{"id":84766,"date":"2020-06-10T13:43:11","date_gmt":"2020-06-10T11:43:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory"},"modified":"2020-06-10T13:43:11","modified_gmt":"2020-06-10T11:43:11","slug":"problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","title":{"rendered":"El problema de los certificados ra\u00edz obsoletos. A la espera de Let's Encrypt y televisores inteligentes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"El
\n
\nPara que el navegador pueda autenticar el sitio web, este presenta una cadena de certificados v\u00e1lida. La cadena t\u00edpica se muestra arriba, y puede haber m\u00e1s de un certificado intermedio. El n\u00famero m\u00ednimo de certificados en una cadena v\u00e1lida es tres.<\/p>\n

El certificado ra\u00edz es el coraz\u00f3n de la autoridad de certificaci\u00f3n. Est\u00e1 literalmente integrado en tu sistema operativo o navegador, y est\u00e1 f\u00edsicamente presente en tu dispositivo. No se puede cambiar desde el servidor. Se necesita una actualizaci\u00f3n forzada del sistema operativo o del software integrado en el dispositivo.<\/p>\n

El especialista en seguridad Scott Helme Quartz, Madagascar es el \u00fanico pa\u00eds en \u00c1frica donde la velocidad de descarga de contenido supera los 10 Mbps.<\/a><\/noindex>, que los principales problemas surgir\u00e1n para la autoridad de certificaci\u00f3n Let's Encrypt, ya que hoy en d\u00eda es la CA m\u00e1s popular en internet y su certificado ra\u00edz pronto est\u00e1 programado para el 8 de julio de 2020<\/a><\/noindex>.
\n<\/a><\/noindex>
\nLos certificados finales e intermedios de la autoridad certificadora (CA) se entregan al cliente desde el servidor, y el certificado ra\u00edz est\u00e1 en el cliente ya hay<\/i>, por lo tanto, con esta colecci\u00f3n de certificados se puede construir una cadena y autenticar el sitio web. <\/p>\n

El problema es que cada certificado tiene un per\u00edodo de validez, tras el cual necesita ser reemplazado. Por ejemplo, a partir del 1 de septiembre de 2020, en el navegador Safari se planea implementar una restricci\u00f3n en el per\u00edodo de validez de los certificados TLS del servidor m\u00e1ximo 398 d\u00edas<\/a><\/noindex>.<\/p>\n

Esto significa que todos tendremos que reemplazar los certificados del servidor al menos cada 12 meses. Esta restricci\u00f3n solo se aplica a los certificados del servidor, que no<\/i> se extiende a los certificados ra\u00edz de la CA.<\/p>\n

Los certificados de la CA est\u00e1n regulados por un conjunto diferente de reglas, por lo que tienen diferentes limitaciones en la duraci\u00f3n. A menudo se encuentran certificados intermedios con una duraci\u00f3n de 5 a\u00f1os y certificados ra\u00edz con un per\u00edodo de vida de incluso 25 a\u00f1os. <\/p>\n

Normalmente no hay problemas con los certificados intermedios, porque se entregan al cliente desde el servidor, que tambi\u00e9n cambia su propio certificado con mucha m\u00e1s frecuencia, as\u00ed que simplemente durante este proceso tambi\u00e9n reemplaza el intermedio. Es bastante f\u00e1cil de reemplazar junto con el certificado del servidor, a diferencia del certificado ra\u00edz de la CA.<\/p>\n

Como mencionamos, el CA ra\u00edz est\u00e1 integrado directamente en el dispositivo del cliente, en el sistema operativo, en el navegador u otro software. El cambio del CA ra\u00edz no puede ser controlado por el sitio web. Aqu\u00ed se necesita una actualizaci\u00f3n en el cliente, ya sea una actualizaci\u00f3n del sistema operativo o del software.<\/p>\n

