Firma electrónica

Firma electrónica La extensión de la informática y la expansión de las redes de ámbito mundial han incrementado la necesidad de elevar los niveles de seguridad y confidencialidad de la información que circula por Internet y es almacenada en los distintos servidores. En este sentido, uno de los elementos jurídicos que se está desarrollando en Internet es la llamada «firma electrónica», cuya regulación en España se llevó a cabo por primera vez en un Real Decreto Ley de 1999, que posteriormente fue modificado en 2002. Por firma electrónica se entiende aquel conjunto de datos en forma electrónica, anexos a otros datos electrónicos o asociados funcionalmente con ellos, utilizados como medio para identificar formalmente al autor/a o a los/as autores/as del documento que la recoge. La Ley distingue la firma electrónica avanzada como aquella que permite la identificación del signatario/a y ha sido creada por medios que éste mantiene bajo su exclusivo control, de manera que está vinculada únicamente al mismo/a y a los datos a los que se refiere, lo que permite que sea detectable cualquier modificación ulterior de éstos. La diferencia estriba en que la firma avanzada facilita la identificación de forma fehaciente al signatario mientras que en la otra no, otorgándole iguales efectos jurídicos que en la firma manuscrita. Por esta razón, en la obtención de una firma electrónica ha de intervenir necesariamente la figura de la denominada «Autoridad de Certificación». En España, la Agencia Tributaria utiliza un sistema de certificados personales para realizar la declaración de la renta por Internet. Para ello es necesario obtener un certificado en la Fábrica Nacional de Moneda y Timbre.

Pág 1 de 13

Firma electrónica

Utilidades Las principales utilidades de la firma electrónica son: • Asegura que la contraparte, en una relación vía Internet, es quien dice ser. • Garantiza que no puede accederse al contenido del mensaje, al ir debidamente cifrado hasta que llega a su destinatario, en el caso de que algún tercero no autorizado lo intercepte durante dicho tránsito. • Posibilita la detección automática en caso de interceptación no autorizada del mensaje o intento no consentido de modificarlo. • Certifica que el/la destinatario/a recibió el mensaje, registrándose incluso la hora exacta. A este fenómeno, fruto de una mala traducción del inglés, se le conoce como «no repudio», por el cual tanto el/la emisor/a como el/la receptor/a no pueden negar haber efectuado el mensaje y permite evitar la copia o duplicación de los certificados, así como su uso fuera del tiempo para el que hayan sido emitidos. • Garantiza que al estar ante una página web determinada, estamos ante ella y no ante otra. A este tipo de certificados se le suele llamar de servidor y es el que utilizan los bancos y entidades financieras a la hora de acceder a su página web. • Pueden ser útiles para certificar el código fuente de programas informáticos, con lo cual, el/la potencial cliente o usuario/a autorizado del mismo, puede tener la tranquilidad de que no está ante una obra plagiada, modificada o contagiada por virus.

Pág 2 de 13

Firma electrónica

Efectos jurídicos La ley señala que los efectos jurídicos para la firma avanzada, estableciendo siempre que esté basada en un certificado reconocido y que haya sido producida por un dispositivo seguro de creación de firma, son los siguientes: • Respecto de los datos consignados de forma electrónica, posee el mismo valor que la firma manuscrita en relación con los consignados en papel. • Será admisible como prueba en juicio, valorándose ésta según los criterios de apreciación establecidos en las normas procesales. La norma también establece los requisitos necesarios para la adquisición de estos efectos jurídicos: aunque señala que el hecho de no reunirlos no será motivo de su denegación: • La firma electrónica debe ser emitida con un certificado reconocido. • El certificado reconocido debe ser expedido por un prestador acreditado de servicios de certificación.

Funcionamiento Para proteger las comunicaciones de los/as usuarios/as en las redes es necesario dotar a las mismas de los siguientes servicios de seguridad: autenticación de entidad, control de acceso, confidencialidad de los datos y no repudio. Para proporcionar mecanismos:

estos

servicios

de

seguridad

es

necesario

incorporar

dos

• Cifrado: utilizando sistemas criptográficos simétricos o asimétricos. • Control de acceso: mecanismo que se utiliza para legalizar las capacidades de una entidad con el fin de asegurar los derechos de acceso a recursos que posee. La firma digital supone el cifrado, con una componente secreta del/la firmante, de la unidad de datos. Consiste en un bloque de caracteres que acompaña a un documento (o fichero) acreditando quién es su autor (certificación) y que no ha existido ninguna manipulación posterior de los datos (integridad).

