Todo o Ninguno.
El paradigma de confianza de CA de raíces individuales que heredamos de los años 90 está casi roto por completo .
Los navegadores Vanilla no rastrean ni alertan si la Autoridad de certificación que respalda un certificado SSL del sitio ha cambiado, si el CA 1 reconoce la CA antigua y la nueva. Como la computadora promedio confía en más de cien certificados raíz de varias docenas de organizaciones 2 , todas tratadas de manera igualitaria, cualquier autoridad certificada solazada, perezosa o inmoral puede socavar cualquier navegador en cualquier lugar.
El problema se agrava por el hecho de que casi todas las autoridades de certificación no son democráticamente responsables ante usted (es decir, empresas privadas o gobiernos extranjeros) y tienen poca o ninguna regulación legalmente aplicada sobre su conducta diaria. Los mantenedores de listas de CA (Microsoft, Apple, Google, Mozilla, Oracle, etc.) no cuentan con los recursos, la autoridad legal o la inclinación para auditar la conducta interna de las autoridades de certificación.
El enigma epistemológico de en quién y en qué estamos realmente confiados, que fue presentado por un Netscape trust kludge 3 de los 90, requerirá una revisión costosa para resolver. Que no veo que suceda de este lado de una guerra cibernética amenazada o real.
Entonces.
- Si su computadora (por ejemplo, un servidor) no se comunica con fuentes desconocidas o ad hoc, ejecute su tráfico HTTPS a través de un proxy con una lista explícita de certificados confiables de nodo de hoja y sin certificados de raíz.
- Para las computadoras normales que navegan por Internet y actualizan docenas de aplicaciones en segundo plano, confíe en todas ellas y siga otros principios de seguridad para proteger su computadora.
1. Los servicios de back-end y los marcos no podrían, de manera útil, incitar al cambio; ya que a menudo carecen de interacción con el usuario y necesitan proporcionar un funcionamiento sin problemas.
2. Consulte Firefox o iOS listas de CA, por ejemplo.
3. Por más que lo intenté, no pude reubicar un artículo web fascinante sobre cómo los desarrolladores de Netscape introdujeron el paradigma actual de la CA raíz como un parche rápido para los ataques teóricos de Man-in-the-Middle para un comercio electrónico hipotético hasta el momento. La seguridad digital es difícil; y las resacas de la guerra fría y el tecno-analfabetismo legislativo de principios de los 90 no ayudaron.