Lamassu IoT DocsValidación de certificados
Comprueba cadena, identidad, usos y revocación desde el consumidor.
Esta guía reúne las comprobaciones que necesita quien integra un consumidor de certificados. Necesitas el certificado presentado, las intermedias y las raíces que tu aplicación ha decidido confiar. Lamassu publica estado; el consumidor aplica la política de aceptación.
Antes de consultar el estado
Verifica estos criterios juntos:
| Comprobación | Resultado necesario |
|---|---|
| Cadena y firma | Cadena válida hasta una raíz instalada deliberadamente en el consumidor. |
| Fechas | Fecha actual entre Not Before y Not After, también para las CAs de la cadena. |
| Identidad | Nombre, SAN o identificador corresponden al interlocutor esperado. |
| Uso | KU, EKU y restricciones permiten la operación concreta. |
| Revocación | Evidencia firmada, vigente y correspondiente al emisor y certificado consultados. |
| Autorización | La aplicación permite la acción a esa identidad. |
El recorrido de emisión comprueba cadena y uso con OpenSSL. Esa comprobación no consulta automáticamente OCSP ni descarga una CRL. Un certificado presente en el inventario o una respuesta OCSP Good no sustituyen los demás criterios.
Elige un mecanismo
| Mecanismo | Cuándo utilizarlo | Qué debes mantener |
|---|---|---|
| OCSP | Consulta del estado de un certificado concreto. | Acceso al respondedor, verificación de la firma y política de caché/vigencia. |
| CRL | Consulta local de muchos certificados o funcionamiento offline. | Descarga periódica de una lista firmada por el emisor y rechazo de listas vencidas. |
OCSP también puede devolver una respuesta reutilizable hasta nextUpdate; una CRL cambia al publicarse una versión nueva. Ninguno garantiza por sí solo que un consumidor conozca una revocación en el momento de guardarla.
Si utilizas ambos, define cuándo se permite el mecanismo alternativo y qué hace el cliente si falla la descarga, la firma, la vigencia o devuelve Unknown. Aceptar una identidad cuando no puedes comprobar su estado debe ser una decisión explícita de tu aplicación.
Comprueba el comportamiento del consumidor
- Acepta un certificado vigente, autorizado y con cadena conocida.
- Rechaza otro con raíz desconocida o uso incompatible.
- Revoca un certificado de prueba y verifica la respuesta OCSP o la nueva CRL.
- Comprueba que una conexión nueva con esa identidad se rechaza.
- Simula un endpoint inaccesible y evidencia vencida; observa si el resultado coincide con tu política.
Conserva número de serie, emisor, razón de revocación, hora de consulta y tiempos de la evidencia. Una sesión ya abierta puede necesitar cierre o reautenticación explícita en el servicio consumidor; publicar revocación no la cierra automáticamente.
Para una cadena con intermedias, valida también su estado según la política del consumidor. La CRL del emisor de una identidad final no reemplaza las comprobaciones de todas las CAs de la cadena.