Lamassu IoT DocsCiclo de vida de un certificado
Emisión, uso, renovación, revocación y retirada de certificados en Lamassu.
Emitir un certificado es solo el comienzo. Durante su vida útil debes comprobar su vigencia, renovarlo antes de que caduque y retirarlo cuando deje de ser fiable. Lamassu conserva el certificado, su CA emisora, su estado y, cuando pertenece a un dispositivo, la identidad a la que está vinculado.
El recorrido completo
Solicitud
El solicitante genera una clave y una CSR. En los flujos recomendados, la clave privada permanece en el dispositivo, navegador o motor criptográfico que la creó.
Emisión
La CA firma la CSR. El perfil de emisión determina la validez, los usos, el sujeto, las extensiones admitidas y las restricciones criptográficas.
Uso y supervisión
El certificado queda en estado ACTIVE. Lamassu monitoriza su fecha Not After; el trabajo de monitorización criptográfica marca como EXPIRED los certificados que han vencido.
Renovación o re-enrolamiento
Se emite un certificado nuevo antes de que caduque el anterior. En un DMS puedes abrir ventanas preventiva y crítica para que el dispositivo se re-enrole mediante EST.
Revocación o retirada
Si la identidad deja de ser fiable, Lamassu registra la razón y la hora de revocación. OCSP y las CRLs permiten que los consumidores conozcan ese estado.
Estados del certificado
Lamassu persiste cuatro estados X.509:
ACTIVE: el certificado está habilitado y dentro de su periodo de validez.EXPIRED: ha superado su fecha de expiración. El monitor lo detecta de forma periódica; no es un estado que deba asignarse manualmente.REVOKED: fue invalidado antes de expirar, con una razón y una marca temporal.INACTIVE: está deshabilitado sin representar una revocación definitiva.
La vista del dispositivo puede añadir estados operativos como ausencia de identidad, renovación pendiente, expiración próxima o baja. Son una interpretación del estado del dispositivo y de sus certificados, no nuevos estados X.509.
Renovación y revocación no son equivalentes
La renovación crea un certificado sucesor para una identidad que continúa siendo válida. La revocación comunica que el certificado actual ya no debe aceptarse. Renueva para mantener continuidad; revoca ante compromiso, retirada o un cambio que invalide la identidad.
Solo una revocación con razón CertificateHold puede revertirse. Una revocación con cualquier otra razón es definitiva en Lamassu.
La reemisión de una CA reutiliza su clave
La operación Reissue CA genera otro certificado para la misma clave y enlaza ambos números de serie mediante metadatos. No equivale a una rotación de clave. Para cambiar la clave, crea una CA sucesora y realiza una migración con periodo de solapamiento.
Efecto de revocar una CA
Revocar una CA es una operación en cascada. Lamassu revoca sus CAs hijas y los certificados que ha emitido con la razón CessationOfOperation. La propagación continúa por la jerarquía.
Antes de confirmar:
- Identifica DMS, dispositivos y servicios que confían en esa cadena.
- Distribuye la nueva cadena de confianza.
- Reemite las identidades necesarias.
- Comprueba OCSP y CRL desde un consumidor real.
- Revoca la CA antigua cuando ya no exista tráfico legítimo.
Decommission es irreversible
Dar de baja un dispositivo revoca sus certificados y le impide obtener nuevas identidades. Utiliza esta acción únicamente cuando el dispositivo se retire de forma permanente.
Qué debes observar
- Certificados que entran en la ventana preventiva o crítica de renovación.
- Errores repetidos de enrolamiento o re-enrolamiento.
- Cambios de estado y razones de revocación.
- Publicación y vigencia de OCSP y CRLs.
- Dependencias que todavía presentan un certificado sustituido.
El historial del dispositivo relaciona sus identidades anteriores y actuales. Para cambios administrativos y errores de mutación, consulta Registros de auditoría.