Comprender la revocación deliberada y retrasada: una amenaza a la confianza

La confianza es la base de la Internet moderna. Cada sitio web seguro, correo electrónico de confianza o documento firmado depende de la integridad subyacente de la infraestructura de clave pública (PKI). Sin embargo, como cualquier ecosistema, la PKI es tan fuerte como su eslabón más débil. Entre los diversos problemas que amenazan esta confianza, uno destaca por ser generalizado y evitable: la revocación deliberada y retrasada.

Esta práctica perjudicial, en la que los certificados comprometidos se dejan intencionadamente válidos durante períodos prolongados, se ha convertido en un flagelo en todo el sector. Socava la seguridad, debilita la confianza de los usuarios y deja la puerta abierta a los ciberdelincuentes.

Como una de las principales Autoridades de Certificación (CA), Sectigo ha reconocido desde hace tiempo que la revocación deliberada y retrasada es incompatible con la misión de proteger el bien público. En este artículo, desentrañaremos por qué persiste esta práctica, los peligros que plantea y por qué la comunidad de CA debe tomar medidas decisivas para erradicarla.

¿Qué es la revocación deliberada y retrasada?

Cuando un certificado se emite incorrectamente, se ve comprometido o se considera poco fiable, la CA responsable debe revocarlo. La revocación garantiza que el certificado ya no es válido y evita que los malos actores abusen de él.

Sin embargo, la revocación no siempre es inmediata. En casos de revocación deliberadamente retrasada, algunas CA optan por priorizar su conveniencia, o la de sus clientes, por encima de la integridad de la PKI web. En lugar de invalidar rápidamente el certificado, retrasan el proceso para minimizar las interrupciones de los clientes o evitar la complejidad operativa.

La razón de esta práctica suele depender de beneficios a corto plazo: mantener la satisfacción del cliente, reducir los costes de soporte o evitar la vergüenza de admitir errores. Pero estas justificaciones ignoran las implicaciones más amplias para la seguridad y la confianza.

Por qué es una amenaza

El impacto de la revocación deliberadamente retrasada se extiende mucho más allá de los límites de la CA individual. Socava la propia confianza que las CA públicas tienen la tarea de proteger.

1. Crea una ventana de vulnerabilidad: Al retrasar la revocación, los certificados comprometidos siguen siendo válidos y explotables. Esto da a los atacantes una ventana para suplantar entidades de confianza, robar datos sensibles o lanzar campañas de phishing.
   
2. Erosiona la confianza en el ecosistema: las CA públicas operan dentro de un marco de confianza compartido. Cuando una CA no cumple con sus obligaciones, se refleja negativamente en todo el ecosistema. Los usuarios pueden perder por completo la confianza en las comunicaciones seguras.
3. Debilita el cumplimiento y los estándares: la revocación deliberada y retrasada sienta un precedente peligroso. Si las CA creen que pueden ignorar o flexibilizar las reglas por conveniencia, se socavan los estándares que son críticos para garantizar una PKI web robusta.
   
4. Invita a la desconfianza y a consecuencias regulatorias: Los ejemplos de revocación retrasada de alto perfil, como los que involucran a decenas de miles de certificados, han provocado una reacción violenta significativa. Algunas CA han enfrentado desconfianza y eliminación de los programas raíz del navegador, un fracaso drástico y público que pone en peligro su existencia.

Por qué las CA deben actuar

En Sectigo, consideramos la revocación como un imperativo moral y operativo. Cuando un certificado se ve comprometido, el tiempo corre y tomamos medidas inmediatas. Esto no siempre es fácil. Implica una inversión significativa en automatización, comunicación transparente con los clientes y la voluntad de absorber las molestias a corto plazo.

Pero la recompensa es clara: un ecosistema más seguro y fiable.

El liderazgo ético exige que las CA públicas se adhieran a los más altos estándares, incluso cuando es difícil. La revocación tardía no es solo un mal hábito, es una traición a la confianza depositada en nosotros como guardianes de la web.

Un llamamiento a la comunidad de CA

La solución a este problema es clara: las CA públicas deben comprometerse a hacerlo mejor. Esto comienza con el reconocimiento de que la revocación deliberada y tardía no tiene cabida en nuestra industria. A partir de ahí, es necesario invertir en sistemas que hagan que la revocación inmediata sea práctica y eficiente.

La responsabilidad también es esencial. Los programas de navegación y los organismos del sector deben hacer que las CA rindan cuentas cuando no cumplan con sus obligaciones. Las consecuencias de la inacción, o peor aún, de la complacencia, son simplemente demasiado grandes.

Para todas las CA: la revocación deliberada y tardía es una opción. Es hora de tomar una mejor.

La confianza debe ganarse

La confianza no es un recurso renovable. Se gana con esfuerzo a lo largo de los años y se puede perder en un instante. La revocación deliberada y retrasada socava la confianza que permite que la PKI web funcione.

En Sectigo, nuestra misión es priorizar el bien público, la transparencia y la seguridad. Retamos a otros miembros de la comunidad de CA a unirse a nosotros para erradicar esta práctica dañina y mantener la confianza que los usuarios depositan en nosotros cada día.

La confianza es demasiado valiosa como para desperdiciarla. Internet se merece algo mejor. Hagámoslo realidad.

¿Quieres saber más? Ponte en contacto con nosotros para reservar una demo de Sectigo Certificate Manager.

Entradas asociadas:

Root Causes 388: ¿Qué es la WebPKI?

¿Qué es la revocación de certificados y cuándo debe revocarse un certificado SSL?

Qué se necesita para ser una autoridad de certificación de confianza