¿Qué es el protocolo ACME? ¿Cómo funciona?

ACME (Automated Certificate Management Environment) es un protocolo, definido en el RFC 8555, que automatiza la validación de dominios y la emisión de certificados para que un servidor pueda obtener y renovar un certificado de confianza sin intervención humana.

ACME automatiza la emisión de certificados al requerir que un cliente demuestre el control de un dominio mediante un desafío HTTP o DNS, y luego envíe una solicitud de firma de certificado que la CA verifica y firma automáticamente. Originalmente desarrollado por el Grupo de Investigación de Seguridad de Internet para Let's Encrypt, ACME ahora está estandarizado en el RFC 8555 y es compatible con muchas CA para cualquier período de validez de certificado que ofrezcan, no solo el predeterminado original de 90 días de Let's Encrypt.

Puntos Clave

• ACME fue desarrollado por ISRG para Let's Encrypt y posteriormente estandarizado como RFC 8555. El Grupo de Trabajo de Ingeniería de Internet (IETF) formalizó el protocolo para que cualquier autoridad de certificación, no solo Let's Encrypt, pueda implementarlo.
• La validación del dominio se realiza mediante desafíos HTTP o DNS. El cliente demuestra que controla un dominio colocando una cadena proporcionada por la CA en el servidor o en un registro DNS antes de que la CA emita un certificado.
• ACME automatiza todo el ciclo de vida: emisión, renovación y revocación. Las herramientas para clientes, como Certbot, gestionan las tres acciones sin necesidad de que el usuario inicie sesión en un portal de la CA.
• El plazo predeterminado de 90 días es una decisión política de Let's Encrypt, no un límite del protocolo. ACME respalda cualquier período de validez que una CA decida ofrecer, lo cual es importante dado que la industria avanza hacia períodos de validez más cortos según la propuesta SC-081v3 del Foro CA/Navegador.
• ACME no puede validar certificados directamente en redes puramente internas. Las autoridades de certificación públicas no pueden acceder a sistemas exclusivamente internos para realizar desafíos HTTP o DNS, por lo que el uso interno de ACME requiere un administrador de certificados que pueda establecer esas conexiones localmente.

Cómo funciona ACME, paso a paso

ACME automatiza los mismos pasos básicos que sigue una solicitud de certificado manual, pero sin la intervención humana en ningún momento del proceso.

1. Registro de clientes. El cliente ACME genera un par de claves de cuenta y se registra en el servidor ACME de la CA.
2. Autorización de dominio. La CA emite un desafío basado en HTTP o en DNS; el cliente demuestra que controla el dominio al satisfacerlo.
3. Creación de pedidos. El cliente crea un pedido especificando el certificado que necesita.
4. Presentación y emisión de informes de responsabilidad social corporativa (RSC). El cliente genera una solicitud de firma de certificado (CSR) y la envía; una vez que la autoridad de certificación (CA) confirma que tanto la CSR como la autorización del dominio son válidas, emite el certificado.
5. Instalación. El cliente instala automáticamente el certificado emitido en el servidor o dispositivo.
6. Renovación o revocación. Cuando el certificado se acerca a su fecha de vencimiento, el cliente solicita su renovación a través del mismo proceso automatizado; la revocación se realiza mediante una solicitud firmada similar, si fuera necesario.

Modelo de protocolo ACME

ACME funciona a través de HTTPS utilizando objetos JSON Web Signature (JWS), estructurados como una API REST entre el cliente y la CA.

Los clientes de ACME se representan mediante un par de claves de cuenta: la clave privada firma cada mensaje enviado al servidor, y el servidor ACME de la CA utiliza la clave pública correspondiente para verificar la autenticidad e integridad del mensaje. Este mismo patrón de solicitud firmada abarca el registro, la autorización de dominio, la emisión y la revocación, lo que proporciona a ACME un modelo de seguridad único y coherente en todas las operaciones que realiza.