Algunos CA ra\u00edz existen desde hace mucho tiempo, alrededor de 20-25 a\u00f1os. Pronto algunos de los CA ra\u00edz m\u00e1s antiguos se acercar\u00e1n al final de su vida \u00fatil, su tiempo casi ha exp Idee. Para la mayor\u00eda de nosotros, esto no ser\u00e1 un problema, ya que los CA han creado nuevos certificados ra\u00edz que ya se han estado distribuyendo en todo el mundo en actualizaciones de sistemas operativos y navegadores durante a\u00f1os. Pero si alguien no ha actualizado su sistema operativo o navegador en mucho tiempo, esto se convierte en un problema.<\/p>\n

Esta situaci\u00f3n ocurri\u00f3 el 30 de mayo de 2020 a las 10:48:38 GMT. Este es el momento exacto en el que el certificado ra\u00edz AddTrust expir\u00f3<\/a><\/noindex> del centro de certificaci\u00f3n Comodo (Sectigo).<\/p>\n

Se utiliz\u00f3 para la firma cruzada, para garantizar la compatibilidad con dispositivos obsoletos que no tienen el nuevo certificado ra\u00edz de USERTrust en su almac\u00e9n.<\/p>\n

Desafortunadamente, los problemas no solo surgieron en navegadores obsoletos, sino tambi\u00e9n en clientes no navegadores basados en OpenSSL 1.0.x, LibreSSL y GnuTLS<\/a><\/noindex>. Por ejemplo, en los dispositivos de televisi\u00f3n Roku<\/a><\/noindex>, en el servicio Heroku<\/a><\/noindex>, en las aplicaciones Fortinet, Chargify, en la plataforma .NET Core 2.0 bajo Linux y muchos otros.<\/a><\/noindex>.<\/p>\n

Se supon\u00eda que el problema solo afectar\u00eda a sistemas obsoletos (Android 2.3, Windows XP, Mac OS X 10.11, iOS 9, etc.), ya que los navegadores modernos pueden utilizar el segundo certificado ra\u00edz de USERTRust. Sin embargo, en la pr\u00e1ctica, comenzaron a ocurrir fallas en cientos de servicios web que utilizaban las bibliotecas libres OpenSSL 1.0.x y GnuTLS. La conexi\u00f3n segura dej\u00f3 de establecerse con un mensaje de error sobre la expiraci\u00f3n del certificado.<\/p>\n

El siguiente es Let's Encrypt<\/h1>\n

\nOtro buen ejemplo del pr\u00f3ximo cambio de CA ra\u00edz es la autoridad de certificaci\u00f3n Let's Encrypt. Adem\u00e1s en abril de 2019<\/a><\/noindex> ten\u00edan planeado cambiar de la cadena Identrust a su propia cadena ISRG Root, pero esto no ocurri\u00f3.<\/a><\/noindex>.<\/p>\n

\"El
\n
\n\"Debido a preocupaciones sobre la insuficiente difusi\u00f3n de la ra\u00edz ISRG en dispositivos Android, decidimos trasladar la fecha de transici\u00f3n a nuestra propia ra\u00edz del 8 de julio de 2019 al 8 de julio de 2020\", se indica en el comunicado oficial de Let's Encrypt.<\/p>\n

La fecha tuvo que ser trasladada debido a un problema llamado \u00abpropagaci\u00f3n de ra\u00edz\u00bb (root propagation), o m\u00e1s precisamente, a la falta de dicha propagaci\u00f3n, cuando el CA ra\u00edz no est\u00e1 suficientemente expandido entre todos los clientes. <\/p>\n

Actualmente, Let's Encrypt utiliza un certificado intermedio firmado cruzadamente con una cadena hasta la ra\u00edz IdenTrust DST Root CA X3. Este certificado ra\u00edz fue emitido en septiembre de 2000 y expirar\u00e1 el 30 de septiembre de 2021. Hasta entonces, Let's Encrypt planea cambiar a su propia ra\u00edz autofirmada ISRG Root X1.<\/p>\n

