen apoyo, experiencia y herramientas de gestión para sus certificados. Sin embargo, en el caso de los certificados autofirmados, no se ofrece ningún tipo de apoyo, experiencia o herramienta de gestión, ya que estos certificados se generan internamente. Se necesitan recursos humanos y financieros para mantener su control.

Falta de visibilidad y control

Las organizaciones utilizan miles de certificados digitales, emitidos por las CA privadas y públicas, y es difícil hacer un seguimiento manual de cada uno de estos certificados. Saber cuántos certificados hay, quién los posee, dónde se encuentran y dónde se almacenan las claves privadas es fundamental para reforzar la ciberdefensa.

Las organizaciones que utilizan innumerables certificados autofirmados suelen acabar teniendo una visibilidad borrosa de la infraestructura de certificados. Lamentablemente, si se produce una brecha en la red de su organización, no sabrá si se debe a un certificado autofirmado comprometido y a la clave privada asociada a él.

No cumple los requisitos de seguridad

Los certificados digitales emitidos por autoridades de certificación de confianza mantienen unos estándares sólidos, mientras que los certificados autofirmados se generan internamente y muy raramente se ajustan a los últimos estándares de seguridad debido a la falta de conocimiento y a que no se mantienen al día con las mejores prácticas.

Es fundamental gestionar y supervisar todos los certificados y claves digitales existentes en una red corporativa. Todos los certificados, tanto los emitidos por las CA como los autofirmados, responsables del funcionamiento de los sitios internos y públicos, deben estar asegurados y protegidos y someterse a una supervisión constante.

Para los servicios internos de la LAN, se pueden utilizar certificados autofirmados, pero hay que contar con una política sólida, para asegurarse de que el servidor de la CA emisora está bien protegido de los ciberdelincuentes y se encuentra en un lugar al que no pueden acceder todos los empleados de la organización, y que se dispone de herramientas de supervisión y de un equipo encargado de gestionar el patrimonio de certificados.