¿Qué es una autoridad de certificación?
En pocas palabras, una autoridad de certificación es una entidad que emite certificados digitales. Las autoridades de certificación desempeñan un papel fundamental en la ciberseguridad. Los certificados digitales que emiten son una forma de demostrar que su sitio web es legítimo y no está operado por hackers u otros malos actores. Si no existieran las autoridades de certificación, no sería seguro comprar, realizar operaciones bancarias o transmitir otro tipo de información sensible a través de Internet. La "s" del prefijo https significa seguro, por lo que sabe que el propietario del sitio web ha sido verificado por una autoridad de certificación.
Público vs. Autoridades de certificación privadas
Aunque realizan funciones similares, existen diferencias clave entre las autoridades de certificación públicas y privadas.
- Las autoridades de certificación privadas son específicas de una empresa y emiten certificados para fines internos y casos de uso como redes privadas y VPN, autenticación del usuario y firma de código.
- Las autoridades públicas de certificación son entidades en las que confían los navegadores para proporcionar seguridad, mediante la verificación y el cifrado, a los usuarios cuando interactúan con sitios web y servicios públicos.
¿Cómo se gana la confianza de una autoridad de certificación?
Las autoridades de certificación pública son entidades examinadas que deben cumplir los requisitos básicos establecidos por el foro CA/Browser. Las autoridades de certificación y los navegadores de Internet han trabajado juntos para desarrollar normas más estrictas y uniformes para la gestión de las autoridades de certificación y la emisión de certificados TLS/SSL. Los requisitos básicos 1.0 entraron en vigor el 1 de julio de 2012.
Certificados SSL y PKI
Además de la "s" en https, cuando usted va a un sitio web y ve un candado en la barra superior de su navegador, la tecnología que lo permite es un certificado SSL. Este certificado ha sido emitido por una autoridad de certificación de confianza pública, que se basa en la PKI. La implementación de certificados TLS/SSL es clave para proteger a su organización, a sus clientes potenciales y a sus clientes de los ciberataques relacionados con las transacciones en el sitio web.
Tipos de certificados TLS/SSL
Todas las interacciones en línea deben estar protegidas de los ataques maliciosos. Los certificados TSL/SSL son la base de la privacidad, la protección y la integridad de la marca en el ámbito digital. La mayoría de las autoridades de certificación ofrecen una gama de tipos de certificados en función de los niveles de garantía deseados, los requisitos de cumplimiento y el número de dominios que se protegen.
- Los certificados SSL con validación extendida (EV) proporcionan la mayor garantía de seguridad, y el proceso de verificación es el más riguroso. Cuando se implementa en un sitio web, un icono de candado, el nombre de la organización y la designación HTTPS se hacen visibles para los visitantes. Este tipo de certificado se utiliza generalmente para aplicaciones web que requieren una garantía de identidad para recopilar datos, procesar inicios de sesión o realizar pagos en línea.
- Los certificados SSL con validación de organización (OV) proporcionan garantía de identidad y cifrado y son los más adecuados para cifrar la información del usuario durante las transacciones. La mayoría de los sitios web orientados al consumidor están obligados por ley a implantar certificados SSL con OV para garantizar la confidencialidad de la información comunicada durante una sesión.
- Los certificados SSL con validación de dominio (DV) tienen menos requisitos de verificación de identidad que los certificados con EV u OV que solo demuestran el control del dominio. Suelen utilizarse para aplicaciones de bajo riesgo, como blogs, comunidades de usuarios o sitios informativos. Esto hace que los certificados con DV sean menos costosos y más fáciles de obtener.
- Los certificados SSL Wildcard se verifican hasta el nivel de validación de organización y son una solución rentable para asegurar un dominio base y cualquier número de subdominios afiliados. Además de los costes más bajos (que la compra de varios certificados individuales), ofrecen una mayor simplicidad porque los usuarios no tienen que enviar varias solicitudes de firma de certificados (CSR) ni gestionar las fechas de caducidad de varios certificados TLS/SSL en varias URL.
- Los certificados SSL con comunicaciones unificadas (UC) se verifican según los niveles de validación ampliada o de validación de la organización. Una forma eficaz de consolidar varios certificados es aprovechar los nombres alternativos de sujeto (SAN) para ahorrar costes. Los certificados SSL con UC establecen identidades de confianza y eliminan las notificaciones del navegador que advierten a los visitantes de que no deben entrar en su sitio.
¿Por qué los certificados TLS/SSL son fundamentales?
Contar con certificados TLS/SSL de confianza de una autoridad de certificación acreditada es extremadamente importante por varias razones.
- Aumento de las exigencias de cumplimiento. El Reglamento General para la Protección de Datos (GDPR) aplicado en Europa se está adoptando en todo el mundo. Las organizaciones que infrinjan las normas del GDPR se enfrentan a fuertes multas o a la pérdida de ingresos.
- Pérdida de visibilidad en los motores de búsqueda. Los motores de búsqueda están tomando medidas contra los sitios web que suponen una amenaza para la seguridad, implantando indicadores de seguridad negativos y eliminando los sitios de los resultados de los motores de búsqueda.
- Mayor seguridad de los datos. Es fundamental proteger las contraseñas, los números de las tarjetas de crédito, las transacciones financieras y otros datos de gran valor.
- Énfasis en la identidad de confianza. La autoridad certificadora verifica la identidad de las organizaciones, confirma que la organización tiene control sobre sus dominios y se asegura de que el solicitante del certificado es empleado de la organización.
La necesidad de gestionar los certificados
Para las organizaciones que tienen un número creciente de certificados, la gestión de estos puede ser un reto. Las herramientas de gestión del ciclo de vida de los certificados se hacen necesarias para tener una visibilidad completa de sus inventarios de certificados. Busque soluciones de gestión que ofrezcan un amplio conjunto de integraciones para garantizar que su entorno de confianza se adapte a sus necesidades empresariales. Los certificados digitales deben alinearse con todas sus necesidades, incluidos los casos de uso tradicionales y los casos de uso modernos, como el Internet de las Cosas (IoT) y DevOps. También querrá contar con servicios profesionales para resolver problemas complejos y un equipo de atención al cliente que esté disponible 24/7,los 365 días al año, si necesita ayuda.
La conexión entre las autoridades de certificación y la PKI
Ya sea para la confianza pública o privada, las autoridades de certificación son una pieza fundamental del ecosistema más amplio de la PKI (infraestructura de clave pública). PKI es la piedra angular de la seguridad TI y se utiliza para establecer la confianza y las interacciones seguras entre personas, sistemas y cosas. La mejor manera de hacerlo es a través de los certificados digitales que emite una autoridad de certificación para la firma, la autenticación o el cifrado, o los tres.
Red de confianza vs. Autoridad de certificación
La red de confianza es un modelo descentralizado de cifrado y sirve como alternativa a la PKI. En lugar de depender de una autoridad de certificación, la red de confianza se basa en una serie de firmas de distintas fuentes para establecer la legitimidad y vincular la clave pública de cifrado a su propietario. El concepto de red de confianza fue introducido por Phil Zimmermann en 1992 en su manual de PGP (pretty good privacy) versión 2.0. Por el contrario, la autoridad de certificación se basa en entidades de terceros de confianza que deben cumplir estrictos requisitos y son auditadas anualmente.