Artículo BIT
Firma y certificado electrónico
Firma y certificado electrónico. Julio Alba. Ingeniero de Telecomunicación. Tradicionalmente las comunicaciones y relaciones entre empresas siempre se han realizado "cara a cara". El ser humano tiene la tendencia de fiarse ciegamente de sus sentidos y el "ver" a la persona con la que se está realizando un acuerdo o intercambio de información, aporta una confianza difícilmente sustituible. Con la popularización de las comunicaciones electrónicas, se está tendiendo a hacer electrónicamente muchos de los trámites que hasta ahora se hacían presencialmente. El tener que fiarse de algo o alguien a quien no se ve, es algo que genera una reticencia natural. Los mecanismos de firma y encriptación son los que técnicamente generan los procedimientos para poder fiarnos de una acuerdo electrónico como si fuese presencial. Como ejemplo de la importancia y evolución sufrida en los mecanismos de firma digital, el Real Decreto Ley 14/1999 de 17 de septiembre sobre Firma Electrónica (B.O.E. 18/9/1999), establece el marco para el uso de la firma digital con el mismo valor que la manuscrita. Cifrado de datos. La encriptación es el procedimiento por el cual una información en claro pasa a un formato en el que resulta ininteligible. El emisor de la información realiza un proceso de encriptado para que, si alguien intercepta esa información no pueda entender nada, posteriormente el receptor desencriptará esa información para poder entenderla. En la figura, se puede ver como el texto “Mensaje” al cifrarse puede pasar a algo como “dm%·24”, del que es casi imposible leer “Mensaje”. El receptor hará un proceso de descifrado para poder obtener el mensaje original. En el almacenamiento de los datos también se usa mucho la encriptación de la información, de esta manera si un intruso consigue llegar hasta nuestro disco duro, no será capaz de entender la información contenida en él. Un ejemplo bastante ilustrativo ocurrió durante una reunión que mantuvimos con unos proveedores Israelíes. Hubo un momento en el que se le realizó una pregunta al proveedor que no sabía responder, así que llamó a un técnico en Israel y mantuvo toda la conversación en hebreo. Cuándo colgó, dijo “jeje, conversación encriptada”. Efectivamente, esa conversación para los españoles que estábamos allí y sin idea de hebreo, estaba ciertamente cifrada ya que nosotros no teníamos ni idea de que se estaba diciendo. Para la encriptación de los datos se suelen usar algoritmos de clave privada/clave pública. Estos algoritmos consisten en que se usa una clave distinta para encriptar la información que para desencriptarla. De esta forma una de las claves se hace pública para que los emisores cifren con esa clave y la otra se la queda el receptor de la información (bien guardada), no la distribuye nunca y se usa para descifrar la información. PKI es el acrónimo de (Public Key Infraestructura) y hace referencia a las infraestructuras de clave pública como se ha descrito en el párrafo anterior. Las PKI proveen al colectivo de una organización de los mecanismos, tecnología, procedimientos y políticas que proporcionan autenticación, confidencialidad, integridad y no repudio para las comunicaciones basadas en Internet. Firma digital. Para evitar el repudio en las transacciones telemáticas, es necesario que tanto el emisor como el receptor de identifiquen unívocamente. Para conseguir esta relación de confianza se suele incluir a una tercer agente que garantiza que el emisor y el receptor son efectivamente quienes dicen ser. Para eso, esta tercera entidad genera unos identificadores llamados Certificados. Un ejemplo muy difundido de estos certificados es el que se usa para hacer las declaraciones de hacienda. Las características generales y más destacadas de una PKI son: – Infraestructura que establece los mecanismos de generación, distribución y revocación de claves criptográficas asimétricas. De esta forma mediante el intercambio de claves, se puede llegar a una situación ideal, en la que todo el tráfico que circule por una infraestructura pública circule cifrado y firmado. – Generación de certificados. De esta forma se habilita la posibilidad de que los dos extremos de una comunicación se identifiquen y evitar así el repudio. – Registro de certificados. Los certificados emitidos deben estar registrados para poder comprobar que un firmante es quien dice ser. – Almacenamiento y Distribución de certificados. Los certificados deben estar almacenados en un repositorio. – Revocación y renovación de certificados. Por todo ello, las principales características de la firma digital son: – La utilización de algoritmos criptográficos asimétricos, con claves diferentes para el proceso de cifrado y descifrado – Proporciona el cifrado de datos y como caso particular del correo electrónico. – Proporciona integridad en los documentos firmados. De esta forma, si un documento ha sido firmado y su contenido resulta modificado por un tercero, las comprobaciones de seguridad se darán cuenta que el documento resultante no es idéntico al original. De esta forma se evitan posibles suplantaciones o manipulaciones – Asegura el no repudio en los documentos firmados. Un documento firmado identifica al emisor y el contenido, con lo que se evita la posibilidad de rechazar la propiedad de un documento o el haberlo enviado. – Todas estas medidas se generan desde la clave que posee el firmante y sobre el propio documento. Por ello, una modificación del documento original posterior al firmado del mismo, será fácilmente detectable. Entidades que intervienen en una PKI. La estructura de una PKI requiere la participación de varias entidades en la que cada una de ellas tiene un rol definido. El objetivo es certificar la autenticidad de las claves públicas, verificar la identidad de los usuarios y verificar la validez de las certificados. – Las Autoridades Certificadoras (CA), son las encargadas de certificar la autenticidad de las claves públicas, emiten los certificados e interoperan con otras CA. – Las Autoridades Registradoras (RA) son las encargadas de verificar la identidad del usuario, genera las solicitudes de certificados para las CA, verifica las revocaciones de los certificados y las relaciones entre claves privadas y claves públicas. – Las Autoridades de Validación (VA) verifican los certificados Online y mantiene la lista de certificados revocados (CRL). – Los Servicios de Directorios almacenan los certificados emitidos por las CA y permite el acceso a los certificados a cualquiera que los necesite. Con estas cuatro entidades diferenciadas funcionalmente, es cómo se define una infraestructura PKI. Conclusión. A día de hoy existen los mecanismos técnicos para garantizar las comunicaciones electrónicas y a todos los elementos que en ella intervienen: emisor, receptor, canal, mensaje, etc. El nivel de seguridad y fiabilidad de esta estructura es suficientemente elevado como para que sea reconocido mediante una ley. Esa ley es la que soporta legalmente toda esta infraestructura técnica y la hace útil y confiable en su uso diario entre distintas entidades (Real Decreto Ley 14/1999 de 17 de septiembre sobre Firma Electrónica -B.O.E. 18/9/1999). En España las relaciones electrónicas B2B cada vez son más abundantes. Desde el punto de vista del ciudadano, está muy extendido el uso del certificado personal para las relaciones con la Agencia Tributaria. Actualmente casi todas las operaciones con esta agencia se pueden realizar únicamente vía electrónica. La habilitación de esta confianza por medio de las infraestructuras PKI, está consiguiendo que las operaciones electrónicas se estén popularizando rápidamente. Esto redunda en comodidad para los usuarios, se ahorran traslados y esperas en las colas, y en ahorro de costes para los proveedores de los distintos servicios.
30 oct 2015