Dónde se aplica y dónde no se aplica ACME

ACME funciona bien para certificados de acceso público, pero tiene limitaciones importantes en redes internas y en la respuesta a incidentes.

• Las autoridades de certificación públicas no pueden acceder a sistemas exclusivamente internos. Los servidores ACME externos no pueden establecer conexiones HTTP o DNS con sistemas dentro de una red privada, por lo que los certificados puramente internos necesitan un administrador de certificados que pueda realizar esas comprobaciones localmente.
• No dispone de un mecanismo de activación para el reemplazo de emergencia. ACME no dispone de un mecanismo principal para activar automáticamente el reemplazo de certificados en respuesta a un evento como una vulneración de la autoridad de certificación; para ello todavía se requieren herramientas de respuesta a incidentes independientes.
• La amplia compatibilidad con diversas plataformas es una verdadera fortaleza. Una amplia gama de autoridades de certificación, administradores de certificados y clientes en servidores TLS y sistemas operativos son compatibles con ACME, lo cual es inusual para un protocolo de certificados y añade un verdadero valor de interoperabilidad.

Por qué el plazo predeterminado de 90 días es una decisión política, no un límite de protocolo.

La asociación de ACME con los certificados de 90 días de Let's Encrypt da lugar a un malentendido común sobre lo que requiere el protocolo en sí.

Let's Encrypt eligió un período de validez de 90 días como política de emisión al crear ACME para impulsar su modelo de negocio, pero nada en el RFC 8555 vincula a ACME con ese plazo específico. Cualquier CA que implemente ACME puede emitir certificados con el período de validez que admita, razón por la cual ACME está bien posicionado para adaptarse a la tendencia del sector hacia períodos de validez mucho más cortos, hasta 47 días para 2029 según la propuesta SC-081v3 del Foro CA/Navegador, sin necesidad de modificar el protocolo subyacente.

Cómo ayuda la consultoría de cifrado

CertSecure Manager admite la emisión basada en ACME junto con SCEP y EST, automatizando las solicitudes de certificados, la validación de dominios y la renovación en entornos internos y externos, a medida que los periodos de validez de los certificados se acortan. Cuenta con el respaldo de las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Quién creó el protocolo ACME?

El Grupo de Investigación sobre Seguridad en Internet (ISRG) desarrolló originalmente ACME para impulsar la emisión automatizada de certificados de Let's Encrypt. Posteriormente, el Grupo de Trabajo de Ingeniería de Internet (IETF) lo estandarizó como RFC 8555, lo que permite que cualquier Autoridad de Certificación implemente ACME, no solo Let's Encrypt.

¿ACME solo emite certificados de 90 días?

No. El plazo predeterminado de 90 días es una decisión política de Let's Encrypt para su propio servicio, no una limitación del protocolo ACME. Cualquier autoridad de certificación que implemente ACME puede emitir certificados con el período de validez que admita, incluidos los períodos más cortos hacia los que se dirige el sector según la propuesta SC-081v3 del Foro de Autoridades de Certificación/Navegadores.

¿Puede ACME emitir certificados para servidores de uso exclusivamente interno?

No directamente a través de una CA pública, ya que los servidores ACME externos no pueden establecer conexiones HTTP o DNS con sistemas dentro de una red privada para completar la validación del dominio. La emisión interna basada en ACME requiere un administrador de certificados capaz de establecer esas conexiones de validación localmente dentro de la red.

¿Qué ocurre si una CA se ve comprometida mientras se utiliza ACME?

ACME no cuenta con un mecanismo integrado para activar automáticamente el reemplazo de certificados en respuesta a una vulneración de la CA o un evento similar. Las organizaciones aún necesitan procesos y herramientas de respuesta a incidentes independientes, como una plataforma de gestión de certificados, para detectar la vulneración y forzar la rápida reemisión de certificados.

Automatice la emisión de certificados con ACME.

Automatice el ciclo de vida de los certificados con CertSecure Manager en ACME, SCEP y EST, y prepárese para cualquier período de validez que admita su CA.