Pág 3 de 13

Firma electrónica

Para firmar un documento digital, su autor/a utiliza su propia clave secreta a la que sólo él/ella tiene acceso, lo que impide que pueda después negar su autoría. De esta forma, el autor/a queda vinculado al documento de la firma. Por último la validez de dicha firma podrá ser comprobada por cualquier persona que disponga de la clave pública del autor.

Tipos de firma electrónica Existen dos tipos de firma electrónica • De clave simétrica. Fueron las primeras en utilizarse. Supone que habiendo dos partes interesadas en el contenido de una comunicación o transacción electrónica, la clave que se utiliza para decodificar el mensaje, será sólo una, que ambas partes poseerán. • De infraestructura de clave pública o asimétrica. La firma electrónica a la que la norma española confiere, a efectos legales, un valor equivalente al de la firma manuscrita, se basa en que ya no se habla de una única clave, de uso compartido por ambas partes, sino que existen dos claves distintas, (de ahí la expresión asimétrica) una pública y otra privada, pudiendo darse a conocer a los demás la primera y debiéndose guardar por el interesado la segunda, sin revelarla a los demás.

Pág 4 de 13

Firma electrónica

Certificados La Ley lo define como la certificación electrónica que vincula unos datos de verificación de firma a un signatario y confirma su identidad. Los certificados no son más que registros electrónicos que atestiguan que una clave pública pertenece a un determinado individuo o entidad e intentan evitar que alguien utilice una clave falsa haciéndose pasar por otro. Los certificados contienen una clave pública y un nombre, la fecha de vencimiento de la clave, el nombre de la autoridad certificante, el número de serie del certificado y la firma digital del que otorga el certificado. Se inscriben en un registro (repositor y) considerado como una base de datos a la que el público puede acceder directamente «online» para conocer la validez de los mismos.

Tipos de certificados Existen diferentes tipos de certificados: • Certificados de identificación. Identifican y conectan un nombre a una clave pública. • Certificados de autorización. Ofrecen otro tipo de información correspondiente al/a la usuario/a, como por ejemplo la dirección comercial, antecedentes, catálogos de productos, etc. • Certificados que colocan a la Autoridad Certificante en el rol de notario, pudiendo ser utilizados para dar fe de la validez de un determinado hecho o que un hecho efectivamente ha ocurrido. • Certificados que permiten determinar día y hora en que el documento fue digitalmente firmado (Digital-time stamp certificates).

Autoridades de Certificación Los prestadores de servicios de certificación son aquellas personas físicas o jurídicas que expiden certificados, pudiendo prestar, además, otros servicios en relación con la firma electrónica. Desde el punto de vista de una infraestructura de clave pública, es necesario confiar en una tercera parte solvente que pueda garantizar u otorgar la confianza necesaria para poder identificar a una persona física o jurídica. Acreditan la unión entre una determinada clave y su propietario real, actuando como una especie de notario/a electrónico/a que extiende un certificado de claves para

Pág 5 de 13

Firma electrónica

garantizar la autenticidad de dicha información. Para evitar que se falsifiquen los certificados, la clave pública de la autoridad de certificación debe ser fiable. Por ello deberá publicar su clave pública o proporcionar un certificado de una autoridad mayor que certifique la validez de su clave. Esta solución da origen a diferentes niveles o jerarquías dentro de las autoridades de certificación.

Obtención de certificados Un certificado se puede obtener directamente de la Autoridad de Certificación o a través de otras empresas que se hayan constituido como entidades colaboradoras en el registro de certificados. Para la emisión de un certificado es preciso la identificación del/de la usuario/a frente a la Autoridad de Registro o una Entidad Colaboradora en el Registro (ECR). Según el certificado solicitado se deberá presentar la documentación requerida, como por ejemplo el DNI, las escrituras de constitución de la Sociedad o cualquier otro documento oficial necesario. La Autoridad de Registro y las ECR se encargan por tanto de identificar de manera inequívoca a los/as usuarios/as para que, posteriormente, éstos puedan obtener los certificados. El procedimiento es el siguiente: • El/la usuario/a presenta la documentación, bien de forma «on line» o físicamente según el nivel de seguridad, se verifica la identidad y se proporciona un ID o identificador y una Password o contraseña. • Se procede mediante el ID y la Password a realizar la solicitud «on line» a la Autoridad de Certificación y ésta, tras verificar los datos que el/la solicitante le proporciona (ID, Password) emite el certificado. • La solicitud se realiza por tanto de forma «on line» y las claves se generan automáticamente en el mismo ordenador desde el que se realiza la solicitud. La clave pública se enviaría posteriormente a la Autoridad de Certificación también de forma automática. • A partir de entonces, el/la usuario/a podrá firmar a través de su clave privada que está guardada de forma segura en el disco duro del ordenador. Para la firma será requerido un PIN o Password personal de acceso a la clave privada firmándose el documento y adjuntando a su vez el certificado de clave pública que está convenientemente firmado por la autoridad de certificación.

