Una PKI liga una clave pública a una identidad mediante certificados X.509 firmados por una autoridad de certificación. Se valida recorriendo la cadena de confianza hasta una raíz autofirmada y se comprueba la revocación con una CRL, publicada periódicamente, o con OCSP, que consulta el estado en línea.
La idea de fondo: ligar una clave pública a una identidad
La criptografía asimétrica resuelve cómo cifrar o firmar sin compartir un secreto previo, pero deja un problema: ¿cómo sé que esta clave pública es realmente de quien dice ser? La infraestructura de clave pública (PKI) responde con certificados: un documento firmado por un tercero de confianza que liga una clave pública a una identidad. Si necesitas repasar la base, tienes la comparativa de criptografía simétrica y asimétrica.
Conviene tener muy claro el reparto de claves. Para cifrar para alguien se usa su clave pública, y solo su clave privada descifra. Para firmar se usa la clave privada del firmante y cualquiera verifica con la pública. Confundir ambos sentidos es el fallo más frecuente.
Emite y firma certificados y publica su estado de revocación
RA (autoridad de registro)
Comprueba la identidad del solicitante antes de que la CA emita
Titular
Posee la clave privada y el certificado
Parte confiante
Valida el certificado antes de fiarse de él
Repositorio o servicio de estado
Publica certificados y listas de revocación, o responde consultas OCSP
El certificado X.509
El formato estándar es X.509, cuyo perfil para internet se describe en el RFC 5280 (mayo de 2008). Un certificado contiene, entre otros campos, la versión, el número de serie, el algoritmo de firma, el emisor, el periodo de validez (inicio y fin), el sujeto, la clave pública del sujeto y extensiones como el uso de la clave o los puntos de distribución de las listas de revocación. Lo firma la CA emisora con su clave privada.
Dos campos identifican a quién se emite el certificado (el sujeto) y quién lo emite (el emisor), y al validarlo hay que comprobar: firma, vigencia y estado de revocación.
Cadena de confianza
Los certificados no se validan de forma aislada sino en cadena. El certificado del usuario lo firma una CA intermedia; el de la intermedia lo firma otra o la CA raíz; la raíz se firma a sí misma (autofirmado) y es el ancla de confianza que el sistema o el navegador ya trae instalada. Para validar:
Se comprueba la firma del certificado con la clave pública del emisor.
Se sube al certificado del emisor y se repite hasta llegar a una raíz de confianza.
En cada eslabón se comprueba la vigencia y que no esté revocado.
Si en un servidor falta un eslabón intermedio, los clientes suelen fallar al validar aunque el certificado del servidor sea correcto. Es una avería real y frecuente.
Revocación: CRL y OCSP
Un certificado puede perder su validez antes de caducar, por ejemplo si se compromete la clave privada. La Ley 6/2020 enumera las causas de revocación (art. 5): la solicitud del firmante, la violación o puesta en peligro del secreto de los datos de creación de firma, la resolución judicial o administrativa, el fallecimiento del firmante y el cese del prestador, entre otras. Además, los prestadores que expidan certificados deben disponer de un servicio de consulta sobre el estado de validez o revocación accesible al público (art. 9.2). Técnicamente hay dos mecanismos:
Mecanismo
Cómo funciona
Ventaja
Inconveniente
CRL (lista de revocación, RFC 5280)
La CA publica periódicamente una lista firmada de números de serie revocados
Sencilla de distribuir y de consultar sin conexión inmediata
Puede crecer mucho y hay un retraso entre revocar y publicar
OCSP (RFC 6960, junio de 2013)
El cliente consulta en línea el estado de un certificado concreto a un respondedor
Respuesta puntual y más ligera
Exige disponibilidad del respondedor y este conoce qué certificado se consulta
La trampa clásica es creer que la CRL es en tiempo real. No lo es: refleja el estado de la última publicación. OCSP está pensado precisamente para reducir ese desfase.
Marco legal: certificado, firma y sello de tiempo
En España los servicios electrónicos de confianza se rigen por el Reglamento (UE) n.º 910/2014, de 23 de julio de 2014, que la Ley 6/2020, de 11 de noviembre, complementa en los aspectos que el reglamento deja a los Estados miembros. El art. 4.2 de la Ley 6/2020 fija que el periodo de vigencia de los certificados cualificados no será superior a cinco años; y los certificados se extinguen por caducidad o por revocación (art. 4.1).
El ENS (Real Decreto 311/2022 (ENS)) lo enlaza con la seguridad de la información: la medida mp.info.3 exige, desde el nivel MEDIO (refuerzo R1) y cuando se use firma electrónica avanzada basada en certificados, que estos sean cualificados, y mp.info.4 regula los sellos de tiempo, que prueban que un dato existía en un instante dado y solo se exigen en el nivel ALTO. Si preparas esta parte, repasa también el resumen del ENS. Otra medida relacionada es la protección de las claves criptográficas (op.exp.10), que cubre todo su ciclo de vida: la clave privada de una CA es el activo más sensible de toda la infraestructura.
Trampas habituales. Se cifra con la pública del destinatario y se firma con la privada del firmante. La CRL no es en tiempo real. El certificado raíz es autofirmado. Un certificado caducado es inválido aunque no figure en la CRL.
Practica el temario TI con preguntas tipo examen
Tests con corrección y penalización real, por tema.
Un documento firmado por una CA que liga una clave pública a una identidad. Su perfil para internet está en el RFC 5280.
¿Qué diferencia hay entre CRL y OCSP?
La CRL es una lista firmada que se publica periódicamente; OCSP permite consultar en línea el estado de un certificado concreto (RFC 6960).
¿Qué clave se usa para firmar y cuál para verificar?
Se firma con la clave privada del firmante y se verifica con su clave pública.
¿Cuánto dura como máximo un certificado cualificado?
Cinco años, según el art. 4.2 de la Ley 6/2020.
¿Qué hace la RA?
Comprueba la identidad del solicitante antes de que la CA emita el certificado.
Fuentes
Programa de la categoría de técnico/a especialista de sistemas y tecnologías de la información: Resolución de 16 de julio de 2025 (convocatoria, DOG núm. 141, de 24 de julio de 2025) y Resolución de 18 de junio de 2021 (programa, DOG núm. 126, de 5 de julio de 2021).
Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, "BOE" núm. 298, de 12 de noviembre de 2020 (arts. 4, 5 y 9): boe.es.
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, "BOE" núm. 106, de 4 de mayo de 2022 (medidas mp.info.3, mp.info.4 y op.exp.10): boe.es.
Reglamento (UE) n.º 910/2014, de 23 de julio de 2014, citado en la Ley 6/2020 y en el ENS. RFC 5280 (mayo de 2008) y RFC 6960 (junio de 2013): rfc-editor.org.
Temario OpoSERGAS de Técnico de Sistemas TI, Tema 24 (criptografía y PKI). Las explicaciones salen de ahí; no son texto oficial.
💻
Practica ahora con preguntas reales de TI SERGAS
2.400+ preguntas tipo test · Tests por tema · Simulacros cronometrados · 100% gratis
🍪 Usamos cookies propias y de terceros para analizar el tráfico (Google Analytics), y recoger opiniones (Trustpilot). Puedes aceptar todas, rechazar o consultar el detalle en nuestra
Política de cookies.