O que é um certificado autoassinado?

Um certificado TLS/SSL autoassinado não é assinado por uma autoridade de certificação (CA) publicamente confiável, mas pelo desenvolvedor ou empresa responsável pelo site; como não são assinados por uma CA publicamente confiável, geralmente são considerados inseguros para aplicativos e sites públicos.

A função de uma CA pública é garantir a validade das informações incluídas em um certificado, especialmente a propriedade e/ou controle do(s) nome(s) de domínio associado(s) ao certificado no caso de TLS/SSL . Portanto, usar certificados autoassinados equivale a usar credenciais que não foram emitidas por uma autoridade válida.

A expressão “certificados autoassinados” normalmente se refere a certificados TLS/SSL que foram gerados de forma independente, sem qualquer ligação a um certificado raiz ou intermediário. Isso também pode se aplicar a outros certificados de assinatura digital X.509, como S/MIME, assinatura de código e assinatura de documentos.

A natureza dos certificados autoassinados implica que as informações no certificado não foram verificadas por uma parte confiável (uma CA pública) e esses certificados acionarão um alerta de segurança: Os navegadores da Web e os sistemas operacionais detectarão e sinalizarão certificados que não foram assinados por uma CA publicamente confiável porque representam um risco de segurança para o usuário: O certificado não vem de uma parte confiável, portanto, pode ser o trabalho de um invasor implantando um ataque man-in-the-middle.

Essas telas de aviso afastam os usuários, temendo que seus dados pessoais ou financeiros estejam em risco ao interagir com seu site.

Por design, os certificados autoassinados – sejam eles para TLS/SSL, S/MIME, assinatura de documento ou assinatura de código – podem ter qualquer período de validade porque não estão sujeitos a nenhuma regulamentação. No entanto, eles ainda precisarão ser renovados e reimplantados antes de expirarem. Quanto maior o período de validade, maior o risco de esquecer a existência do certificado e sua data de validade.

Ao contrário dos certificados autoassinados, os certificados TLS/SSL publicamente confiáveis não podem ser emitidos por mais de 13 meses. Antes de 2015, o prazo máximo de validade permitido era de cinco anos, mas foi gradualmente reduzido para 1 ano. Isso se aplica a certificados TLS/SSL de validação estendida (EV) e validação de organização (OV).

Usar certificado autoassinado significa optar por continuar sem o suporte de uma autoridade de certificação confiável para garantir a validade dos detalhes do certificado. Por padrão, os certificados autoassinados nunca serão confiáveis por navegadores da Web e sistemas operacionais. Cabe a cada usuário ignorar o aviso de segurança aprovando manualmente cada certificado de autoassinatura que encontrar, em cada dispositivo que usar, caso a caso. E as mensagens de aviso deixam claro que os certificados autoassinados podem representar um risco de segurança, portanto, é improvável que os usuários continuem.

Os certificados TLS/SSL autoassinados são sinalizados pelos navegadores porque não são emitidos por CAs confiáveis, portanto, não há garantia de que o certificado seja legítimo. O navegador exibe um aviso informando que o certificado do site não foi emitido por uma CA confiável e, portanto, a conexão não é garantida como segura.

Alertas de segurança de navegadores e sistemas operacionais impedirão um usuário final de usar o site ou aplicativo, pois parece inseguro e desprotegido. É por isso que os certificados autoassinados geralmente são usados apenas para ambientes de teste ou redes internas de baixo risco.

Os certificados TLS/SSL autoassinados são seguros em um ambiente de teste e você pode usá-los enquanto espera que seus certificados sejam emitidos por uma CA pública. Mas usá-los em um ambiente de produção diminuirá significativamente o tráfego para seu site ou aplicativo e levará à falta de confiança dos usuários.

Algumas organizações podem achar interessante usar certificados TLS/SSL autoassinados, pois eles podem ser gerados gratuitamente; no entanto, o que eles geralmente não pensam são os riscos de confiança e a manutenção de certificados autoassinados. Sua renovação, em particular, pode resultar em muitos custos ocultos.

Um certificado TLS/SSL autoassinado é assinado com sua própria chave privada e não é encadeado a nenhuma autoridade de certificação intermediária ou raiz. Os certificados autoassinados são criados, emitidos e assinados pela empresa ou desenvolvedor responsável pela manutenção do site que precisa ser assinado. Embora isso possa ser uma maneira de reduzir os custos de certificados para sites internos, nunca é uma boa ideia para sites e aplicativos públicos.

Chaves privadas comprometidas podem ser uma grande ameaça à infraestrutura da organização. Você pode relatar certificados comprometidos à autoridade de certificação emissora e eles os revogarão imediatamente. Mas para certificados autoassinados, não haverá nenhum mecanismo de revogação confiável.

Além disso, as organizações geralmente não conseguem manter uma guia em seus certificados autoassinados, fazendo com que certificados expirados ou comprometidos sejam esquecidos ou despercebidos. Esses certificados comprometidos são os gateways para os atores mal-intencionados obterem acesso à rede e lançarem ataques de malware avançados e sofisticados, ataques man-in-the-middle (MITM), ataques de phishing e botnets.

Sem garantia e suporte técnico

As autoridades de certificação públicas oferecem suporte, experiência e ferramentas de gerenciamento para seus certificados. Mas para certificados autoassinados, não há suporte, experiência ou ferramenta de gerenciamento fornecida, pois esses certificados são gerados internamente. Você precisa de recursos humanos e financeiros para manter o controle deles.

Falta de visibilidade e controle

As organizações usam milhares de certificados digitais, emitidos por CAs públicas e privadas, e é difícil rastrear cada um desses certificados manualmente. Saber quantos certificados existem, quem os possui, onde estão localizados e onde as chaves privadas são armazenadas é fundamental para fortalecer a defesa cibernética.

As organizações que usam inúmeros certificados autoassinados geralmente acabam tendo uma visibilidade borrada da infraestrutura de certificados. Infelizmente, se houver uma violação em sua rede organizacional, você não saberá se ela é causada devido a um certificado autoassinado comprometido e uma chave privada associada a ela.

Não atende aos requisitos de segurança

Os certificados digitais emitidos por autoridades certificadoras confiáveis mantêm padrões robustos, enquanto os certificados autoassinados são gerados internamente e raramente estão alinhados com os padrões de segurança mais recentes devido à falta de conhecimento e falha em acompanhar as práticas recomendadas.

É fundamental gerenciar e monitorar todos os certificados e chaves digitais existentes em uma rede corporativa. Todos os certificados, tanto emitidos por CAs quanto certificados autoassinados responsáveis pelo funcionamento de sites internos e públicos, devem ser protegidos e protegidos e submetidos a monitoramento constante.

Para serviços internos somente de LAN, você pode usar certificados autoassinados, mas precisa ter uma política forte em vigor, para garantir que o servidor CA emissor esteja bem protegido contra cibercriminosos e localizado em um local que não seja acessível por todos os colaboradores da sua organização, e que dispõe de ferramentas de monitorização e de uma equipa responsável pela gestão do patrimônio certificado.