Autoridad de validación

Una autoridad de validación, o AV, es la parte de una infraestructura de clave pública que responde, en el momento en que alguien lo pregunta, si un certificado sigue siendo válido.

Emitir un certificado es una afirmación que se hace una vez. Confiar en él es una decisión que se toma cada vez que se presenta, y no son lo mismo: un certificado puede estar perfectamente formado, sin caducar y firmado por una autoridad de confianza, y aun así haber sido revocado esta mañana porque le robaron la clave privada.

La autoridad de validación existe para responder a esa segunda pregunta, y se consulta en cada conexión, y no una sola vez en el momento de la emisión.

Qué comprueba

El estado de revocación. El trabajo central. Si la autoridad emisora ha retirado este certificado y, en tal caso, desde cuándo.

La validez temporal. Si el certificado se está presentando dentro de la ventana para la que se emitió.

La cadena y la firma. Si de verdad lo emitió la autoridad que dice, y si esa autoridad es a su vez de confianza.

Las respuestas se sirven por los mecanismos que una PKI publica para eso: listas de revocación, y respuestas de estado en línea que se consultan certificado a certificado.

Un ejemplo

Un cliente entra en una tienda en línea por TLS.

El servidor de la tienda presenta su certificado. Antes de confiar en él, el cliente comprueba la cadena, las fechas y el estado.

La autoridad de validación responde que el certificado no ha sido revocado. La conexión sigue adelante, y el cliente ve el candado.

Cambia un detalle. La clave privada de la tienda se filtró la semana pasada y el certificado se revocó ese mismo día. Si el cliente comprueba el estado, la conexión falla y el cliente queda protegido. Si no lo comprueba, todo tiene exactamente el mismo aspecto que antes, y se sigue aceptando una clave que todo el mundo sabe que está comprometida.

AV, AC y AR: quién hace qué

Las tres autoridades de una PKI se distinguen por el momento en que actúan.

La autoridad de validación, que es la de esta ficha, responde a una pregunta posterior a la emisión: ¿este certificado sigue siendo válido hoy? Es la pieza que hace que la revocación signifique algo.

La autoridad de certificación es la que lo emitió y lo firmó. Tiene su propia ficha, la de autoridad de certificación.

La autoridad de registro es la que, antes de todo eso, comprobó que el solicitante era quien decía.

En una frase: la AR mira antes, la AC firma, la AV responde después.

Y por esto la revocación es el fallo silencioso de una PKI. Si nadie comprueba el estado, una clave comprometida sigue siendo aceptada por todo el mundo hasta que caduque sola. La red de seguridad existe, está montada, y no está puesta. Cuando revisas una PKI, la pregunta que merece la pena hacer no es si la revocación se publica; es si algo la consulta de verdad, y qué hace el cliente cuando esa comprobación agota el tiempo de espera.