Pág 6 de 13

Firma electrónica

Respecto a la equivalencia de certificados de Estados que no sean miembros de la Unión Europea, la Ley establece una serie de requisitos o condiciones: • El prestador de servicios debe reunir los requisitos establecidos en la normativa comunitaria sobre firma electrónica y haber sido acreditado conforme a un sistema voluntario establecido en un Estado miembro de la Unión Europea. • El certificado debe estar garantizado por un prestador de servicios de la UE que cumpla con los requisitos establecidos en la normativa comunitaria sobre firma electrónica. • El certificado o el prestador de servicios deben estar reconocidos en virtud de un acuerdo bilateral o multilateral entre la UE y terceros países u organizaciones internacionales.

Instalación de un certificado en el navegador Una vez obtenido el certificado dispondremos de un fichero (en disquete u otro medio electrónico) que será necesario incorporar a nuestro navegador. En el caso de Internet Explorer, el navegador más popular, el proceso de instalación de un certificado personal es muy sencillo. Los pasos que se deben seguir son: 1. Acceder al menú Herramientas / Opciones de Internet:

Pág 7 de 13

Firma electrónica

2. Hacer clic sobre la pestaña Contenido.

Se mostrará una opción de instalación de certificados. Pulsaremos el botón Certificados.

Pág 8 de 13

Firma electrónica

3. Las pestañas de la ventana listarán los diferentes certificados instalados en el equipo, por categorías.

La instalación de un nuevo certificado se realizará mediante el botón Importar, habiendo elegido el tipo de certificado mediante las pestañas superiores (normalmente se elegirá la pestaña Personal). 4. El asistente solicitará el fichero que se va a importar y podremos elegir el tipo del mismo mediante la lista desplegable en el nombre de archivo.

Pág 9 de 13

Firma electrónica

5. Como último paso se pedirá confirmación para la instalación definitiva.

De este modo el certificado quedará instalado de forma segura en el disco del ordenador.

Pág 10 de 13

Firma electrónica

Ejemplos A continuación se muestran algunas entidades emisoras de certificados. Agencia de Certificación Electrónica http://www.ace.es La agencia presenta a través de su página web, además de información general sobre los certificados digitales, los siguientes apartados: • Productos y servicios. Entre los que destacan servicios de seguridad para B2B, certificados para servidor y para usuario/a. • Corporación. Con información general sobre la Agencia: historia, misión, contacto, etc Preguntas frecuentes. Una ayuda a conocer rápidamente las directrices generales de los certificados digitales. • Consultoría con información general muy interesante sobre qué es la consultoría sobre firma electrónica, certificación digital, a quien va dirigida, beneficios para el negocio y elementos que forman parte de dicha consultoría.

Pág 11 de 13

Firma electrónica

Fundación para el Estudio de la Seguridad de las Telecomunicaciones http://www.feste.com La Fundación presenta en su página web a través de sus apartados de Fundación, certificados, directorio y recursos, interesantes documentos sobre la normativa legal existente, certificación digital a nivel europeo y mundial, estudios desarrollados por la fundación, enlaces relacionados a páginas de seguridad, criptografía, certificación digital, ... Además mantiene información sobre los diferentes tipos de certificado digital que emiten: certificado notarial (aplicaciones de firma electrónica avanzada), certificado web seguro, corporativo, etc

Pág 12 de 13

Firma electrónica

Fábrica Nacional de Moneda y Timbre http://www.fnmt.es En la estructuración de sus funciones, la FNMT·RCM depende del Ministerio de Economía y a través de su página web podremos obtener certificados digitales. La FNMT ofrece soporte de seguridad a diversos Organismos y Empresas y si el/la usuario/a desea acceder a alguno de los servicios ofrecidos por éstos en Internet, puede obtener de forma gratuita el certificado correspondiente. Estos certificados sirven para identificar y ofrecerle garantías de seguridad ante cada organismo. Para obtenerlos deberemos seguir las instrucciones particulares de cada caso publicadas en esta página.

Pág 13 de 13