1. Generación de pares de claves: El proceso comienza con la creación de un par de claves criptográficas:
* Clave privada: Esta es una clave secreta, conocida solo por el propietario del certificado. Es crucial para la seguridad y nunca debe compartirse.
* Clave pública: Esta clave está disponible públicamente. Se puede usar para cifrar mensajes solo el titular de la clave privada puede descifrar o verificar una firma digital creada con la clave privada.
2. Solicitud de firma de certificado (CSR): La entidad que solicita el certificado (por ejemplo, propietario de un sitio web) crea una CSR. Esto contiene la clave pública, junto con información sobre la entidad (como su nombre de dominio, organización y ubicación).
3. Autoridad de certificado (CA): La CSR se presenta a una Autoridad de Certificado (CA), una organización de terceros de confianza que verifica la identidad del solicitante de certificado. Piense en ellos como el equivalente de un gobierno que emite licencias o pasaportes de conducir. Los CA bien conocidos incluyen Digicert, Let's CiCrypt y Sectigo. El trabajo de la CA es garantizar que la entidad que solicite el certificado sea quién dice ser. Este proceso de verificación puede involucrar varios métodos, como verificaciones de documentos, llamadas telefónicas o verificación de correo electrónico.
4. Emisión de certificado: Si la CA verifica la identidad, emite un certificado digital. Este certificado contiene:
* La clave pública de la entidad: Permite a otros cifrar mensajes o verificar las firmas.
* Información sobre la entidad: (por ejemplo, nombre de dominio, nombre de la organización)
* La firma digital de la CA: Esto es crucial. Es una firma criptográfica creada por la CA usando * su * clave privada. Esta firma demuestra que la CA ha verificado la información en el certificado.
* Período de validez: El certificado es válido solo para una duración específica (por ejemplo, 1 año, 2 años).
* Otros detalles: Me gusta el número de serie y el algoritmo del certificado utilizados.
5. Implementación de certificados: La entidad instala el certificado en su servidor o dispositivo. Para los sitios web, esto generalmente implica instalarlo en el servidor web.
6. Verificación y confianza: Cuando un usuario se conecta a un sitio web (o interactúa con otra entidad que contiene un certificado), el navegador del usuario (u otro software) verifica el certificado:
* Verificación de la firma de la CA: El navegador verifica la firma de la CA utilizando la * clave pública * de la CA, que está preinstalada en el navegador. Si la firma es válida, confirma la autenticidad del certificado.
* Verificar el período de validez del certificado: Asegura que el certificado no haya expirado.
* Comprobación de certificados revocados: El navegador verifica una lista de revocación del certificado (CRL) o utiliza el Protocolo de estado del certificado en línea (OCSP) para ver si el certificado ha sido revocado (por ejemplo, debido al compromiso).
Si se pasan todas las verificaciones, el navegador muestra un icono de candado, lo que indica una conexión segura. Este proceso asegura que el usuario se esté comunicando con la entidad legítima.
En resumen: Los certificados proporcionan una forma de establecer confianza en el mundo digital vinculando una clave pública con una identidad verificada a través de un tercero confiable (la CA). Este fideicomiso es fundamental para asegurar la comunicación y las transacciones en línea, lo que permite conexiones cifradas (HTTP) y firmas digitales.