Entendiendo la Estructura de Certificados X.509
Los certificados X.509 usan codificación ASN.1 DER envuelta en formato PEM base64. El certificado contiene una estructura TBSCertificate (To Be Signed) con el sujeto, emisor, período de validez y clave pública, seguida del identificador del algoritmo de firma y la firma digital. Los campos del TBSCertificate están organizados en una secuencia estricta definida por RFC 5280.
Campos de Sujeto y Emisor
El sujeto identifica al propietario del certificado usando atributos de Nombre Distinguido como Common Name (CN) para el dominio, Organization (O) para la empresa y Country (C) para la jurisdiccion. El emisor usa el mismo formato para identificar a la Autoridad Certificadora que firmó el certificado.
Validez y Gestión de Caducidad
Cada certificado tiene una marca de tiempo No Antes De y No Después De que define su ventana de validez. Los certificados típicamente duran un año para TLS público. Monitorizar las fechas de caducidad previene interrupciones del servicio causadas por certificados caducados. La renovacion automatizada con herramientas como certbot elimina el seguimiento manual.
Algoritmos de Firma y Fortaleza de Clave
Los certificados modernos usan algoritmos hash SHA-256 o superiores con claves RSA (2048+ bits) o ECDSA (P-256, P-384). Las firmas SHA-1 están obsoletas y son rechazadas por los navegadores. Las claves RSA de 4096 bits ofrecen mayor seguridad a costa de handshakes más grandes, mientras que ECDSA P-256 proporciona seguridad equivalente con claves más pequeñas.
