¡Pido disculpas si esto suena como una pregunta de novato!
PKI se declara a menudo como poder probar que un sitio es legítimo, es decir, Amazon.co.uk es el verdadero Amazon.co.uk
¿Puede alguien ayudar a explicar cómo PKI / SSL hace que esto suceda?
¡Gracias!
Es fácil abrir un canal SSL / TLS encriptado con alguien que usa criptografía asimétrica; su navegador simplemente toma la clave pública del sitio. La parte difícil es saber con quién estás hablando. Alguien podría estar usando un ataque de hombre en el medio y usted no sabría que se le ha dado la clave incorrecta y, por lo tanto, está hablando con un impostor.
Ahí es donde entra en juego la PKI. La idea es que un tercero de confianza mutua, conocido como Autoridad de Certificación (CA), se haya confirmado por el hecho de que la clave pública que ha sido entregada pertenece al propietario del dominio al que ha navegado. Por ejemplo, si hace clic en el icono de candado junto a la URL de este sitio, verá que DigiCert ha avalado el certificado de stackexchange.com. Esto significa que el intercambio de pila compró un certificado de DigiCert y tuvo que demostrar la propiedad del dominio como parte de esa compra. El certificado es solo un montón de información de identificación, incluido el nombre de dominio, emparejado con una clave pública y luego firmado digitalmente por la AC.
Su navegador viene precargado con certificados de un grupo de CA. Cuando navega a un sitio web, si el certificado del sitio está firmado por una CA en la lista de confianza de su navegador, entonces todo simplemente funciona. Si no es así, su navegador arrojará un error.
En la práctica, el sistema sorta funciona, pero hay varios problemas. Hay demasiadas AC, incluidas las empresas con poca seguridad y los gobiernos que participan en el espionaje. Además, los usuarios pueden ignorar el error que arroja su navegador cuando el certificado no es correcto, porque la mayoría de las veces, el problema es una mala configuración, no un ataque. Si desea obtener una mejor comprensión de los problemas prácticos y las mitigaciones, consulte la investigación de Moxie Marlinspike y la "fijación de certificados" de Google.
Lea otras preguntas en las etiquetas public-key-infrastructure certificates certificate-authority