Preguntas frecuentes
¿Por qué se ha ido acortando cada vez más la vida útil de los certificados en los últimos años?
Siempre que se descubre un problema de seguridad con los certificados, las reglas para los certificados se ajustan y endurecen en consecuencia. Sin embargo, las nuevas reglas no se aplican de forma retroactiva, es decir, solo se aplican a los certificados que se crearon después de que las nuevas reglas hayan entrado en vigor. Los certificados más antiguos aún deben aceptarse como válidos, incluso si se crearon según reglas antiguas.
Cuanto más tiempo permanezca un certificado antiguo en circulación, mayor será la probabilidad de que alguien con el conocimiento y las habilidades adecuadas lo encuentre y luego explote su problema de seguridad. Por lo tanto, no desea tener plazos largos, porque si un certificado debe renovarse, siempre debe renovarse de acuerdo con las reglas aplicables actuales y esto sucede antes cuanto más corto sea su plazo. En el pasado, los tiempos de ejecución eran demasiado largos, pero esto había provocado problemas varias veces cuando RSA se descifró con 768 bits o cuando se encontró un método para crear colisiones SHA-1, lo que significa que las firmas basadas en SHA-1 podrían falsificarse a la vez. En ese entonces, tardó demasiado tiempo en dejar de circular certificados inseguros, lo que provocó varios ataques evitables.
La renovación solo afecta al certificado de puerta de enlace. Los certificados de usuario no necesitan renovarse si intercambia el certificado en la puerta de enlace. Los usuarios tampoco necesitan una nueva configuración. De hecho, los usuarios ni siquiera se dan cuenta de tal intercambio. En los servidores web actuales, esto suele ocurrir automáticamente e incluso con mayor frecuencia, ya que los certificados web a menudo solo son válidos por un máximo de 90 días.