Qué es PKI y cómo funcionan sus certificados
Autor: Redacción Domeny.ForSale Publicado
En pocas palabras: PKI es la infraestructura de clave pública: un sistema de certificados, entidades, procedimientos y herramientas que permite vincular una clave criptográfica con un dominio, una persona o un dispositivo. Gracias a ella, el navegador puede comprobar si se conecta al servidor correcto, y la red de una empresa puede reconocer un ordenador autorizado. PKI es la base de muchos usos de HTTPS, de la autenticación y de las firmas digitales, pero por sí sola no garantiza la honestidad del propietario de una web ni la seguridad de todo el sistema.
Cómo vincula PKI una clave con una identidad
La sigla PKI procede del inglés Public Key Infrastructure. Su fundamento es la criptografía asimétrica, que utiliza un par de claves relacionadas matemáticamente: una pública y otra privada. La clave pública se puede compartir, mientras que la privada debe permanecer bajo el control de su propietario.
En una firma digital, la clave privada sirve para crear la firma y la pública para verificarla. Una verificación correcta confirma que la firma se creó con la clave privada correspondiente y que los datos firmados no se han modificado. Sin embargo, el par de claves por sí solo no indica a quién pertenece.
Este problema se resuelve con un certificado digital, una credencial electrónica que vincula la clave pública con un sujeto o identificador concreto, por ejemplo, un nombre de dominio. Contiene, entre otros elementos, la clave pública, los datos del sujeto, el emisor, el periodo de validez y los usos permitidos. En el formato habitual X.509, el emisor firma digitalmente el certificado.
El alcance de lo que acredita depende del tipo de certificado. Un certificado básico de servidor HTTPS confirma el control del dominio indicado conforme al procedimiento del emisor, no la fiabilidad de una tienda ni la calidad de su oferta.
De qué se compone la infraestructura PKI
PKI no es un certificado aislado, sino todo un sistema de emisión y gestión de credenciales. Sus elementos principales son:
- Autoridad de certificación (CA): emite y firma certificados que confirman una vinculación concreta entre una clave y un sujeto.
- Autoridad de registro (RA): comprueba las solicitudes y si el solicitante tiene derecho a recibir un certificado. La propia CA puede desempeñar esta función.
- Almacén de confianza: conjunto de certificados de confianza que mantiene, por ejemplo, el sistema operativo, el navegador o el administrador de la empresa.
- Mecanismos de comprobación de revocación: permiten determinar si un certificado se ha revocado antes de que termine su periodo de validez. Entre ellos están las listas CRL y el protocolo OCSP.
- Políticas y herramientas de gestión: establecen quién recibe un certificado, cómo se protegen las claves y cómo se lleva a cabo la renovación o la revocación.
La confianza suele formar una cadena: una CA intermedia firma el certificado del servidor, y el certificado de esa CA conduce a una autoridad raíz de confianza, denominada root CA. El certificado raíz suele estar autofirmado, pero no es esa firma lo que lo hace fiable. Lo decisivo es que se haya incorporado previamente al almacén de confianza.
Qué ocurre durante una conexión HTTPS
HTTPS es HTTP protegido por el protocolo TLS, que asegura la comunicación entre el navegador y el servidor. En este proceso, PKI ayuda a confirmar la identidad del servidor.
Supongamos que abres la web tienda.example. De forma simplificada, el navegador realiza las siguientes acciones:
- Recibe el certificado del servidor y los certificados intermedios necesarios para construir la cadena de confianza.
- Comprueba que el certificado cubre el nombre
tienda.example, está dentro de su periodo de validez y puede utilizarse para autenticar al servidor. - Verifica las firmas de la cadena y comprueba que esta conduce a una autoridad de confianza. El tratamiento de la información de revocación depende del software y de sus políticas.
- Durante la negociación TLS, verifica la prueba de que el servidor posee la clave privada correspondiente y acuerda las claves de sesión.
El certificado no cifra por sí solo todo el tráfico. En las versiones actuales de TLS, los datos se protegen mediante criptografía simétrica eficiente, que utiliza las claves de sesión acordadas. La función principal del certificado y de la clave privada es autenticar al servidor.
Una conexión HTTPS correctamente establecida protege los datos transmitidos, pero no confirma las buenas intenciones del destinatario. Una tienda fraudulenta también puede tener un certificado válido para su dominio.
PKI pública o privada: cuál elegir
La PKI pública se basa en autoridades en las que confían de forma generalizada los navegadores y los sistemas. Es la opción adecuada para una web de acceso público: los visitantes no deberían tener que instalar manualmente el certificado de tu autoridad. Al elegir el servicio, comprueba su compatibilidad actual con los clientes utilizados, las políticas de validación y las posibilidades de renovación automática.
La PKI privada funciona dentro de una organización o de un entorno controlado. La empresa establece sus propias políticas de emisión de certificados y configura los dispositivos que gestiona para que confíen en su CA. Esos certificados no pasan a ser de confianza automáticamente en los ordenadores de clientes ajenos a la empresa.
Por ejemplo, la web pública de una empresa necesita un certificado reconocido por los navegadores de los usuarios. En cambio, para autenticar los portátiles de trabajo en la red Wi-Fi se puede utilizar una PKI privada: cada portátil recibe su propio certificado, que se puede revocar si se pierde el dispositivo. La PKI privada también se utiliza en VPN y en mTLS, es decir, TLS con autenticación mediante certificado de ambas partes de la conexión.
Qué hay que mantener tras emitir el certificado
Las obligaciones más importantes comienzan después de poner el sistema en funcionamiento. Hay que proteger las claves privadas frente a la copia y el uso no autorizado, llevar un registro de los certificados, vigilar sus fechas de caducidad y renovarlos a tiempo. La caducidad de un certificado puede interrumpir el funcionamiento de la web, de la interfaz API o del acceso a la red.
Si se expone una clave privada, no basta con volver a descargar el certificado. Hay que generar un nuevo par de claves, obtener un nuevo certificado, revocar el anterior y corregir la causa de la filtración. La eficacia de la revocación también depende de que los sistemas que utilizan el certificado comprueben su estado.
Antes de implantar PKI, determina quién debe confiar en los certificados: cualquier usuario de Internet o únicamente los dispositivos gestionados. Después, asigna las responsabilidades de protección de las claves, renovación automática y respuesta ante un compromiso de las claves. Sin estas decisiones, incluso una PKI correctamente configurada será difícil de mantener de forma segura.
Consulta también: ¿Qué es MCP?
Lee también
