Una cadena de CA es una lista ordenada de certificados de autoridades de certificación (CA) —todas las CA intermedias entre un certificado emitido y la raíz de confianza— que permite al destinatario verificar, paso a paso, el certificado de un dispositivo, una pasarela o un servidor, hasta llegar a un certificado raíz en el que ya confía.
Puntos clave
- Una cadena de autoridades de certificación (CA) vincula un certificado a una raíz de confianza a través de autoridades de certificación intermedias.
- La falta de certificados intermedios provoca errores de «certificado no fiable» en certificados raíz válidos.
- También se denomina «cadena de certificados» o «cadena de confianza» en la terminología de la PKI.
- Los dispositivos VOS y el portal Titan requieren que se suba la cadena, no solo el certificado.
- Cada certificado está firmado por el que le precede, hasta llegar a una raíz de confianza.
En esta página: Por qué es importanteCómo funcionaTiposCadena CA y VersaPreguntas frecuentes
¿Por qué son importantes las cadenas de CA?
La validación de certificados solo funciona si la parte verificadora puede rastrear un certificado firmado hasta una raíz en la que ya confía. Los dispositivos se suministran con un pequeño conjunto de certificados de CA raíz de confianza, pero casi ningún certificado está firmado directamente por una de esas raíces; en su lugar, la raíz delega la firma a una o varias CA intermedias. Un verificador que solo disponga del certificado final no puede rastrear las firmas hasta un punto de referencia de confianza que reconozca.
Por eso, los errores de «certificado no fiable» y «CA desconocida» suelen deberse a un problema de cadena incompleta, no a un certificado no válido. Si la cadena es incorrecta, se ve comprometido lo que protege: los navegadores bloquean el sitio web, los túneles IPsec fallan y las conexiones a los directorios fallan. Además, los certificados intermedios mantienen la clave privada de la CA raíz fuera de línea; la cadena es lo que hace posible esa protección.
¿Qué es una cadena de CA?
Desde el punto de vista estructural, una cadena de CA es una ruta de firmas: el certificado de la CA raíz de confianza (autofirmado, en un almacén de confianza) en la parte superior; uno o varios certificados de CA intermedias en el medio —cada uno firmado por el que le precede—; y el certificado de la entidad final (el certificado del dispositivo, servidor o pasarela) en la parte inferior, firmado por la última CA intermedia. Un verificador comprueba cada firma hasta que una de ellas coincide con su almacén de confianza.
Una cadena de certificados (CA) suele consistir en un único archivo; normalmente .crt, .cer, o .pem – que contiene los certificados intermedios concatenados en orden, a veces incluyendo el certificado raíz. El software que valida el certificado de entidad final lee este archivo para completar los datos que su propio almacén de confianza no puede proporcionar.
Tipos de cadenas de CA
Las cadenas varían principalmente en función de su profundidad y de cómo se conecta la jerarquía. Una cadena con un único nivel intermedio —certificado raíz, un certificado intermedio y certificado final— es la estructura más habitual en las PKI empresariales. Una cadena con varios niveles intermedios anida varias CA intermedias, lo que permite a una CA de gran tamaño delegar la firma por política, región o unidad de negocio sin sobreexponer la raíz. En una cadena de un solo nivel, la raíz firma directamente el certificado de la entidad final; es más sencilla, pero utiliza la clave raíz con mayor frecuencia, por lo que es más habitual en certificados de laboratorio autofirmados que en las PKI de producción. Las cadenas con firma cruzada vinculan jerarquías independientes haciendo que una CA firme el certificado de otra, lo cual resulta útil durante la migración de una raíz.
