Laboratorio de diseño de jerarquías PKI
Diseña una jerarquía de autoridades de certificación y puntúala según las buenas prácticas de PKI: raíz offline, pathLen acotado, EKU y restricciones de nombre acotados y una CA emisora por uso.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Una autoridad de certificación falla por su estructura, no por las matemáticas. En este laboratorio PKI en el navegador diseñas una jerarquía de CA para el escenario (una CA raíz offline, CA intermedias o de política opcionales y CA emisoras online) y configuras en cada CA las propiedades que un auditor lee directamente en el certificado: online u offline, pathLen de basicConstraints, EKU permitidos (serverAuth, clientAuth, codeSigning), restricciones de nombre, periodo de validez y algoritmo de clave. Un validador en el cliente puntúa el diseño según las reglas que de verdad contienen una brecha: mantener la raíz offline, acotar la longitud de ruta, CA emisoras de vida corta, una CA emisora dedicada y con restricciones de nombre por cada uso, y la firma de código separada de TLS. Los niveles más difíciles añaden más usos y políticas más estrictas de restricciones de nombre y claves. Obtienes una puntuación de diseño de 0 a 100 con hallazgos por regla y una traza de cobertura por uso. Es un laboratorio Pro.
- Lee qué usos de certificado deben poder emitirse en el escenario.
- Diseña la jerarquía: CA raíz offline, CA intermedias o de política opcionales y CA emisoras online.
- Configura cada CA: online u offline, pathLen, EKU permitidos, restricciones de nombre, validez y algoritmo de clave.
- Revisa la puntuación de 0 a 100, los hallazgos por regla y la traza de cobertura para ver qué propiedad falla y por qué.
Preguntas frecuentes
¿Qué es el laboratorio de diseño de jerarquías PKI?
Un ejercicio en el navegador en el que diseñas una jerarquía de autoridades de certificación para un escenario (una raíz offline, CA intermedias o de política opcionales y CA emisoras online) y configuras cada CA: online u offline, pathLenConstraint de basicConstraints, los usos extendidos de clave (EKU) que puede emitir, restricciones de nombre, periodo de validez y algoritmo de clave. Después, un validador en el cliente puntúa tu diseño según las buenas prácticas de PKI y te dice qué reglas se cumplen y cuáles fallan.
¿Qué buenas prácticas evalúa?
La raíz debe estar offline y tener una vida larga; la longitud de ruta debe estar acotada para que una CA no pueda crear cadenas profundas de sub-CA; las CA emisoras online deben ser de vida corta y fijar pathLen 0; cada uso de certificado debe ir en su propia CA emisora con restricciones de nombre; una CA que emite para TLS nunca debe firmar también código; cada uso requerido debe poder emitirlo una CA que encadene con la raíz offline; y las claves deben cumplir la fortaleza de la política. Cada regla es un hallazgo puntuado.
¿Para quién es?
Para arquitectos e ingenieros de seguridad que diseñan o revisan una CA interna, para quien prepara una entrevista de criptografía o de seguridad de infraestructura y para cualquiera que quiera entender por qué importan la postura de la raíz, el acotamiento de los EKU y las restricciones de nombre antes de tocar una CA de producción. No hay que instalar nada.
¿Es una autoridad de certificación real?
No. Es un modelo didáctico de diseño de jerarquías de CA. Evalúa las propiedades estructurales (basicConstraints, EKU, nameConstraints, validez, fortaleza de clave, postura online u offline) que determinan el radio de impacto de una jerarquía, pero no emite certificados reales ni valida la codificación X.509. Los escenarios son inventados.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.