Artículo BIT
Aplicaciones de la certificación electrónica como ventaja competitiva
Aplicaciones de la certificación electrónica como ventaja competitiva Identidad Digital EL DNI ELECTRÓNICO, CERTIFICACIÓN Y FIRMA ELECTRÓNICA José A. Romero Director Técnico del Servicio de Certificación de los Registradores En el pasado mes de marzo hemos asistido al lanzamiento, en Burgos, del piloto del DNI electrónico. Como usuarios, una de las primeras cuestiones que nos empezaríamos a plantear es el uso del mismo. Qué es lo que se va a poder hacer con él. Rápidamente, nos viene a la mente aquellas acciones que actualmente podemos realizar con el certificado de la FNMT (Fábrica Nacional de Moneda y Timbre), o con cualquiera de los reconocidos por las Administraciones Públicas, como por ejemplo la presentación de la declaración de la Renta. En definitiva, los usos que le vamos a poder dar son: – Identificación. Al igual que el actual DNI, servirá de documento acreditativo de nuestra identidad. – Firma de Documentos Electrónicos. Por medio del certificado digital, se podrán firmar documentos, acreditando su procedencia, así como su integridad. – Confidencialidad de Documentos, cifrándolos. Desde el punto de vista de un Proveedor de Servicio de Certificación, la percepción puede variar, dependiendo del posicionamiento dentro de la cadena de valor de los servicios de certificación. Los que basen su modelo de negocio en la venta de certificados, lo verán como una amenaza y tendrán que redefinir su estrategia. Los que se sitúen en el extremo opuesto de la cadena, como proveedor de servicios de aplicaciones, basados en firma electrónica, lo verán como una oportunidad. Es este campo, el de las aplicaciones en torno al DNI digital, del que en los próximos meses oiremos hablar. Es una obligación, el preparar las aplicaciones para soportarlo y poder interactuar con él. Con la aparición del DNI electrónico, el universo de potenciales usuarios de las aplicaciones con servicios basados en certificados electrónicos, se amplía. Por otro lado, estamos hablando de certificados reconocidos, creados en dispositivos seguros de creación de firma, por lo que el alcance de las transacciones que se pueden realizar con ellos, aumenta. Este escenario, una mayor base de usuarios y una mayor seguridad en las transacciones, es un buen caldo de cultivo para el desarrollo de las aplicaciones en torno al DNI electrónico. El esfuerzo de soportar los certificados digitales en las aplicaciones, se verá ampliamente recompensado con la dinamización de las transacciones, tanto en el seno de las organizaciones, como en las relaciones entre ellas. Algunas de las ventajas que rápidamente se conseguirían son: 1. Identificación. Se tendrá una forma de identificar de forma segura al usuario que accede a las aplicaciones. 2. Seguridad en las transacciones. Se podrá asegurar la identidad de quien realizó la transacción, así como la integridad y el no repudio de la misma. Adicionalmente, se puede aumentar el nivel de confidencialidad, cifrando los documentos, para que sólo pue 36 bit 156 ABR.-MAY. 2006 Identidad Digital EL DNI ELECTRÓNICO, CERTIFICACIÓN Y FIRMA ELECTRÓNICA “Con la aparición del DNI electrónico, el universo de potenciales usuarios de las aplicaciones con servicios basados en certificados electrónicos, se amplía” dan ser consultados por los destinatarios. 3. Rapidez en las transacciones. Aquellos procesos actuales que requieren la firma de diferentes participantes, se verán rápidamente agilizados. Pensemos si no, en la posibilidad de enviar un documento a firmar a cada una de las persona implicadas, y el resultado final, integrarlo directamente en la aplicación correspondiente. Vamos a desarrollar un poco más el último punto planeado. Por un lado se ha evitado la presencia físi-Internet, mediante un certificado ca de cada uno de los firmantes, digital. Otro, es el del Colegio de con el consiguiente ahorro de tiem-Registradores de la Propiedad y po y dinero en desplazamientos. Mercantil de España, que ha des- Por otro, si el documento está arrollado una aplicación para que correctamente formateado, se con-las empresas envíen documentos sigue que entre directamente en los de forma segura a los Registros sistemas de gestión. De nuevo, Mercantiles. tenemos un ahorro de tiempo, costes y errores. La información, se En el aspecto de la estandarizagenera directamente por las aplicación de los documentos, cabe desciones, evitando la manipulación tacar la iniciativa de crear un están- humana, tanto en la generación de dar de factura electrónica para que los documentos como en su trata-todos los involucrados hablen el miento posterior. Al no tener que mismo lenguaje. Ahora, con el lanintroducir manualmente la informazamiento del DNI electrónico, se ción en las aplicaciones de gestión, verá reforzado, pues todo el mundo se reduce el tiempo de tramita-tendrá un certificado reconocido ción. Además, no es necesario el con el que se podrán firmar dichas soporte papel, evitándonos las facturas y serán tan válidas, como impresiones y su posterior alma-las actuales en papel. cenamiento. Este último punto es de especial interés, los clásicos Es interesante distinguir la criticidad archivadores de papel, se verán de las operaciones que se vayan a sustituidos por pequeñas unidades llevar a cabo con el DNI electrónico. de almacenamiento, reduciendo Por ejemplo, emplearlo para enviar un la necesidad