¿Cuáles son los requisitos básicos?
Los requisitos básicos son un conjunto de normas que deben seguir las autoridades certificadoras (CAs) para que sus certificados sean confiables para los navegadores. Estas pautas incluyen protocolos de seguridad, validación de certificados y prácticas de emisión. La falta de cumplimiento puede llevar a la pérdida de confianza del navegador y a la inutilización de los certificados.
Los requisitos básicos son un conjunto de procesos operativos documentados que una CA debe seguir para que sus certificados públicos sean aceptados por los navegadores para uso general.
¿Qué incluyen los requisitos básicos?
Los requisitos básicos son extensos, con normas que varían según el tipo de certificado. Los requisitos cubren prácticamente todos los aspectos posibles de los protocolos de seguridad en relación con los certificados, incluida la seguridad física y en la nube, las prácticas de autenticación, la morfología de los certificados y mucho más. Incluye reglas para la validación de dominios, la validación de solicitantes y organizaciones, y el plazo máximo permitido.
Uno de los requisitos de los Requisitos Básicos es que cada CA debe mantener y publicar una Declaración de Prácticas de Certificación (CPS) que defina las prácticas de emisión de la CA. El incumplimiento de las declaraciones de la CPS constituye una violación de los Requisitos Básicos y puede requerir una corrección por parte de la CA, incluyendo potencialmente la revocación de los certificados.
¿Cambian los requisitos básicos?
En un año normal, el CA/B Forum aprobará varias votaciones para modificar los Requisitos Básicos cada año. La mayoría de ellos son menores, pero algunos cada año conducen a cambios significativos en el funcionamiento de las CA. Por ejemplo, una votación aprobada recientemente esbozó nuevas normas para la validación del control de dominios, que afectarán a las operaciones de las CA en los próximos años.
La razón principal por la que los Requisitos Básicos cambian con tanta frecuencia es que partes de borradores anteriores han resultado vagas o abiertas a interpretación. A medida que surgen nuevos problemas y nuevas tecnologías entran en el mercado, los Requisitos Básicos deben evolucionar para hacerles frente.
¿Qué ocurre cuando una CA viola los requisitos básicos?
El CA/Browser Forum es una organización voluntaria sin poder de ejecución. En cambio, cada uno de los principales navegadores tiene su propio conjunto de directrices que una CA debe seguir para que el navegador confíe en sus raíces y, posteriormente, las incluya en el almacén raíz. Los principales programas de almacén raíz dictan que las CA deben mantener el cumplimiento de los Requisitos Básicos.
Si uno de los almacenes raíz del navegador decidiera no confiar en las raíces de una CA, sus certificados públicos ya no serían viables para casos de uso que requieran confianza pública. Además, las CA están obligadas a informar y revelar cualquier incumplimiento que identifiquen y a permitir que el público haga preguntas sobre la infracción, lo que en última instancia obliga a la CA a rendir cuentas.
Para obtener más información sobre los requisitos básicos del CA/B Forum, escuche Root Causes, episodio 201, «¿Cuáles son los requisitos básicos?».