Las Autoridades de Certificación (CAs) eliminarán 11 métodos obsoletos de Validación de Control de Dominio (DVC), basados en señales de verificación débiles como correo postal, llamadas telefónicas o correos electrónicos, cerrando vulnerabilidades y mejorando la seguridad de internet; la descontinuación será gradual y completa para marzo de 2028; esta iniciativa moderniza la infraestructura y promueve la agilidad mediante la automatización, elevando el nivel de seguridad en la web.

Las conexiones seguras son la base de la web moderna, pero la fiabilidad de un certificado depende del proceso de validación y las prácticas de emisión que lo respaldan. Recientemente, el Programa Raíz de Chrome y el Foro de CA/Navegadores han dado pasos decisivos hacia una internet más segura al adoptar nuevos requisitos de seguridad para los emisores de certificados HTTPS.

Estas iniciativas, impulsadas por las votaciones SC-080, SC-090, and SC-091, eliminarán 11 métodos heredados de Validación de Control de Dominio. Al retirar estas prácticas obsoletas, que se basan en señales de verificación más débiles, como el correo postal, las llamadas telefónicas o los correos electrónicos, cerramos posibles vulnerabilidades para los atacantes e impulsamos el ecosistema hacia una seguridad automatizada y criptográficamente verificable.

Para que los operadores de sitios web afectados puedan realizar la transición sin problemas, la descontinuación se implementará gradualmente, alcanzando su máximo potencial de seguridad para marzo de 2028.

La visión es mejorar la seguridad modernizando la infraestructura y promoviendo la agilidad mediante la automatización. Si bien la iniciativa "Avanzando Juntos" de Chrome establece la dirección a la que aspiran, las recientes actualizaciones de los Requisitos Base de TLS convierten esa visión en una política. Esto se basa en el impulso de principios de este año, incluyendo la exitosa promoción de la adopción de otras iniciativas de mejora de la seguridad como estándares para toda la industria.

¿Qué es la Validación de Control de Dominio?

La Validación de Control de Dominio es un proceso crítico para la seguridad, diseñado para garantizar que los certificados se emitan únicamente al operador de dominio legítimo. Esto evita que entidades no autorizadas obtengan un certificado para un dominio que no controlan. Sin esta verificación, un atacante podría obtener un certificado válido para un sitio web legítimo y utilizarlo para suplantar la identidad de dicho sitio o interceptar el tráfico web.

Antes de emitir un certificado, una Autoridad de Certificación (AC) debe verificar que el solicitante controla legítimamente el dominio. La mayoría de las validaciones modernas se basan en mecanismos de "desafío-respuesta". Por ejemplo, una AC podría proporcionar un valor aleatorio para que el solicitante lo coloque en una ubicación específica, como un registro DNS TXT, que luego verifica.

Históricamente, otros métodos validaban el control por medios indirectos, como consultar información de contacto en registros WHOIS o enviar un correo electrónico a un contacto del dominio. Estos métodos han demostrado ser vulnerables (ejemplo) y las iniciativas recientes están eliminando estas comprobaciones menos rigurosas en favor de alternativas robustas y automatizadas.

Elevando el nivel de seguridad

Las votaciones del Grupo de Trabajo de Certificados de Servidor del Foro de CA/Navegador, aprobadas recientemente, introducen una retirada gradual de los siguientes métodos de Validación de Control de Dominio. Los métodos alternativos existentes ofrecen mayores garantías de seguridad contra atacantes que intentan obtener certificados fraudulentos, y estos métodos alternativos también más robustos con el tiempo. 

Métodos obsoletos que dependen del correo electrónico:

• Email, Fax, SMS, or Postal Mail to Domain ContactEmail, Fax, SMS, or Postal Mail to IP Address Contact
• Constructed Email to Domain Contact
• Email to DNS CAA Contact
• Email to DNS TXT Contact

Métodos obsoletos que dependen del teléfono:

• Phone Contact with Domain Contact
• Phone Contact with DNS TXT Record Phone Contact
• Phone Contact with DNS CAA Phone Contact
• Phone Contact with IP Address Contact

Método obsoleto que depende de una búsqueda inversa:

• IP Address
• Reverse Address Lookup

Para los usuarios habituales, estos cambios son invisibles, y ese es el objetivo. Sin embargo, en segundo plano, dificultan que los atacantes engañen a una CA para que emita un certificado para un dominio que no controlan.

Esto reduce el riesgo de que se abuse de señales obsoletas o indirectas (como datos WHOIS desactualizados, ecosistemas complejos de teléfono y correo electrónico, o infraestructura heredada). Estos cambios impulsan el ecosistema hacia métodos de validación de control de dominio estandarizados (por ejemplo, ACME), modernos y auditables. Aumentan la agilidad y la resiliencia al animar a los propietarios de sitios web a adoptar métodos modernos de Validación de Control de Dominio, lo que crea oportunidades para una gestión más rápida y eficiente del ciclo de vida de los certificados mediante la automatización.

Estas iniciativas eliminan los puntos débiles que impiden establecer la confianza en internet. Esto se traduce en una experiencia de navegación más segura para todos, no solo para los usuarios de un único navegador, plataforma o sitio web.

Fuente: Google