¿Qué es una autoridad de certificación?

Una autoridad de certificación (CA) es una entidad de confianza que emite y firma digitalmente certificados que vinculan una clave pública a una identidad verificada: un dispositivo, un servidor o un usuario. Los certificados emitidos por una CA permiten a dos partes establecer conexiones cifradas y autenticadas sin necesidad de compartir previamente una clave secreta, lo que constituye la base de TLS, IPsec y la autenticación de dispositivos basada en PKI.

Puntos clave

• Una CA emite y firma digitalmente certificados que verifican la identidad.
• Los certificados vinculan una clave pública a un dispositivo, un servidor o un usuario.
• Las autoridades de certificación (CA) raíz e intermedias forman una cadena jerárquica de confianza.
• Las autoridades de certificación públicas gozan de una amplia confianza; las privadas prestan servicio a una sola organización.
• Los dispositivos VOS utilizan certificados emitidos por una autoridad de certificación (CA) o autofirmados para la autenticación PKI.

En esta página: Por qué es importante · Cómo funciona · Tipos · CA y Versa · Preguntas frecuentes

¿Por qué es importante un CA?

Sin un tercero de confianza que avale la identidad, una clave pública por sí sola no prueba nada: cualquiera puede generar un par de claves y hacerse pasar por quien quiera. Una CA resuelve este problema verificando al solicitante antes de firmar, de modo que una parte que confía en ella solo tiene que confiar en el certificado raíz de la CA, y no en cada punto final al que se conecte. Ese punto de referencia de confianza es lo que hace que la comunicación cifrada sea viable a escala de Internet: los navegadores y los sistemas operativos incluyen de serie una lista seleccionada de CA raíz de confianza, y cualquier certificado encadenado se acepta automáticamente.

La autenticación basada en certificados sustituye un secreto compartido por una credencial verificable y revocable: si se ve comprometido un dispositivo, se revoca su certificado, en lugar de que todos los pares tengan que utilizar una nueva contraseña. En el caso de la autenticación IPsec y VPN, la PKI elimina la necesidad de distribuir y rotar una clave precompartida en todos los terminales.

¿Qué es un CA?

Una autoridad de certificación (CA) forma parte de una infraestructura de clave pública (PKI) y desempeña tres funciones: verificar la identidad, firmar certificados y gestionar la revocación. Un dispositivo genera un par de claves y envía una solicitud de firma de certificado (CSR) con su clave pública y los datos de identificación. La CA valida la solicitud —el nivel de detalle puede ir desde la confirmación del control del dominio hasta una verificación exhaustiva de la organización— y, a continuación, firma un certificado X.509 que vincula la clave a la identidad.

Las CA suelen estar organizadas en una jerarquía: en la cúspide se encuentra una CA raíz, normalmente fuera de línea, que firma a las CA intermedias encargadas de la emisión. Los certificados también caducan o pueden revocarse anticipadamente, lo cual se comprueba a través de una lista de revocación de certificados (CRL) o del Protocolo de estado de certificados en línea (OCSP).

Tipos de autoridades de certificación

Las CA públicas (comerciales) gozan de confianza por defecto en los almacenes de confianza de los sistemas operativos y los navegadores, lo que las convierte en la opción adecuada para cualquier elemento conectado a Internet: sitios web públicos, API de SaaS o servicios a los que acceden dispositivos que no controlas. Las CA privadas (internas) las gestiona una organización para su propio uso —servicios internos, puntos finales de VPN, autenticación de dispositivos— y no gozan de confianza en ningún otro lugar a menos que se añada la raíz al almacén de confianza de cada punto final. En cualquiera de las dos categorías, una CA raíz está autofirmada y constituye el ancla de la cadena, mientras que una CA intermedia está certificada por la raíz y se encarga de la emisión diaria de certificados, lo que limita el alcance de un posible ataque en caso de que se vea comprometida. Un certificado autofirmado prescinde por completo de la jerarquía, lo cual está bien para realizar pruebas, pero debe marcarse como de confianza manualmente en cada dispositivo.

CA y Versa

Los dispositivos VOS admiten la autenticación basada en certificados (PKI) como alternativa a las claves precompartidas para IKE e IPsec. Los administradores configuran una CA común —un perfil global no vinculado a ninguna organización— especificando el tipo de servidor (ACME, CMP, CRL, GCP, KMIP o SCEP) y, opcionalmente, OCSP para las comprobaciones de revocación. Las organizaciones de proveedores y clientes, así como los nodos controladores, utilizan ese perfil para la autenticación de los equipos de usuario final (CPE); el flujo de trabajo básico de configuración consiste en seleccionar PKI como modo IKE y asociar los agentes de CA a una plantilla.

Durante el aprovisionamiento sin intervención, «CA in Data Center» envía la CSR de la sucursal a través del túnel IPsec para que esta obtenga un certificado firmado por la CA para túneles posteriores. En el extremo del terminal, el cliente «SASE » necesita el certificado de la CA de la pasarela en su almacén raíz de confianza para completar el registro de la VPN y el descifrado SSL; « Versa » incluye una CA raíz predeterminada para ello, que los clientes pueden sustituir.

Preguntas frecuentes

¿Cuál es la diferencia entre un CA y un CSR?

Una CSR (solicitud de firma de certificado) es lo que genera y envía un dispositivo; contiene la clave pública y datos de identidad, como el nombre común. La CA lo verifica y, si todo está en orden, firma un certificado. La CSR es la solicitud; la CA es el emisor.

¿Qué es un certificado autofirmado?

Un certificado autofirmado está firmado por su propia clave privada, en lugar de por una autoridad de certificación (CA), por lo que ningún sistema confía en él automáticamente. Sirve para pruebas o configuraciones internas, pero cada dispositivo que vaya a utilizarlo debe añadirlo manualmente a su almacén de confianza; de lo contrario, las conexiones aparecerán como no fiables.

¿Cómo verifica una CA la identidad antes de emitir un certificado?

El nivel de validación depende del tipo de certificado: las autoridades de certificación (CA) con validación de dominio confirman el control del dominio; las CA con validación de organización comprueban los registros mercantiles; y las CA con validación ampliada llevan a cabo un examen jurídico más exhaustivo. Las CA internas o de dispositivos suelen basarse en un secreto de inscripción compartido o en un protocolo automatizado como ACME.

¿Qué ocurre cuando se revoca un certificado?

La autoridad de certificación emisora publica el número de serie del certificado en una lista de revocación de certificados (CRL) o responde a consultas en tiempo real a través del protocolo OCSP. Las partes que confían en el certificado comprueban uno de estos elementos antes de dar por válido un certificado, por lo que un certificado revocado deja de ser aceptado de inmediato, incluso antes de que caduque.

¿Cuál es la diferencia entre una CA raíz y una CA intermedia?

Una CA raíz es autofirmada y se sitúa en la cúspide de la cadena de confianza; por motivos de seguridad, suele mantenerse desconectada. Las CA intermedias están certificadas por la CA raíz y se encargan de la emisión habitual de certificados, de modo que, si una CA intermedia se ve comprometida, se puede revocar sin que ello invalide la CA raíz ni el resto de sus certificados.

Más información sobre CA

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre CA, te recomiendo que eches un vistazo a lo siguiente.