de espacio. correo electrónico firmado, firmar un contrato, acceder a un portal web, Por lo expuesto hasta el aprobar una operación, etc. momento, las aplicaciones deben encaminarse a una estandariza-Las repercusiones que tiene el utición del formato de los documenlizar un certificado que no esté vigentos generados, así como la posibite, no son iguales en cada una de lidad de firmarlos electrónicamenellas. Antes de seguir ilustrando estos te y poder definir flujos de trabajo. casos, vamos a pensar en la situa- Obviamente, esto no es algo que ción actual: el DNI físico. Hoy en traiga impuesto el DNI electrónico, día, nos roban nuestro DNI y, ¿queda pero sí que lo va a potenciar. completamente inutilizado si realiza- Actualmente, uno de los frenos al mos la oportuna denuncia? No. Cuán- desarrollo de estas aplicaciones es tos casos no se han dado de una perla falta de interoperabilidad entre sona que se ha presentado en un las diferentes autoridades de certifibanco, con un DNI robado, ha abiercación. Otro es el escaso conocito una cuenta, ha falsificado la firma, miento que hay entre el público en y ha operado. ¿Cómo ha sido posible? general, sobre los certificados elec-Por la imposibilidad de comprobar el trónicos, a pesar del esfuerzo de estado de ese DNI, mediante una muchas administraciones y colecticonsulta a las bases de datos de la Po- vos en fomentar su uso. Claro ejemlicía. En este ejemplo, tenemos un plo es la Agencia Tributaria, caso de acceso, otro de identifica- mediante su Oficina Virtual, para ción, otro de firma de un contrato y otro realizar los trámites a través de de realización de una transacción bit 156 ABR.-MAY. 2006 37 Identidad Digital EL DNI ELECTRÓNICO, CERTIFICACIÓN Y FIRMA ELECTRÓNICA monetaria. Su equivalente en el mundo digital, sería el acceso al portal web de una entidad bancaria, el registro en su sistema como usuario, la firma de un contrato de utilización y de las transacciones que posteriormente se realicen. La duda que nos planteamos en este momento es, en este escenario, ¿se podría haber evitado la situación que se da en el mundo físico? La respuesta es claramente sí. Con un certificado digital, es posible comprobar si, en este caso, existe una denuncia de robo o pérdida del DNI electrónico con el que se está operando y, por lo tanto ha sido revocado (de una forma similar a lo que se hace con las tarjetas de crédito). Aquí, vamos echar un vistazo a la Ley 59/2003 de Firma Electrónica. En ella, se hace mención a que se deja la responsabilidad de la comprobación de la vigencia del certificado en la parte receptora, y no en la emisora. Así, nos podemos encontrar con situaciones en las que se podrá utilizar el DNI electrónico, en una transacción que intervenga el certificado digital, cuando este se encuentre revocado. A posterior, quien reciba el documento firmado, será el encargado de verificar la validez del certificado empleado. En la medida en la que las aplicaciones controlen este punto y no se permitan dichos comportamientos, el desarrollo del negocio se verá favorecido. Esto, que a priori es sencillo, basta con una consulta por número de serie a un repositorio centralizado, se complica cuando nos encontramos con situaciones, actuales, en las que por comprobar la vigencia del certificado en tiempo real, algunos proveedores de servicios de certificación cobran. Esto, va claramente en con “Al no tener que introducir manualmente la información en las aplicaciones de gestión, se reduce el tiempo de tramitación” tra del desarrollo del negocio, ya que no todas las empresas, en su afán por ahorrar costes, van a contratar este servicio y aceptarán el riesgo de consultar listas de certificados revocados con 12 o 24 horas de desfase. Ahora, retomemos el caso del DNI robado, pero llevémoslo al mundo digital. A un usuario le roban su DNI digital y como consecuencia, denuncia su robo. Automáticamente, el certificado digital que contiene se revoca. Con posterioridad, con el DNI robado, intentan acceder al portal web de una entidad financiera en la que la víctima tiene una cuenta y, aprovechando el anonimato de Internet, intentan operar y transferir a otra cuenta cierta cantidad de dinero. Vamos a suponer, incluso, que esta persona está en posesión del PIN de acceso al certificado digital. Como primera medida, tendrá que identificarse en el portal web. Ya se plantea la primera pregunta, ¿cuánto de crítico es dejar acceder a un usuario a consultar su información bancaria con un certificado revocado? A continuación, se pasa a realizar la transacción. ¿Se debe permitir hacer una transferencia entre dos cuentas de usuarios distintos, con un certificado revocado? ¿Por qué permitir estas operaciones, cuando, y a diferencia del mundo físico, se puede evitar, sin necesidad de tener que recurrir a posteriores procesos de comprobación? En el caso particular de los bancos, y de las empresas en general, el lanzamiento del DNI electrónico, cuando adapten sus aplicaciones, supondrá un gran avance en medidas de seguridad, sin la inversión de grandes sumas de dinero, pues lo más caro, que es el soporte de creación de firma, para el certificado digital, así como la infraestructura de clave pública, ya estará disponible. Así, en la medida en que las aplicaciones traten el DNI electrónico, aprovechando las oportunidades que ofrece, el mercado se dinamizará, permitiendo cada vez mayores transacciones digitales.
30 oct 2015