CA Chain & Versa
En un dispositivo VOS gestionado a través de un Director d Versa , el certificado de CA, su clave privada y su cadena de CA se cargan como objetos personalizados independientes —en «Objetos y conectores» > «Objetos personalizados» > «Certificado de CA, claves y cadenas de CA»— primero en el nodo del Director y, a continuación, en el dispositivo; los archivos de la cadena deben ser .crt, .cer, o .pem. El Configurar certificados de CA, archivos de claves y cadenas de CA guía (y su Equivalente a un NGFW) abarcan ambos pasos. Una vez cargada, la cadena se selecciona dentro de un perfil de VPN IPsec tanto para la autenticación con certificado local como para la autenticación con certificado de contraparte.
En el portal de «Titan », los MSP y los administradores de inquilinos siguen la misma secuencia —primero la clave, luego el certificado y, por último, la cadena— para instalar certificados para los servicios VSA de la pasarel SASE , y pueden elegir una cadena de CA predeterminada o personalizada a la hora de proteger LDAPS para Active Directory.
Preguntas frecuentes
¿Cuál es la diferencia entre un certificado de CA y una cadena de CA?
Un certificado de CA es un certificado único emitido por una autoridad. Una cadena de CA es la secuencia completa y ordenada de esos certificados —todas las CA intermedias entre un certificado emitido y la raíz de confianza— necesaria para verificarlo hasta llegar a una raíz en la que el verificador ya confía.
¿Por qué me aparece un error de «certificado no fiable» si el certificado es válido?
Normalmente, el servidor o el dispositivo solo envía su certificado de entidad final, sin los certificados intermedios de la CA. El almacén de confianza del cliente solo contiene el certificado raíz, por lo que no puede salvar la diferencia entre ambos; subir o proporcionar la cadena completa de la CA resuelve el error.
¿Qué formatos de archivo utiliza una cadena de certificados?
Las cadenas CA suelen distribuirse como .crt, .cer, o .pem archivos que contienen certificados codificados en formato PEM concatenados en orden, desde el primer certificado intermedio hasta el último, de modo que el software de validación pueda leer toda la ruta de confianza desde un único archivo.
¿Cada certificado necesita su propia cadena de autoridades de certificación?
No. Los certificados emitidos desde la misma jerarquía de autoridades de certificación (CA) comparten los mismos certificados intermedios y el mismo certificado raíz. Un único objeto de cadena de CA cargado valida todos los certificados de dispositivos o pasarelas emitidos desde esa jerarquía, por lo que los administradores lo cargan una sola vez en lugar de adjuntar una cadena independiente a cada certificado.
¿En qué otros casos se utiliza una cadena de certificados, aparte del tráfico HTTPS?
Más allá del tráfico web, las cadenas de certificados autentifican a los pares de VPN IPsec durante la negociación IKE basada en certificados, protegen las conexiones LDAPS a los servidores de directorio y validan los certificados de identidad de dispositivos o puertas de enlace, siempre que una de las partes deba verificar que el certificado de la otra parte se remonta a una raíz de confianza.
Más información sobre las cadenas de CA
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| IETF RFC 5280: Perfil de certificados y listas de revocación (CRL) de la infraestructura de clave pública (PKI) X.509 | Glosario del CSRC del NIST |
|---|---|
| El estándar de la IETF que define el formato de los certificados X.509 y el modelo de validación de la ruta de certificación (cadena) utilizado en TLS, IPsec y PKI. | Las definiciones normalizadas del NIST sobre la terminología relacionada con la PKI y la ruta de certificación, útiles para realizar referencias cruzadas precisas con respecto a las especificaciones de seguridad. |
Términos relacionados
Si estás leyendo sobre cadenas de CA, te conviene echarles un vistazo a estas a continuación.
| Seguridad de la capa de transporte | Protocolo de Conexión Segura (SSL) | Publicar |
|---|---|---|
| La función más habitual de una cadena de CA es verificar el certificado de un servidor o de un par antes de establecer una sesión cifrada. | El predecesor de TLS; las cadenas de CA validan los certificados SSL y TLS a través de la misma ruta de confianza desde la raíz hasta el extremo. | La acción «Director/Concerto» que envía un certificado CA, una clave y una cadena de certificados cargados al dispositivo de destino. |