El protocolo de seguridad de certificados en línea son los estándares sobre los que se construyen las aplicaciones de autenticación y emisión de certificados. El protocolo establece exactamente qué información debe proporcionarse para dar el estado del certificado e identificar el servidor de origen.
Cuando un servidor intenta conectarse a una computadora segura, hay un intercambio de certificados. Para que el certificado sea autenticado, existe un conjunto estándar de información que debe intercambiarse y verificarse. El protocolo de seguridad del certificado en línea establece qué es esta información y el formato en el que debe transmitirse. Cada transmisión debe incluir la versión del protocolo, la solicitud del servidor y el identificador del certificado de destino. También hay extensiones opcionales que pueden ser aceptadas por el respondedor del protocolo de seguridad de certificados en línea.
Cuando el respondedor del protocolo de seguridad del certificado en línea recibe la solicitud, comprueba si el mensaje está formateado correctamente, que los servidores solicitados están disponibles en el respondedor y si se incluye la información requerida. De lo contrario, se envía un mensaje de error al autor.
El protocolo proporciona los estándares mínimos e incluye los detalles de todas las posibles respuestas. Todas las respuestas de los certificados aceptados deben tener uno de los siguientes: una firma de la autoridad certificadora de origen, un tercero de confianza o un respondedor designado por un autenticador de certificados que esté debidamente autorizado para procesar estas solicitudes.
El protocolo de seguridad de certificados en línea se puede comparar con la industria de la cerrajería. Aunque existe una amplia gama de empresas de cerraduras, empresas clave y opciones de seguridad, existen funciones básicas que son consistentes en toda la industria, los estándares aceptados forman la base de estos acuerdos.
Un mensaje de respuesta positiva tiene la versión de la respuesta, el nombre del respondedor, las respuestas incluidas, las extensiones opcionales, la firma del algoritmo y la firma calculada a lo largo del hash de la respuesta. En la respuesta, se incluye el estado del certificado y hay tres opciones; bueno, revocado y desconocido.
Es responsabilidad del cliente del protocolo de seguridad del certificado en línea confirmar que una respuesta firmada es válida, el firmante coincide con el destinatario, el firmante está autorizado, la hora de la actualización de estado es reciente y el certificado recibido coincide con el solicitado.
Las reglas del protocolo de seguridad de certificados en línea como formato estándar aceptado se crearon en junio de 1999, como parte de un intento más amplio de crear un marco en torno a la gestión de certificados. El protocolo fue desarrollado por el Network Working Group, con representantes de VeriSign, CertCo, ValiCert, My CFO y Entrust Technologies.
Cada emisor de certificados de seguridad ha firmado la aceptación de este protocolo y crea características adicionales en sus ofertas de productos de la competencia, al tiempo que mantiene las infraestructuras requeridas. Es la cooperación de estas empresas competidoras para crear y cumplir con una práctica estándar lo que ha permitido que esta industria obtenga una amplia aceptación.
El protocolo de seguridad de certificados en línea cubre una amplia gama de temas, incluidas las respuestas permitidas del programa de autenticación de certificados, la sintaxis requerida, el desarrollo de mensajes de error estándar, las pautas de archivo y cómo gestionar las consideraciones de seguridad y las respuestas adecuadas.