FIRMA DIGITAL. Trabajo realizado por Manuel Iranzo

Transcripción

1 ti FIRMA DIGITAL Trabajo realizado por Manuel Iranzo

2 Índice Firma Digital. Definición y Tipos... 3 Usos e implementaciones de la Firma Digital... 4 Dni electronico... 4 Voto electronico... 5 Criptografía de la firma digital... 6 Tema legislativo, firma digital en España... 7 Riesgos y seguridad de la firma digital... 8 Conclusiones

3 Firma Digital. Definición y Tipos La firma digital es un elemento de seguridad que nace en 1976 de la mano de Diffie y Hellman como método de seguridad para poder hacer transacciones electrónicas entre dos personas sin que hubiera posibilidad de alterar el contenido del mensaje desde que se envía hasta que se recibe. No fue la primera solución a los distintos problemas de tiene una relación entre dos interlocutores debido al número de amenazas, pero si la mas efectiva. La firma digital es un método que necesita un doble cifrado para garantizar que un mensaje es auténtico, y además es confidencial entre el emisor y el receptor. Hay distintas formas de conseguir un cifrado con firma digital, primero una con doble cifrado de clave privada y pública, es decir, el emisor cifra el mensaje con su clave privada, y a continuación con la clave pública del receptor. El receptor recibe el mensaje doblemente cifrado y lo descifra primero con su clave privada y a continuación con la clave pública del emisor consiguiendo así el mensaje original. Otra forma de encriptar un mensaje con forma de firma digital es mediante la función hash. Para ello se vuelve a hacer un doble cifrado, primero con la función hash y al resultado de dicha encriptación le aplica su clave privada consiguiendo así un nuevo cifrado. A continuación envía el mensaje original y el doble cifrado al receptor. Éste descifra el mensaje doblemente cifrado con la clave pública del emisor, y se queda con el cifrado hash, que no puede ser descifrado, y al mensaje original recibido le aplica la función hash. Entonces comprueba que ambos cifrados son iguales, si no lo son, el mensaje es desechado ya que ha sido alterado en su envío, si son iguales, el receptor tiene la certeza que el emisor ha enviado el mensaje y por lo tanto es auténtico. 3

4 Para poder conseguir esta seguridad de que el envío es auténtico, tenemos que tener la seguridad de las claves públicas y privadas son claves seguras. Pero esto lo veremos más adelante (Riesgos y Seguridad de la Firma Digital). Usos e implementaciones de la Firma Digital Desde su nacimiento la firma digital ha ido aumentando sus usos en la vida cotidiana de las personas. Aquí haremos mención a alguno de sus usos actuales con más uso. DNI ELECTRONICO Desde el 2006 en España se ha empezado a distribuir un nuevo DNI para los ciudadanos. Atrás queda el DNI de plástico cuya única función era la de demostrar la identidad (que no es poco) y llega el DNI electrónico para todos los españoles. El nuevo DNI tiene como novedad un microchip en la que se almacena la información más relevante de la persona (datos de la filiación del titular, imagen digitalizada de la fotografía, imagen digitalizada de la firma manuscrita, plantilla de la huella dactilar de los dedos índice de cada mano, un certificado cualificativo para autenticación para autentificar y otro para la firma, un certificado electrónico del la autoridad emisora y las claves pública y privada de cada certificado electrónico). Los certificados son los que nos interesan para nuestro tema, y es que el DNI lleva un certificado X.509 utilizado para validar una clave pública con un algoritmo. Las claves las generan al entregarte el DNI y cada persona es responsable de guardar la suya. Aquí se ve el uso de la firma digital para mantener la privacidad de la información almacenada dentro del DNI. 4