\"El
\n
\nEl CA ra\u00edz ISRG fue emitido el 4 de junio de 2015. Despu\u00e9s de esto, comenz\u00f3 el proceso de su aprobaci\u00f3n como autoridad de certificaci\u00f3n, que se complet\u00f3 el 6 de agosto de 2018.<\/a><\/noindex>Desde ese momento, el CA ra\u00edz estuvo disponible para todos los clientes a trav\u00e9s de una actualizaci\u00f3n del sistema operativo o del software. Todo lo que se necesitaba hacer era instalar la actualizaci\u00f3n. <\/p>\n

Pero ah\u00ed est\u00e1 el problema.<\/p>\n

Si su tel\u00e9fono m\u00f3vil, televisor u otro dispositivo no se ha actualizado en dos a\u00f1os, \u00bfc\u00f3mo sabr\u00e1 sobre el nuevo certificado ra\u00edz ISRG Root X1? Si no se instala en el sistema, todos los certificados de servidor de Let's Encrypt ser\u00e1n considerados inv\u00e1lidos por su dispositivo tan pronto como Let's Encrypt cambie a la nueva ra\u00edz. Y en el ecosistema Android hay muchos dispositivos obsoletos que no se han actualizado desde hace tiempo.<\/p>\n

\"El
\nEcosistema Android<\/i><\/p>\n

Por eso Let's Encrypt ha pospuesto la transici\u00f3n a su propia ra\u00edz ISRG y a\u00fan utiliza el enlace intermedio que desciende hasta la ra\u00edz IdenTrust. Pero la transici\u00f3n tendr\u00e1 que hacerse de todos modos. Y la fecha de cambio de ra\u00edz est\u00e1 programada el 8 de julio de 2020.<\/a><\/noindex>.<\/p>\n

Para verificar si en tu dispositivo (televisor, decodificador u otro cliente) est\u00e1 instalado el ra\u00edz ISRG X1, abre el sitio de prueba https:\/\/valid-isrgrootx1.letsencrypt.org\/<\/a><\/noindex>. Si no aparece una advertencia de seguridad, entonces generalmente todo est\u00e1 bien. <\/p>\n

Let's Encrypt no es el \u00fanico que debe resolver el problema del cambio a una nueva ra\u00edz. La criptograf\u00eda en internet comenz\u00f3 a utilizarse hace poco m\u00e1s de 20 a\u00f1os, por lo que ahora est\u00e1 llegando el momento de la expiraci\u00f3n de muchos certificados ra\u00edz.<\/p>\n

Los propietarios de televisoras inteligentes que no han actualizado el software Smart TV durante muchos a\u00f1os pueden enfrentarse a este problema. Por ejemplo, el nuevo ra\u00edz GlobalSign R5 Root<\/a><\/noindex> lanzado en 2012, y despu\u00e9s algunos Smart TV antiguos no pueden construir una cadena hacia \u00e9l, porque esta CA ra\u00edz simplemente no la tienen. En particular, estos clientes no pudieron establecer una conexi\u00f3n segura con el sitio bbc.co.uk. Para resolver el problema, los administradores de BBC tuvieron que recurrir a una soluci\u00f3n astuta: ellos construyeron para estos clientes una cadena alternativa<\/a><\/noindex> a trav\u00e9s de certificados intermedios adicionales, utilizando ra\u00edces antiguas R3 Root<\/a><\/noindex> y R1 Root<\/a><\/noindex>, que a\u00fan no han expirado.<\/p>\n

