En realidad, sus empresas más grandes como Google o Facebook sí tienen, de hecho, un certificado a . Este es un certificado de nivel de CA (capaz de firmar otros certificados y, por lo tanto, responder por la identidad de esos titulares) emitido por una CA externa, o cuya contraparte pública está registrada como implícitamente en la que confían los sistemas operativos, los navegadores web, etc. Es la llave de oro.
A partir de este certificado, la compañía generará certificados "intermedios" adicionales. Estos también son certificados de nivel de CA, que luego se utilizan para generar certificados de nivel final que identifican servidores individuales, puntos finales e incluso estaciones de trabajo internas dentro de la "infraestructura de clave privada" de la compañía. Dicha infraestructura le permite al administrador del sistema reducir drásticamente la cantidad de su red que debe ser "confiable" (en realidad, tales comunicaciones internas solo son "confiables" porque se considera que no es factible asegurarlas).
Si un certificado intermedio es robado, es perjudicial pero generalmente no es el fin del mundo. Un atacante puede hacer mucho con cualquier certificado de CA que tenga una "cadena de confianza" ininterrumpida hasta una raíz de confianza global. Sin embargo, tan pronto como se conozcan los informes de un certificado para Google, firmado por una de las CA intermedias de una empresa no relacionada, la plantilla está lista; la compañía emitirá una "revocación" del certificado firmado, y si se cree que la CA se ha comprometido por completo, revocará la CA intermedia. Una revocación es una especie de anti-certificado; se ha registrado de manera muy similar a un certificado normal, pero le dice a cualquier computadora a la que se distribuye no que confíe en los certificados con una firma determinada o que se haya firmado con un certificado de CA en particular. Ahora, esto también revocará la confianza en todos los certificados legítimos, lo que, como dije, es perjudicial, pero la compañía puede recuperarse, normalmente reemitiendo nuevos certificados a todos los propietarios de certificados legítimos conocidos.
Esto sucede de vez en cuando. En particular, le sucedió a Comodo, una compañía cuyo negocio principal es emitir certificados a otras compañías. Uno de sus certificados de CA fue comprometido y se usó para generar certificados falsos para Google y otros sitios importantes para phishing y otros propósitos nefarios. Tan pronto como quedó claro que solo una CA se vio afectada, Comodo revocó esa CA, hizo la transición de los titulares de certificados legítimos a nuevos certificados firmados por otras claves de CA no comprometidas, luego generó una nueva CA intermedia de su Llave Dorada para reemplazar la revocada, y volvió a funcionar como siempre.
Si se roba el certificado raíz, la llave de oro de una compañía, ese es el fin del mundo, al menos para la compañía que lo posee. Los certificados de CA raíz se encuentran entre las cosas más valiosas en el inframundo de los hackers. Como tal, generalmente existe un nivel extremo de seguridad inherente en el almacenamiento de cualquier dispositivo que contiene la llave dorada (generalmente un módulo de seguridad de hardware). Puede ver este video , que muestra solo algunos de los rigamaroles detrás de la generación y el almacenamiento del certificado de Root CA. para las extensiones DnsSec a DNS, que agregan pruebas de origen y capacidades de negación de existencia al marco de DNS estándar. Si se cree que un certificado de oro está comprometido, todo lo que está debajo de la jerarquía es sospechoso; No hay manera de probar o refutar la legitimidad de cualquier certificado firmado por él. Por lo tanto, lo único que puede hacer es revocar completamente la confianza en ese certificado raíz y lidiar con las consecuencias.
Esto es mucho más raro, pero ha sucedido. DigiNotar, una compañía de CA raíz holandesa similar a Comodo, fue víctima de múltiples ataques que comprometieron el certificado raíz de confianza de la compañía; La clave privada se usó para generar certificados falsos para varios sitios web importantes. DigiNotar no pudo identificar de manera confiable todas las falsificaciones, por lo tanto, no pudo garantizar que todas habían sido revocadas y ni siquiera podía garantizar que su clave privada raíz no hubiera sido copiada fuera del sitio. Como resultado, los principales escritores de sistemas operativos y navegadores respondieron simplemente revocando la confianza en el certificado raíz de DigiNotar por completo. Siguió la hilaridad, ya que DigiNotar era la CA raíz de varios sitios web del Gobierno holandés, incluida la contraparte del IRS de los EE. UU. Imagine ir a www.irs.gov y que su navegador le diga que el sitio puede ser fraudulento; eso es exactamente lo que sucedió con los visitantes del sitio web de la Administración de Impuestos y Aduanas de Holanda. El gobierno holandés asumió rápidamente el control de las AC intermedias de DigiNotar y realizó la transición de todos sus sitios a otras autoridades de certificación. DigiNotar se había declarado en bancarrota a fines del mismo mes.