5 Qué se necesita para poder utilizar el DNI electrónico? Evidentemente el propio DNI electrónico obtenido en una comisaría. Y recordar la clave personal, que admite símbolos y diferencia entre mayúsculas y minúsculas. Luego es necesario un lector de tarjetas inteligente. Este lector debe ser compatible con la norma ISO 7816 que es la utilizada por el DNIe. Y por último de un programa informático gratuito que se podrá descargar desde la red. VOTO ELECTRONICO La firma digital podría aparecer para ayudar al voto electrónico, aunque tiene algunos inconvenientes que han hecho que todavía no esté en uso esta forma de verificación de un voto. Y es que aunque sería de gran ayuda tener la posibilidad de saber que tu voto no ha sido modificado en el transcurso de los acontecimientos, la eliminación de la anonimidad en la votación hace que no sea posible la aplicación de la firma digital como ayuda para las votaciones. 5

6 Se han propuesto medidas para hacer que esto no fuera un inconveniente, pero aun no se ha dado con una que satisfaga a todas las partes, y es que aunque la firma digital aquí evitaría los posibles amaños en una votación electrónica, el derecho al anonimato en una votación choca contra el uso de esta medida, pues se sabe que sabiendo la clave pública de la persona, se podría localizar el voto de la persona y mirar lo que había dentro. Criptografía de la firma digital Para poder entender la firma digital es importante empezar definiendo que es la criptografía y qué relación tiene con la firma digital. La criptografía es el arte o ciencia de cifrar y descifrar información mediante técnicas especiales y se emplea frecuentemente para permitir un intercambio de mensajes que sólo puedan ser leídos por personas a las que van dirigidos y que poseen los medios para descifrarlos. La importancia que está adquiriendo actualmente la criptografía es paralela a la difusión generalizada de las comunicaciones electrónicas a través de internet fundamentalmente el correo electrónico y la necesidad de asegurar que determinadas informaciones (número de tarjeta de crédito, s confidenciales, etc.) no son interceptadas. La criptografía permite que prácticamente todos los procesos, transacciones y comunicaciones puedan realizarse de forma segura. En el caso de la firma digital, la criptografía es muy importante. Las firmas digitales son, como hemos dicho anteriormente, un mecanismo para verificar que un mensaje procede de quién dice ser el que lo ha enviado. Para ello ha sido utilizada por el emisor una clave privada, que sólo conoce él, y una clave pública, que corresponde con la clave privada, que será utilizada para la verificación. De esta forma la única persona que podrá firmar digitalmente en nuestro nombre será aquella que posea nuestra clave privada. Qué es y para qué sirve una PKI? Como ya he dicho, los sistemas criptográficos de clave pública funcionan con dos claves: una pública, y otra, privada, que es la que se utiliza para desencriptarlo. La privada debe mantenerse en secreto y la pública debe estar accesible al público. La razón por la que la clave privada puede desencriptar el texto encriptado por la clave publica es que ambas claves están relacionadas matemáticamente a través de una función hash o unidireccional. Es evidente que la generación y gestión de las claves es un tema crítico para la integridad y credibilidad del sistema. Además su logística siempre es complicada. 6

