En una época en la que la confianza digital es una moneda rara, los proyectos de código abierto relacionados con la criptografía y la identidad digital deben someterse a controles rigurosos. En este contexto se enmarca el trabajo de Francesco Ongaro, reconocido hacker ético italiano, quien llevó a cabo un importante análisis del código fuente para CAcert, una Autoridad de Certificación (CA) no comercial gestionada por la comunidad.

¿Qué es CAcert?

CAcert es una autoridad de certificación gratuita y comunitaria, creada para proporcionar certificados digitales X.509 a usuarios, desarrolladores y organizaciones que desean cifrar correos electrónicos, autenticar servidores y garantizar la integridad de las comunicaciones. A diferencia de las CA comerciales, CAcert se basa en un modelo de confianza distribuida, validada mediante encuentros físicos y la denominada “Web of Trust” (Red de Confianza).

El proyecto, puramente sin ánimo de lucro, destaca por la transparencia y la accesibilidad de su código fuente, ofreciendo a la comunidad la posibilidad de contribuir directamente a su seguridad.

CAcert puede considerarse el arquetipo de las modernas iniciativas de descentralización de la identidad y de los sistemas de gestión de confianza de código abierto, conceptos hoy centrales en el desarrollo de soluciones como Identificadores Descentralizados (DID), Identidad Autosoberana (SSI) y marcos basados en PKI de blockchain. Aunque opera en un contexto técnico y normativo muy diferente, CAcert anticipó la idea de que la seguridad digital puede (y debe) construirse de manera colaborativa, transparente y no centralizada.

En cierto sentido, CAcert anticipó el papel de Let’s Encrypt en la promoción de la adopción de la criptografía, pero sin el respaldo de las grandes empresas tecnológicas ni la integración automática en los navegadores. Era una CA gratuita y transparente, pero autofinanciada y sostenida enteramente por su comunidad, con un modelo más artesanal y descentralizado en comparación con las iniciativas actuales patrocinadas por la industria.

Un enfoque ético y técnico para el análisis del código

Francesco Ongaro, también conocido como ascii, es un experto en seguridad informática y fundador de USH, un laboratorio de investigación italiano. En 2007, Ongaro inició una auditoría voluntaria e independiente del código fuente de CAcert, analizando en particular las funcionalidades web accesibles al público.

Durante el Month of CAcert Bugs (Mes de los errores de CAcert), Ongaro identificó más de 9 vulnerabilidades en la plataforma, demostrando la eficacia de un enfoque sistemático para el análisis de código. Este trabajo puso de relieve puntos críticos relevantes en las funcionalidades web accesibles al público, subrayando la necesidad de una revisión continua incluso en los proyectos de código abierto más consolidados.

Las vulnerabilidades detectadas y las reacciones del proyecto CAcert

Las vulnerabilidades identificadas por Ongaro fueron consideradas graves por la junta directiva de CAcert, tal como se recoge en las actas oficiales del 17 de septiembre de 2007. En particular, la discusión destacó:

• La necesidad de incrementar las revisiones comunitarias del código.
• La urgencia de separar las responsabilidades entre el desarrollo de software y la administración de sistemas, para reducir los conflictos de interés y los riesgos operativos.

Por qué esta auditoría representa un caso de estudio fundamental

La auditoría realizada por Ongaro representa un ejemplo concreto de divulgación responsable y de colaboración entre hackers éticos y proyectos de código abierto. La identificación y divulgación controlada de vulnerabilidades críticas permitieron a CAcert aumentar su nivel de seguridad y reforzaron el mensaje de que la confianza digital nunca se da por sentada, sino que debe verificarse y construirse continuamente con transparencia.

El caso CAcert anticipa muchas de las prácticas que hoy se consideran esenciales en el mundo DevSecOps y en la gobernanza de la seguridad de código abierto: revisiones de código abiertas, separación de roles, gestión estructurada de vulnerabilidades e involucración de expertos externos.