Si utiliza el cifrado en la telefonía de voz sobre IP, es probable que haya tenido problemas recientemente con la expiración del certificado «Let’s Encrypt». Pero, ¿qué es «Let’s Encrypt»? ¿Cómo y dónde se utiliza? ¿Cómo afecta a tus dispositivos?
¿Qué es el certificado Let’s Encrypt?
Para poder utilizar correctamente HTTPS en un sitio web, se requiere un cierto tipo de archivo, específicamente, un certificado, estos certificados son emitidos por una Autoridad de Certificación (También conocido como CA). Let’s Encrypt es una Autoridad de Certificación sin ánimo de lucro y gratuita. Si necesita obtener un certificado para el dominio de su sitio web de Let’s Encrypt, se le pedirá una prueba de control sobre dicho dominio.
Esto se puede lograr mediante el uso de un software que se ejecuta en el Protocolo ACME (Automatic Certificate Management Environment), que por lo general se ejecutará en el extremo de su proveedor de alojamiento web. Con herramientas como el acceso shell (también conocido como acceso SSH) a su proveedor de alojamiento web, podrá identificar cuál es el método que funciona mejor para su uso particular, si un sitio web se gestiona a través de uno de los paneles de control conocidos como cPanel, Plesk o WordPress, lo más probable es que sea necesario el acceso shell al proveedor de alojamiento.
El propósito de Let’s Encrypt y el protocolo ACME es permitir la configuración de un servidor HTTP y luego hacer que este reciba automáticamente un certificado que sea de confianza para los navegadores web, esto está destinado a suceder sin ninguna interacción humana y se logra mediante la ejecución de un agente de gestión de certificados en el extremo del servidor web.
Pero Let’s Encrypt no sólo emite certificados SSL/TLS para sitios web exclusivamente, también pueden emitir certificados para cualquier servidor que realmente utilice un nombre de dominio, como servidores web, servidores de correo, servidores FTP, servidores VoIP, etc.
El pasado 30 de septiembre se produjo un ligero cambio en la forma en que los navegadores y dispositivos antiguos confiaban en los certificados de Let’s Encrypt. En un sitio web normal el cambio no fue perceptible, ya que la mayor parte de los visitantes de ese sitio web seguirán aceptando el certificado Let’s Encrypt, pero si usted proporciona una API o soporte a dispositivos IoT, entonces podría ser necesaria alguna interacción.
El certificado que ha caducado recientemente se llama DST Root X3, que es una «firma cruzada» utilizada para garantizar que los certificados que emite Let’s Encrypt son de confianza en los dispositivos más antiguos. Hoy en día, los dispositivos más nuevos confiarán en el nuevo certificado raíz llamado ISRG Root X1, así como en su predecesor DST Root X3, pero no ocurre lo mismo con los dispositivos más antiguos (ordenadores con Windows XP con Service Pack 3, MacOS 2016 y anteriores, iPhone 4, HTC Dream, PlayStations antiguas, por nombrar algunos), que no confiarán en el nuevo certificado raíz ISRG Root X1.
Algunos dispositivos se pueden «ajustar» para que confíen en los certificados raíz más recientes, pero otros no podrán hacerlo, debido a que están obsoletos o ya no reciben soporte o actualizaciones en su firmware.
En el caso particular de los dispositivos Android, Let’s Encrypt tiene una solución para esto, permitiendo que muchos dispositivos Android confíen en el certificado más reciente ISRG Root X1, que expira hasta 2035, los usuarios de Android con la versión Nougat 7.1.1 y anteriores podrán confiar en el certificado raíz de Let’s Encrypt gracias a una firma cruzada que ampliará la validez del mismo durante tres años más. Sin embargo, los usuarios de Android con la versión Lollipop 5.0 y anteriores, pueden requerir la instalación de Firefox para la navegación web, debido a que este navegador tiene incorporada una lista de certificados raíz de confianza.
Aquí es donde la telefonía SIP o VoIP entra en la ecuación, la expiración del antiguo certificado raíz DST Root X3 definitivamente ha representado ligeros problemas para los usuarios de servicios de voz sobre IP debido al hecho de que sus dispositivos, lamentablemente, ya no son soportados por los fabricantes, o, por alguna razón, el firmware de sus dispositivos no ha podido actualizarse en un tiempo, lo que hará que los dispositivos mantengan la antigua firma para el ahora obsoleto certificado DST Root X3, impidiendo que los dispositivos se registren en cualquier servidor SIP mientras intentan conectarse a su nombre de dominio y utilizan TLS como protocolo de transporte.
Hemos recibido informes de dispositivos que pueden realizar completamente un registro correcto a nuestros servidores, pero utilizando exclusivamente el transporte UDP / TCP. Actualmente estamos trabajando estrechamente con nuestros socios para tener información actualizada directamente de ellos con el fin de estar seguros de qué dispositivos serán capaces de someterse a un proceso de actualización y qué otros dispositivos no.
En breve actualizaremos nuestros recursos Wiki para incluir información detallada sobre los dispositivos que necesitarán más ajustes para seguir soportando el cifrado, así como para compartir con vosotros qué dispositivos no podrán confiar en el nuevo certificado raíz que se utiliza actualmente de forma generalizada.
No dudes en ponerte en contacto con nosotros si tienes problemas en este momento a través de nuestro correo electrónico de asistencia: [email protected].
