ca md too weak: ¿reemitir el certificado o bajar el nivel?

Un OpenVPN que funcionaba el mes pasado ahora falla al arrancar con ca md too weak, y el perfil del disco es byte por byte el que funcionaba. El mensaje se refiere a la firma del certificado de una autoridad de certificación, no al cifrado de datos, al resumen de auth ni a la contraseña de la cuenta. Tres condiciones deciden si la solución es material de identidad nuevo, una cadena nueva o un cambio deliberado de política. Trábelas en orden y evitará el desenlace habitual, en el que el túnel vuelve debilitando cada conexión TLS del host.

Qué nombra en realidad el error

OpenSSL lanza este error de verificación mientras construye una cadena, cuando el certificado que actúa como CA lleva un resumen de firma que el nivel de seguridad de la biblioteca ya no acepta. MD5 se rechaza en el nivel predeterminado, y SHA-1 se rechaza en cuanto se sube el nivel. El resumen del certificado hoja importa aquí menos que el del emisor que lo firma. La misma política puede rechazar una raíz que el día de su emisión era del todo corriente.

Por eso editar auth o data-ciphers no sirve de nada para este fallo. Esos ajustes gobiernan cómo se protegen los paquetes tras el handshake, mientras que el objeto rechazado es un documento de identidad que se examina antes de que exista un túnel. Un certificado puede estar cómodamente dentro de su ventana de validez y aun así llevar una firma que la biblioteca no aceptará.

Mantenga las comprobaciones separadas en la cabeza y el error deja de parecer misterioso. Las fechas de validez, el uso de la clave y el resumen de firma son pruebas independientes, y exactamente una de ellas acaba de fallar.

Condición uno: ¿el objeto rechazado es la raíz?

Imprima cada certificado del perfil y lea los campos subject e issuer. Una raíz autofirmada muestra el mismo valor en ambos, y su algoritmo de firma es el que sostiene toda la cadena. Cuando el resumen débil está ahí, cada hoja por debajo hereda el problema. Anote el algoritmo junto al subject para que la comparación posterior sea mecánica y no de memoria.

Los archivos CA agrupados suelen contener varios bloques, así que identifique el bloque que realmente se carga en lugar de suponer que el primero es el culpable. El comando openssl x509 -in ca.pem -noout -subject -issuer -text describe un certificado a la vez, lo que obliga a dividir el paquete primero si contiene más. Compare el algoritmo de firma impreso con el resumen que cabría esperar de la época en que se creó la raíz.

Una hoja firmada con SHA-256 bajo una raíz débil sigue fallando, porque la comprobación de la cadena sube hasta arriba. Ese orden es lo que hace importante la condición siguiente.

Condición dos: ¿controla al emisor?

Si la raíz es de su organización, la solución duradera es una raíz nueva con un resumen moderno más hojas reemitidas, entregadas como una sola actualización de perfil. Eso cuesta una ventana de mantenimiento y un plan para los dispositivos que no pueden recibir la actualización el mismo día.

Si la cadena la emitió un tercero, la solución es una petición a ese operador, y la única acción local útil es dejar de depender del material antiguo. Editar el texto PEM o volver a guardar el archivo no cambia nada de lo que cubre la firma.

Un caso intermedio merece nombre: una raíz interna anterior a los valores predeterminados actuales pero que aún firma material en el que confían otros sistemas. Sustituirla exige auditar a cada consumidor, incluidos los equipos que fijan el certificado antiguo por huella. Cuente esos consumidores antes de programar el cambio, porque un cambio de raíz que olvide uno cambia un error de arranque por una caída.

Condición tres: qué más acepta bajar el nivel

Bajar el nivel de seguridad, o elegir el perfil de certificados heredado de OpenVPN, hace que el cliente vuelva a aceptar el resumen antiguo. También relaja otras comprobaciones de la misma biblioteca, para cada conexión que abre ese proceso.

Eso puede ser defendible en un laboratorio, o como puente corto mientras se prepara el material de reemplazo, siempre que la excepción se limite a un perfil y lleve fecha de fin. Como ajuste permanente en un host compartido, amplía en silencio aquello en lo que confiará cada cliente TLS de allí.

Escriba la excepción con un responsable y un paso de retirada. Un cambio de nivel sin documentar es indistinguible de un error seis meses después, y el siguiente ingeniero no sabrá que alguna vez fue una decisión.

La decisión, escrita como regla

Sustituya la cadena cuando controle al emisor y pueda enumerar a sus consumidores. Escale al emisor cuando no. Baje el nivel solo como excepción fechada y acotada, con el reemplazo ya programado. Cualquier otra cosa deja el mismo certificado en su sitio y mueve el riesgo a un lugar menos visible.

Después vuelva a probar el perfil desde un cliente limpio, confirme que el handshake se completa y guarde el texto exacto del rechazo si sigue fallando. Un mensaje de error preciso es lo más barato que puede entregar a quien posea la capa siguiente.