Laboratorio de revocación de certificados
Lee una respuesta OCSP y una CRL y decide el veredicto (válido, revocado o desconocido) y la acción del cliente (continuar, bloquear o soft-fail).
Abrir la herramienta →La herramienta interactiva se abre en inglés.
La revocación falla en los detalles, no en el concepto. Un certificado puede estar claramente revocado, claramente vigente o en la amplia zona gris intermedia: un «good» de OCSP caducado o firmado por un respondedor no fiable, una CRL del emisor equivocado, una lista caducada que aún incluye un número de serie revocado, un respondedor que sencillamente no contesta. En cada caso recibes un certificado y sus pruebas de revocación (una respuesta OCSP, una CRL o ambas, como objetos ya decodificados) y decides el veredicto (válido, revocado o desconocido) y la acción del cliente (continuar, bloquear o soft-fail, es decir, continuar asumiendo el riesgo). Se califican por separado porque son decisiones distintas. La política de fallo y el motivo de revocación deciden entre bloquear y soft-fail: keyCompromise siempre es un bloqueo total, mientras que un motivo administrativo como cessationOfOperation puede dejar utilizable una firma de código con fecha anterior. Funciona 100 % en el lado del cliente: no se obtiene ninguna OCSP ni CRL real y no requiere instalación. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Lee el certificado y sus pruebas de revocación: la respuesta OCSP, la CRL o ninguna.
- Comprueba las fechas, quién firma cada prueba, si se aplica al certificado y el motivo de revocación.
- Decide el veredicto (válido, revocado o desconocido) y la acción del cliente según su política de fallo.
- Lee el análisis de cada caso.
Preguntas frecuentes
¿Qué es el laboratorio de revocación de certificados?
Un ejercicio en el navegador en el que haces de lógica de validación dentro de un cliente TLS o de firma de código. Para cada certificado ves las pruebas de revocación que se han reunido (una respuesta OCSP, una CRL o ninguna) como objetos ya decodificados, y decides el veredicto de revocación (válido, revocado o desconocido) y la acción correcta del cliente (continuar, bloquear o soft-fail). Se te puntúa en ambos, con un análisis que explica cada decisión.
¿Qué diferencia hay entre OCSP y una CRL?
Una CRL (lista de revocación de certificados) es una lista firmada, publicada periódicamente por una CA, de los números de serie que ha revocado; el cliente la descarga y comprueba si el número de serie está en ella. OCSP (Online Certificate Status Protocol) pregunta a un respondedor por un certificado concreto y obtiene como respuesta good, revoked o unknown. Ambas pueden quedar caducadas (pasada su nextUpdate), ambas deben estar firmadas por la autoridad correcta y ambas solo son fiables cuando se aplican de verdad al certificado que tienes delante.
¿Por qué un certificado puede ser «desconocido» en lugar de válido o revocado?
Desconocido significa que ninguna fuente fiable da una respuesta vigente. Un respondedor OCSP puede devolver literalmente «unknown» (no tiene registro del número de serie); una respuesta puede estar caducada o firmada por un respondedor no autorizado; una CRL puede haber caducado o haberla emitido la CA equivocada; o todas las fuentes pueden ser simplemente inaccesibles. En todos estos casos el veredicto honesto es «desconocido», y lo que hagas después depende de la política de fallo del cliente.
¿Qué es soft-fail frente a hard-fail?
Es la política del cliente sobre qué hacer cuando no se puede confirmar el estado de revocación. Hard-fail rechaza el certificado (seguro pero frágil: una caída del respondedor rompe el servicio). Soft-fail continúa pero marca el riesgo (resistente pero eludible: un atacante capaz de bloquear la comprobación de revocación recibe el trato de «desconocido» y pasa). La mayoría de los navegadores hacen soft-fail. El laboratorio te hace aplicar la política, porque el mismo veredicto «desconocido» se traduce en bloquear con hard-fail y en continuar asumiendo el riesgo con soft-fail.
¿Es un validador de certificados real?
No. Es un modelo didáctico de la decisión de revocación. Ignora deliberadamente la construcción de rutas, las restricciones de nombre, el uso de clave y el ASN.1 completo para que quede clara una sola lección: el veredicto y la acción a partir de las pruebas de OCSP y CRL, con las fechas, el firmante y el motivo. Todos los certificados, respondedores, CRL y números de serie son inventados.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.