7 Por todo ello, hace falta una Infraestructura de clave Pública (Public Key Infraestructure, PKI) que sirva de marco para que el sistema en su conjunto pueda operar de forma eficiente y eficaz. El certificado digital Un certificado digital es una credencial electrónica emitida y firmada por una Autoridad de Certificación. El certificado digital contiene la clave pública de una determinada persona o identidad a la que queda vinculada. Esta vinculación es certificada por la Autoridad de Certificación que emite el certificado. Cómo funcionan? Si un texto es encriptado con la calve privada de su usario, este texto sólo puede ser desencriptado con su correspondiente clave pública contenida en el certificado digital enviado por el usuario. Si, en cambio, el texto es encriptado con la clave pública contenida en ese certificado sólo puede ser desencriptado con la correspondiente clave privada del usuario. Cuando el receptor del certificado usa la clave pública en él contenida para desencriptar el mensaje, sabe con total certeza que el mensaje fue encriptado por el remitente y que éste, cuya identidad está establecida en el certificado, es el único que ha podido enviar este mensaje. Las Autoridades de Certificación Para certificar que estas claves y estos datos son correctos, existen las entidades certificadoras. Es una tercera parte que es la que garantiza la vinculación entre la entidad de un sujeto y su clave pública. La Autoridad de Certificación es la agencia responsable de emitir los certificados y debe ser una entidad en quien las partes involucradas confían. La confianza es una componente fundamental en cualquier sistema de PKI que tenga una cierta dimensión. Las Autoridades de Certificación cumplen precisamente esta función fundamental de proporcionar la confianza al sistema PKI, de la cual deriva la credibilidad del certificado. Tema legislativo, firma digital en España Hace poco tiempo desde que en España se legisló la firma digital. En 1999 se aprobó en el Parlamento Europeo una directiva (1999/93/CE) que establecía un marco comunitario para la firma electrónica. Esta directiva tenía la finalidad de facilitar el uso de la firma electrónica y contribuir a su reconocimiento jurídico. Esta directiva es la base para que en cada país se cree una ley nacional que sobre esta directiva, se siga regulando la firma digital. Así pues, en 2003 se aprueba en España la Ley 59/2003. Esta Ley surge después de un Real Decreto de 1999 (14/1999), que tras la 7

8 ratificación de este se propuso someterlo como proyecto de ley, que fue redactado y aprobado, tal como se encuentra actualmente. Esta ley nace como respuesta a la necesidad de ofrecer una seguridad a las comunicaciones que se realizan por internet, y entre ellas la firma electrónica. Este texto también regula a las empresas que gestionan la certificación electrónica. Además esta ley le otorga a la firma electrónica la equivalencia funcionar con la firma manuscrita. Esto hace que tenga la misma validez. Para la firma electrónica hará falta unos certificados que corroboren y certifiquen que esa firma digital es válida. Riesgos y seguridad de la firma digital La seguridad en internet, en muchos casos, deja mucho que desear. La gente no confía en dar sus datos por internet, en identificarse en la red, ya que esta se prevé insegura. En parte, es por ello por lo que nacen las firmas digitales, que usa una encriptación asimétrica. Gracias a esto, los mensajes son codificados en complicados algoritmos matemáticos que garantizan la seguridad de las firmas digitales. Para poder descifrar ese mensaje es necesaria la clave pública relacionada con la privada. Pero, en las firmas digitales, entra un tercer agente que puede crear cierta desconfianza. Son las autoridades certificadoras. Estas son los intermediarios entre el emisor y el receptor, que certifican que el que ha enviado el mensaje es el que dice ser, y que el receptor es correcto. Todos los datos que llegan a la empresa certificadora están protegidos por la LOPD. Pero existen algunos elementos que ponen en riesgo la seguridad del sistema. Si la firma electrónica se encuentra en una tarjeta criptográfica, conocer la clave privada es prácticamente imposible. En cambio, con un certificado en fichero es posible conocerla, ya que éste se puede duplicar o encontrar la contraseña que da acceso a la clave privada. De todos modos, la seguridad de la firma digital dependerá mayoritariamente de las medidas de seguridad que adopten sus usuarios. La clave privada debe ser privada y nunca revelarla o facilitar el acceso a ella. 8

9 Conclusiones Mi opinión acerca de la firma digital, y tras haberme informado y formado sobre este tema, me he dado cuenta de que es un tema que no está muy extendido todavía, pero que sí que está en expansión y va creciendo muy rápidamente. El tema de la seguridad es fundamental, y es en parte lo que crea la desconfianza entre los usuarios. Conforme se vaya implantando más, y crezca todo lo de la certificación y el comercio electrónico y la firma digital y La gente lo irá utilizando más y si no hay problemas de seguridad, se empezará a ver como algo normal, ya que su utilidad es evidente y muy avanzada. 9