Certificado de hoja

Un certificado de hoja asocia una clave pública a un nombre de host y está firmado por un certificado intermedio. Su vida útil máxima no deja de reducirse: el límite bajó de 825 días a 398 días el 1 de septiembre de 2020, y una votación del CA/Browser Forum de 2025 lo reduce por etapas hasta 47 días para marzo de 2029. Un candado le indica que el dominio coincidió, que es exactamente lo que también consigue el dominio parecido de un estafador.

Cómo funciona

Un certificado de hoja está en la base de la cadena de certificados y no puede firmar nada más. Su extensión basicConstraints pone el indicador CA en false, y ese indicador es la diferencia mecánica entre él y todos los certificados que tiene por encima. Los nombres de host que abarca están en la extensión subjectAltName; los clientes actuales ignoran el antiguo campo de nombre común, así que un certificado cuya extensión subjectAltName omite el nombre de host falla aunque el nombre común coincida a la perfección.

Conseguir que se emita uno demuestra menos de lo que la mayoría supone. La validación de dominio, el nivel más barato y con diferencia el más común, solo comprueba que quien lo solicitó puede colocar un token en una URL del dominio o publicar un registro DNS bajo él. Con el protocolo ACME esa comprobación termina en segundos y no cuesta nada. La validación de organización y la validación extendida añaden trámites sobre una persona jurídica, pero los navegadores dejaron de premiar el esfuerzo: tanto Chrome 77 como Firefox 70 quitaron el nombre de la empresa de la barra de direcciones en el otoño de 2019, así que ahora un visitante ve el mismo candado en ambos casos.

Dos novedades sí ayudan. Todo certificado de hoja de confianza pública debe figurar en los registros de Certificate Transparency, y Chrome rechaza desde el 30 de abril de 2018 los certificados que carecen de prueba de registro, así que cualquiera puede buscar en esos registros públicos certificados emitidos para un dominio de su propiedad y detectar uno que nadie solicitó. La reducción de la validez también ayuda, por una razón muy directa: una clave robada solo sirve hasta que el certificado caduca, y por eso el sector aceptó un calendario que baja a 200 días, luego a 100 y luego a 47.

Dónde aparece

Un certificado de hoja le llega cada vez que inicia sesión en un exchange. El certificado de hoja es aquello con lo que su navegador compara el nombre de host, y es el único eslabón de la cadena de certificados que aporta algún dato sobre el sitio concreto que usted tiene delante.

Aquí es donde el término demuestra su utilidad para cualquiera que compre bitcoin. Una página de phishing en un dominio que imita al original con una errata lleva un certificado de hoja perfectamente válido, emitido de forma automática y gratuita, con un candado auténtico al lado. El certificado confirma que su conexión llega de verdad al dominio que muestra la barra de direcciones. No afirma en ningún momento que el dominio pertenezca a la empresa cuyo logotipo aparece en la página. Lea el nombre de host carácter por carácter, prestando atención a la parte inmediatamente anterior a la primera barra simple, y trate el candado como una afirmación sobre el cableado y no sobre la honradez.

Dentro de BIP70, el certificado de hoja hacía el mismo trabajo en otro formato: iba primero en la lista de certificados, y la firma de la solicitud de pago se generaba con su clave privada.

Certificado de hoja frente a certificado intermedio

Un certificado de hoja cierra la cadena de certificados; uno intermedio la continúa. Solo uno de los dos puede firmar otros certificados, y un cliente que dejara firmar a un certificado de hoja aceptaría cualquier cosa que cualquiera le pusiera delante. La división también decide dónde reside la clave privada. La clave de un certificado intermedio permanece dentro de un módulo de hardware en la autoridad y firma miles de certificados a lo largo de su vida. La clave de un certificado de hoja está en el servidor que identifica, queda expuesta a todo aquello a lo que ese servidor esté expuesto y se reemplaza cada vez que se renueva el certificado.