Hallazgosef-ani-01
Media

ANI: certificado wildcard para subdominios

Categoría

Configuración SSL

Estado

Activo

Confianza

verified

Observado

2026-06-27

OWASP

A05:2021 — Security Misconfiguration

Resumen

El certificado TLS vigente para ani.gov.co, emitido por Google Trust Services WE1 y valido hasta 2026-09-24, incluye SAN ani.gov.co y *.ani.gov.co.

Por qué importa

Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.

Trazabilidad

Primera aparición

2026-06-27

Revisión

2026-06-27

Publicación

2026-06-27

Solución

Primera aparicion conocida en findings.json2026-06-27
Revision: promote2026-06-27
Publicado como hallazgo activo2026-06-27

Cómo mitigar

  • Habilitar DNSSEC en el proveedor DNS (registrar DS en zona padre, generar KSK/ZSK).
  • Publicar registros CAA limitando emisores autorizados (ej. Let's Encrypt, DigiCert).
  • Renovar certificado próximo a expirar — automatizar con ACME.

Entidades afectadas (1)

ID: ef-ani-01·Origen: Extended findings (TLS/DNS/correlation)