Laboratorio de certificate pinning
Publica pins SPKI y rota la clave del servidor sin romper los clientes desplegados: aprende por qué un pin de respaldo publicado de antemano salva a toda la flota.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
El certificate pinning falla en la rotación, no el día en que lo activas. Publicas un conjunto de pins de clave pública SPKI y después rotas la clave del servidor, y ves cómo las aplicaciones que se actualizan despacio fallan en TLS porque siguen aplicando los pins antiguos. Cada cliente valida contra el conjunto de pins más reciente que ha descargado, así que las flotas lentas siguen aplicando un conjunto anterior: justo lo que rompe las rotaciones ingenuas. El laboratorio entrena el único hábito que hace sobrevivible el pinning: publicar el pin de una clave de respaldo antes de necesitarlo. Las contrapartidas se vuelven concretas: fijar la hoja (estricto, pero frágil ante la rotación), fijar la intermedia o la CA (rota libremente, pero confía en todo certificado que emita esa CA) o mantener un respaldo publicado de antemano (rotación sin interrupciones). Se puntúa que no se rompa ningún cliente y que se rechacen las cadenas emitidas indebidamente o con claves robadas; la dificultad añade flotas más lentas, compilaciones congeladas y compromisos de clave. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Configura el conjunto de pins SPKI de la aplicación: hoja, intermedia/CA o un pin de respaldo.
- Publica de antemano el pin de la siguiente clave en una versión anterior.
- Rota la clave del servidor y observa cómo reaccionan las poblaciones de clientes según el conjunto de pins que tengan.
- Rechaza las cadenas emitidas indebidamente y con claves robadas, y deja un respaldo limpio para la próxima vez.
Preguntas frecuentes
¿Qué es el laboratorio de certificate pinning?
Un ejercicio en el navegador en el que configuras un conjunto de pins de clave pública SPKI para una aplicación y luego rotas el certificado o la clave del servidor, observando cómo reaccionan las poblaciones de clientes desplegados. Cada cliente aplica el conjunto de pins más reciente que ha descargado; una conexión solo tiene éxito si la cadena de certificados presentada comparte al menos una clave pública fijada con ese conjunto. Se te puntúa por rotar sin romper ningún cliente y, a la vez, rechazar las cadenas emitidas indebidamente o con claves robadas.
¿Por qué fijar la clave de la hoja rompe la rotación?
Si los clientes fijan solo la clave pública de la hoja actual y rotas a una clave nueva, todos los clientes que siguen aplicando el pin antiguo rechazarán el nuevo certificado: la clave nueva no está en su conjunto de pins. Como las aplicaciones que se actualizan despacio pueden conservar ese conjunto antiguo durante meses, no puedes cambiar la clave con seguridad hasta que el pin de la clave nueva les haya llegado. La solución es publicar de antemano el pin de una clave de respaldo en una versión anterior, o renovar el certificado manteniendo la misma clave (el SPKI no cambia).
¿Qué es un pin de respaldo y por qué publicarlo de antemano?
Un pin de respaldo es el SPKI de una clave que has generado por adelantado (normalmente guardada sin conexión) pero que todavía no sirves. Distribuir su pin con antelación significa que, cuando más tarde rotes la clave en uso hacia ella, todos los clientes que se hayan actualizado mientras tanto ya confían en ella, así que la rotación no rompe nada. Publicar el pin de la siguiente clave antes de que entre en servicio es el hábito central de un pinning seguro, y es lo que permite que una emergencia por compromiso de clave sea sobrevivible en lugar de fatal.
¿Es una pila TLS real?
No. Es un modelo didáctico de la validación de pins SPKI (coincidir con cualquier clave pública fijada en la cadena presentada) y del retraso de actualización entre poblaciones de clientes. Ignora a propósito la gestión de la caducidad de certificados, la revocación OCSP/CRL, HSTS y las codificaciones exactas de HPKP y de los SDK móviles para que la única lección (fija lo correcto y publica de antemano la siguiente clave) quede clara. Las claves, los pins y los escenarios son inventados.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.