Son seguros los certificados SSL autofirmados

Un certificado SSL es un medio para vincular una clave criptográfica a los detalles de una empresa. Cuando se utiliza correctamente, garantiza a los clientes de la web que el sitio que están visitando les pertenece a usted. Los certificados SSL también ayudan a habilitar el protocolo seguro de transferencia de hipertexto (HTTPS) en su sitio web, lo que asegura transacciones de varios tipos. Para la mayoría de las empresas, estos certificados SSL se compran a empresas como Verisign, Symantec y Network Solutions. Dichos certificados SSL se pueden adquirir a partir de $37.99 al año (desde SSLCertificate). Una vez que haya comprado su certificado para su dominio (uno por dominio), debe guardar el certificado en la ubicación correcta (según el software del servidor web) e informar al servidor web sobre el nuevo certificado. Una de las mayores frustraciones al pagar por un certificado SSL es que expiran y renovarlos en su servidor puede resultar complicado (dependiendo de la plataforma de software del servidor).

La compra de un certificado SSL no es la única forma de adquirir dicho archivo. Para aquellos que no lo sepan, siempre está la opción del certificado autofirmado. ¿Qué es esto? En pocas palabras, el certificado SSL autofirmado se crea internamente utilizando herramientas como openssl. Estos certificados autofirmados son excelentes para ciertos propósitos y no tan buenos para otros.

Recientemente, me encontré con un problema al intentar configurar un repositorio privado de Docker. Para configurar un repositorio privado, Docker depende de los certificados SSL. Naturalmente, dado que el repositorio iba a ser privado, asumí que un certificado autofirmado funcionaría perfectamente. Entonces, abrí una ventana de terminal en el servidor que alojaría el repositorio y creé los certificados autofirmados. Sin embargo, el registro de Docker se negó a aceptar los certificados. Al final, la única forma de conectarse al registro de Docker fue utilizando un certificado emitido por una Autoridad de Certificación. Esto fue una gran sorpresa para mí. Estaba utilizando software de código abierto para crear un servicio privado y asumí que sería posible. Después de todo, puedo utilizar ese mismo certificado autofirmado en Apache y obtener HTTPS funcionando sin problemas.

Sin embargo, incluso al hacer eso, surge el mayor problema de los certificados autofirmados: la confianza. Al utilizar certificados autofirmados para habilitar HTTPS en su servidor web, cualquier usuario que visite ese sitio tendrá que aceptar una excepción en su navegador. ¿Por qué ocurre esto? Porque el navegador no confía completamente en el certificado. ¿Por qué? Porque el navegador (y el usuario, en ese caso) no tiene forma de saber si ese certificado fue emitido por usted.

Hombre en el medio

En este punto es donde entra en juego un ataque de "hombre en el medio". Supongamos, por ejemplo, que tienes un negocio que vende jabones y tu negocio va muy bien. Vendes tus productos de jabones en línea y has habilitado HTTPS en tu servidor para proteger a tus clientes (y a ti mismo). Pero un día, algo extraño sucede y descubres que los pedidos de tus productos de jabón se detuvieron o empiezas a recibir quejas sobre robo de datos. Lo que podría haber sucedido es que alguien se ha colocado a sí mismo (y a su propio servidor) entre tú y tus clientes. Ese individuo malintencionado ha creado muy probablemente un certificado SSL autofirmado con tu información para intentar engañar a los usuarios y hacerles pensar que su servidor es tu servidor.

Ese es el gran peligro de los certificados autofirmados: cualquiera puede crear uno con la información de cualquier persona. Pero no hay motivo de pánico, no es como si tuvieses que incluir tu número de seguro social en tus certificados. De hecho, para un certificado autofirmado, la única información que debes incluir es:

Cómo dar privilegios de sudo a usuarios en Linux

• Estado
• Ciudad
• Nombre de la empresa
• Departamento
• Tu nombre
• Dirección de correo electrónico
• Contraseña

Si quisieras, podrías crear un certificado autofirmado para cualquier empresa, completando la información mencionada anteriormente. Y en cuanto a la dirección de correo electrónico y la contraseña, podrías usar cualquier dirección de correo electrónico (incluso aunque no pertenezca al dominio asociado con la empresa) y la contraseña solo es única para ese certificado (por lo que puedes crearla a medida que creas el certificado).

La respuesta

Dicho todo esto, ¿cuándo es adecuado hacer uso de certificados autofirmados? La respuesta es bastante simple superficialmente, pero tiene su parte difícil. La parte simple es esta: los certificados autofirmados son adecuados para fines de prueba y para servicios internos dentro de una red local (LAN). Sin embargo, ambos casos solo se pueden llevar a cabo si el software del servidor acepta certificados autofirmados. La buena noticia es que los certificados autofirmados se pueden crear de forma gratuita, por lo que solo perderías un poco de tiempo si resulta que tu software de servidor no funciona con un certificado autofirmado.

La siguiente capa de esta situación es un poco más desafiante. Si optas por utilizar certificados autofirmados para tus servidores internos, debes asegurarte de que tu servidor de autoridad de certificación esté realmente seguro. No solo debe estar protegido de tráfico de red malintencionado, sino que también debes asegurarte de que se encuentre en un lugar al que no tenga acceso cualquiera. No querrás permitir que cada empleado tenga acceso al servidor de la autoridad de certificación. ¿Por qué? Si tu certificado raíz de la autoridad de certificación llegara a caer en manos equivocadas, las cosas podrían empeorar rápidamente para esos servicios internos de tu red local.

En cuanto a los servidores públicos, nunca sugeriría utilizar certificados autofirmados. ¿Por qué? Incluso si llevas a cabo tu actividad diaria sin sufrir ningún tipo de ataque, en el mundo actual debes presentar una imagen muy confiable. Debido a la gran cantidad de competencia que existe, el más mínimo descuido en materia de seguridad podría ser catastrófico para tu empresa. Por eso, es sumamente conveniente pagar por un certificado SSL confiable.

¿Existe una solución mejor?

Siempre he sostenido la idea de que podría existir una solución mejor y más segura para esto. Por ejemplo, imaginemos que tuvieras la opción de realizar una compra única de una clave criptográfica que estaría permanentemente vinculada a tu empresa. Esa clave luego podría utilizarse para crear los certificados que necesites. Cualquier certificado SSL (o clave de cifrado ssh, o cualquier otra cosa que necesites) creado con esa clave criptográfica en particular sería considerado confiable. Pagarías una vez por una clave que cubriría todas tus necesidades (incluso subdominios). Incluso podrías hacer pública la parte pública de esa clave para que cualquier persona que desee estar absolutamente seguro de que cualquier sitio que afirme ser tuyo realmente lo sea. Por supuesto, también hay problemas con esta solución. En primer lugar, requeriría posiblemente una reestructuración de los subsistemas SSL (u otros) para permitir la creación de certificados basados en una clave criptográfica externa. En segundo lugar, requeriría educar a aquellos que utilicen dicho sistema. Los administradores tendrían que aprender cómo crear nuevos certificados SSL basados en una clave criptográfica comprada. Por último, esa clave criptográfica comprada debería estar bien protegida (de lo contrario, si se hiciera pública, todo estaría en juego).

¿Qué piensas tú? ¿Existe una solución mejor que la que utilizamos actualmente? Y ¿dónde crees tú que los certificados autofirmados pueden ser confiables?

10 elementos clave para garantizar la seguridad y estabilidad en un entorno de producción

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Son seguros los certificados SSL autofirmados , tenemos lo ultimo en tecnología 2023.