Experiencas con Certificados de cliente. Un newbie administrador

 Siempre me he considerado un poco ingenuo de como documentamos las cosas. Yo he sido siempre de los guia-burros, será por que soy uno de ellos que le vamos a hacer. 

Revisando al documentación Kubernetes y de Docker, y de Swarm, me he dado cuenta de que o tienes conocimientos o caes en la trampa de la documentación. 

Es verdad, y es incuestionable, de que cuando usando una documentación genéricamente vamos a los sencillo: lo simple. No nos preocupamos de aquellas cosas que nos dán la patina del especialista (yo no lo soy). 

Pero me he ido dando cuenta que en esta selva en la que se ha convertido Internet, que no sus protocolos, pues tenemos que profundizar en la seguridad. 

Entiendo que hay dos situaciones:

-  aquellas que no conoces a tu consumidor (ese desconocido que te llama  a la puerta y le tienes que dar toda tu confianza para que hable contigo) y  

- aquellas que lo conoces y confías en él porque siempre que habla contigo te demuestra quién es. 

En mi actual posición me he dado cuenta de que muchas veces equivocamos la seguridad, pero algunos si que la que han comprendido como hacerlo. 

Si vas a usuarios que no sabes quienes son, y no sabes si van a ser amigos/enemigos pues tienes que tener un control de validación de usuario. Me pases un 2FA o unas credenciasles que se van renovando a cada momento o por desgracia no vas a  usar mi servicio. Restringes mucho la audiencia pero por contra consigues limitar los daños de una intrusión negativa. Esto en la literatura anglosajona ya estará asumido pero creo que en nuestro país, España, no lo es tanto. 

En el caso de consumidores corporativos, pues parece que no está tan asumido, y mucho menos implementado. Tan sencillo es como la gestión de comunicaciones por certificado, aunque engorroso porque implica una capa más de seguridad, pero también implica una capa más de asertividad. Esto úlrtimo es soy quién digo y lo tengo demosrtrado por:

- mi clave privada, 

- el certifiado, 

- mi certificado de la autoridad certificadora que demuestra que soy un agente valido.

Entiendo, sin asumir la complejidad de codificación y la complejidad de gestión, que es el mejor sistema de conectarme a un par que voy a consumir. Aun siendo de diferentes organizaciones, y por ende, tener diferentes autoridades de certifiación, las asumimos como propias y confiamos en ellas.

La confianza de las certificaciones, y su autormatización, a nivel de terceros sería un logro sin parangón. Conseguir que una entidad de crédito genere automáticamente, a coste marginal:

-  la generación de un certificado de cliente,

- su firma, y 

- su expedición al cliente, aceptando la manulidad de incorporar el certificado intermedio como válido,

; entiendo que haría confiable muchísima parte de las cadenas de confiabilidad de certificados. 

No sé actuamente cómo implemementar la cadena de autenticación pero seria muy interesante hacer lo indicado. 

Todo lo anterior está muy implementado en servicios B2B pero no se ha implementado en servicios INTRANET. O eso creo. Confiamos mucho en quién nos llama internamente, sea una llamada o no legítima.