Apple quiere reducir la vida útil de los certificados de seguridad SSL/TLS, pasando del período máximo de validez actual de 398 días a 45 días en 2027, una elección que algunos administradores de sistemas ven como una «pesadilla» debido a los procedimientos de validación necesarios cada vez para obtener la certificación.
El sitio lo informa El Registro explicando que muchos administradores de sistemas (personas que se ocupan de la configuración y gestión de algunas infraestructuras informáticas corporativas, incluido el mantenimiento y gestión de servidores web), no ven con buenos ojos la propuesta de Apple.
La propuesta de la compañía de Cupertino, una medida que tendrá que ser aprobada mediante votación en los próximos meses por el Foro de Autoridades de Certificación de Navegadores (CA/B Forum), fue reveló como parte de la reunión de otoño del Grupo Voluntario de Autoridades de Certificación (CA), proveedores de software de navegador de Internet y proveedores de otras aplicaciones que utilizan certificados digitales X.509 para TLS/SSL y firma de código.
Si se aprueba, la propuesta afectará el funcionamiento de los certificados digitales y los sitios web con navegadores como Safari y ayudará a mantener seguras las comunicaciones web.
Le recordamos que los certificados son emitidos por organizaciones confiables, por ejemplo VeriSign o RSA Security, y permiten a los sistemas verificar la identidad y posteriormente establecer una conexión de red cifrada con otro sistema utilizando el protocolo Secure Sockets Layer/Transport Layer Security (SSL/TLS).
Cuando visita un sitio web cifrado, por ejemplo para realizar operaciones bancarias en línea, Safari comprueba si el certificado del sitio es legítimo; si no es así, notifíquelo al usuario. Los sitios y los navegadores trabajan juntos para codificar la información que se intercambia entre su computadora y el sitio. La clave utilizada para el cifrado está contenida en el certificado de seguridad del sitio. De esta manera, información como inicios de sesión, números de tarjetas de crédito, direcciones y otros datos confidenciales permanecen seguros (gracias a las regulaciones de la industria sobre confidencialidad y protección de datos).
Para aumentar la seguridad, la vida útil máxima de los certificados se ha ido reduciendo a lo largo de los años; antes de 2011 la validez máxima alcanza los 8 años; A partir de 2020, este plazo se ha incrementado a 13 meses, lo que impide que terceros que no sean de confianza utilicen un certificado SSL/TLS válido de un dominio caducado para crear un sitio web no autorizado.
Al reducir el período de validez, reduce las posibilidades de uso indebido de los certificados SSL/TLS. Cuando el certificado SSL/TLS caduque, los visitantes de un sitio web con un certificado caducado verán una advertencia en su navegador indicando que el sitio web no es seguro (no se puede establecer la identidad).
La organización revoca el antiguo certificado SSL/TLS al vencimiento y debe ser reemplazado por uno nuevo. Para evitar incidentes de seguridad, el proceso de renovación debe realizarse antes de que caduque el certificado anterior.
No se sabe si la propuesta de Apple será aprobada pero también Google parece inclinado a adoptarlo y hacerlo efectivo.
La validación de certificados SSL/TLS podría causar dolores de cabeza al personal de seguridad, ya que muchos administradores de sistemas se enfrentan a certificados que caducan en distintos momentos. En algunos casos es posible automatizar la gestión de certificados pero en otros no, lo que resulta en una pérdida de tiempo en el proceso de validación y confiabilidad.