Certificados X.509: Funcionamiento, Estándares y Aplicaciones en Ciberseguridad

1.1 Introducción: ¿Qué es un certificado X.509?

El X.509 es un formato estándar para certificados de clave pública. Estos documentos digitales asocian de forma segura pares de claves criptográficas con identidades específicas, como sitios web, individuos u organizaciones.

¿Para qué se usan los certificados X.509?

• Autenticación e identificación electrónica.
• SSL/TLS y HTTPS: Navegación web autenticada y cifrada.
• SSL/TLS y SSH: Conexión remota de ordenadores autenticada y cifrada.
• Correo electrónico: Firmado y cifrado a través del protocolo S/MIME.
• Firma electrónica: De código, de documentos, entre otros.

1.2 Directorio X.500

Un directorio es un servidor que mantiene una base de datos con información de un usuario. X.500 es un estándar que define un formato concreto de directorio. Una entrada X.500 contiene atributos como: nombre, dirección, email y teléfono.

Cada entrada de un directorio X.500 tiene asociado un nombre global llamado DN (Distinguished Name).

1.3 Estándar X.509

X.509 es una recomendación del ITU-T y la ISO que forma parte de las recomendaciones X.500 y define un servicio de directorio:

• Es la base del protocolo LDAP, implementado en OpenLDAP, Active Directory o eDirectory.
• Define un marco para la provisión de servicios de autenticación por parte del directorio X.500 a sus usuarios.
• El directorio X.500 sirve para almacenar el certificado de un usuario junto a la información que describe a dicho usuario.

Otros formatos de certificado (aunque X.509 es el más extendido):

• X.509 (el más usado)
• SPKI
• PGP
• SAML

Aspectos clave de X.509:

• Se usa en protocolos modernos como IPsec, SSL/TLS, etc.
• Se basa en criptografía pública y firmas digitales.
• No exige un algoritmo de cifrado asimétrico concreto, pero recomienda RSA.
• Para la firma digital, se necesita un algoritmo de hash.

1.4 Certificado X.509: Características

• Los certificados son creados por una Autoridad de Certificación (CA).
• Son almacenados en el directorio X.500.
• El servicio de directorio no es responsable de generar claves públicas ni de la certificación: solo proporciona acceso a los certificados.
• Cualquier usuario con acceso a la clave pública de la CA puede verificar la clave pública del usuario certificado.
• Solo la CA puede modificar el certificado emitido a un usuario.

1.5 Formato del Certificado X.509

Un certificado X.509 contiene los siguientes campos:

• Versión: Identifica la versión concreta del certificado (v1, v2, v3). Las versiones sucesivas han extendido los campos disponibles.
• Serial Number (Número de serie): Valor entero único dentro de la CA que emite el certificado. Está asociado sin ambigüedad a ese certificado y se usa si es necesario revocarlo.
• Signature Algorithm Identifier: Algoritmo empleado para firmar el certificado junto con parámetros asociados. Actualmente está en desuso, ya que esta información se incluye en el campo Signature al final del certificado.
• Issuer (Emisor): Nombre X.509 de la CA que creó y firmó el certificado.
• Validity Period (Período de validez): Fecha inicial (Not Before) y final (Not After) de validez del certificado.
• Subject (Sujeto): Entidad que se certifica (máquina, persona u organización). La CA garantiza que la clave pública del certificado está asociada al sujeto y que este posee la correspondiente clave privada.