www.bbc.co.uk (Leaf)\nGlobalSign ECC OV SSL CA 2018 (Intermedio)\nGlobalSign Root CA - R5 (Intermedio)\nGlobalSign Root CA - R3 (Intermedio)<\/pre>\n
\nEsta es una soluci\u00f3n temporal. El problema no desaparecer\u00e1 a menos que se actualice el software del cliente. Un Smart TV es esencialmente un ordenador limitado bajo Linux. Y sin actualizaciones, sus certificados ra\u00edz inevitablemente caducar\u00e1n.<\/p>\n
Esto aplica a todos los dispositivos, no solo a los televisores. Si tienes cualquier dispositivo que est\u00e9 conectado a internet y que sea anunciado como un \"dispositivo inteligente\", entonces el problema de los certificados caducados casi con toda seguridad le afecta. Si el dispositivo no se actualiza, el almac\u00e9n ra\u00edz de CA se volver\u00e1 obsoleto con el tiempo, y eventualmente el problema saldr\u00e1 a la luz. Cu\u00e1n pronto surgir\u00e1 el problema depende del tiempo desde la \u00faltima actualizaci\u00f3n del almac\u00e9n ra\u00edz. Esto puede ser varios a\u00f1os antes de la fecha real de lanzamiento del dispositivo.<\/p>\n
Por cierto, este es el problema por el cual algunas grandes plataformas de medios no pueden utilizar centros de certificaci\u00f3n automatizados modernos como Let's Encrypt, dice Scott Helme. No son adecuados para televisores inteligentes, y la cantidad de ra\u00edces es demasiado baja para garantizar el soporte del certificado en dispositivos obsoletos. De lo contrario, los televisores simplemente no podr\u00e1n iniciar los servicios de streaming modernos.<\/p>\n
El \u00faltimo incidente con AddTrust mostr\u00f3 que incluso grandes empresas de TI pueden no estar preparadas para que un certificado ra\u00edz expire.<\/p>\n
La \u00fanica soluci\u00f3n al problema es la actualizaci\u00f3n. Los desarrolladores de dispositivos inteligentes deben proporcionar de antemano un mecanismo para actualizar el software y los certificados ra\u00edz. Por otro lado, a los fabricantes no les interesa garantizar el funcionamiento de sus dispositivos una vez que termina el per\u00edodo de garant\u00eda.<\/p>\n
\n\"El
\n<\/a><\/noindex>
\n
Fuente: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0427\u0442\u043e\u0431\u044b \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u043c\u043e\u0433 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0435\u0431-\u0441\u0430\u0439\u0442, \u0442\u043e\u0442 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0435\u0431\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u0422\u0438\u043f\u0438\u0447\u043d\u0430\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u0430 \u0441\u0432\u0435\u0440\u0445\u0443, \u0432 \u043d\u0435\u0439 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430. \u041c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 \u0432 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0440\u0430\u0432\u043d\u043e \u0442\u0440\u0451\u043c. \u041a\u043e\u0440\u043d\u0435\u0432\u043e\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u2014 \u0441\u0435\u0440\u0434\u0446\u0435 \u0446\u0435\u043d\u0442\u0440\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438. \u041e\u043d \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0432\u0441\u0442\u0440\u043e\u0435\u043d \u0432 \u0432\u0430\u0448\u0443 \u041e\u0421 \u0438\u043b\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440, \u043e\u043d \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0430 \u0432\u0430\u0448\u0435\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435. \u0415\u0433\u043e \u043d\u0435 \u043f\u043e\u043c\u0435\u043d\u044f\u0435\u0448\u044c \u0441\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":84767,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-84766","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Problema de certificados ra\u00edz obsoletos. Let\u2019s Encrypt y televisores inteligentes a la espera | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0445 \u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u041d\u0430 \u043e\u0447\u0435\u0440\u0435\u0434\u0438 Let\u2019s Encrypt \u0438 \u0443\u043c\u043d\u044b\u0435 \u0442\u0435\u043b\u0435\u0432\u0438\u0437\u043e\u0440\u044b | ProHoster","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/problema-ustarevshih-kornevyh-sertifikatov-na-ocheredi-lets-encrypt-i-umnye-televizory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-10T11:43:11+00:00","article:modified_time":"2020-06-10T11:43:11+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"84766","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:51:43","updated":"2022-09-29 06:39:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/84766","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=84766"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/84766\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/84767"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=84766"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=84766"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=84766"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}