Entendiendo la Estructura de Certificados X.509
Los certificados X.509 usan codificacion ASN.1 DER envuelta en formato PEM base64. El certificado contiene una estructura TBSCertificate (To Be Signed) con el sujeto, emisor, periodo de validez y clave publica, seguida del identificador del algoritmo de firma y la firma digital. Los campos del TBSCertificate estan organizados en una secuencia estricta definida por RFC 5280.
Campos de Sujeto y Emisor
El sujeto identifica al propietario del certificado usando atributos de Nombre Distinguido como Common Name (CN) para el dominio, Organization (O) para la empresa y Country (C) para la jurisdiccion. El emisor usa el mismo formato para identificar a la Autoridad Certificadora que firmo el certificado.
Validez y Gestion de Caducidad
Cada certificado tiene una marca de tiempo No Antes De y No Despues De que define su ventana de validez. Los certificados tipicamente duran un ano para TLS publico. Monitorizar las fechas de caducidad previene interrupciones del servicio causadas por certificados caducados. La renovacion automatizada con herramientas como certbot elimina el seguimiento manual.
Algoritmos de Firma y Fortaleza de Clave
Los certificados modernos usan algoritmos hash SHA-256 o superiores con claves RSA (2048+ bits) o ECDSA (P-256, P-384). Las firmas SHA-1 estan obsoletas y son rechazadas por los navegadores. Las claves RSA de 4096 bits ofrecen mayor seguridad a costa de handshakes mas grandes, mientras que ECDSA P-256 proporciona seguridad equivalente con claves mas pequenas.
