| ¿ Qué es la firma electrónica ?
Una firma electrónica es
un bloque de caracteres que acompaña a un documento o fichero acreditando quién es su
autor (autenticación) y que no ha existido ninguna manipulación posterior de los datos
(integridad). Para firmar un documento digital, su autor utiliza su propia clave secreta
(sistema criptográfico asimétrico), a la que sólo el tiene acceso, lo que impide que
pueda después negar su autoría (no revocación o no repudio). De esta forma, el autor
queda vinculado al documento de la firma. La validez de dicha firma podrá ser comprobada
por cualquier persona que disponga de la clave pública del autor.
¿ Cómo se realiza una firma electrónica ?
El software del firmante aplica un algoritmo hash sobre el texto a firmar,
obteniendo un extracto de longitud fija, y absolutamente específico para ese mensaje. Un
mínimo cambio en el mensaje produciría un extracto completamente diferente, y por tanto
no correspondería con el que originalmente firmó el autor. Los algoritmos
hash más
utilizados son el MD5 ó SHA-1. El extracto conseguido, cuya longitud oscila entre 128 y
160 bits (según el algoritmo utlilizado), se somete a continuación a cifrado mediante la
clave secreta del autor. El algoritmo más utilizado en este procedimiento de
encriptación asimétrica es el RSA. De esta forma obtenemos un extracto final cifrado con
la clave privada del autor, el cual se añadirá al final del texto o mensaje para que se
pueda verificar la autoría e integridad del documento por aquella persona interesada que
disponga de la clave pública del autor.
¿ Cómo se comprueba la validez de la firma
digital ?
Para poder verificar la validez del documento o
fichero es necesario la clave pública del autor.
El procedimiento sería el siguiente: el software
del receptor, previa introducción en el mismo de la clave pública de remitente (obtenida
a través de una Autoridad de Certificación), descifraría el extracto cifrado del autor
y a continuación calcularía el extracto hash que le correspondería al texto del mensaje
y, si el resultado coincide con el extracto anteriormente descifrado, se considera
válida; en caso contrario significaría que el documento ha sufrido una modificación
posterior y por lo tanto no es válido.
¿ Qué es la encriptación?
Hay dos tipos de encriptación, la encriptación
simétrica que obliga a los dos interlocutores (emisor y receptor) del mensaje a utilizar
la misma clave para encriptar y desencriptar el mismo (como por ejemplo el criptosistema
DES, Data Encription Standard, desarrollado por IBM), y la encriptación asimétrica o
criptográfica de claves públicas que está basada en el concepto de pares de claves, de
forma que cada uno de los elementos del par (una clave) puede encriptar información que
solo la otra componente del par (la otra clave) puede desencriptar. El par de claves se
asocia con un solo interlocutor, así un componente del par (la clave privada) solamente
es conocida por su propietario mientras que la otra parte del par (la clave pública) se
publica ampliamente para que todos la conozcan (en este caso destaca el famoso
criptosistema RSA cuyas iniciales son las de sus creadores: Rivest, Shamir y
Adelman).
Autoridades de Certificación.
Es la tercera parte fiable que acredita la ligazón
entre una determinada clave y su propietario real. Actúa como una especie de notario
electrónico que extiende un certificado de claves el cual está firmado con su propia
clave, para así garantizar la autenticidad de dicha información.
La ley de firma electrónica las define como
"prestadores de servicios de certificación" y, según el artículo
2k),"son aquellas personas físicas o jurídicas que expiden certificados, pudiendo
prestar, además otros servicios en relación con la firma electrónica".
Son aquellos órganos encargados de otorgar
confianza en la infraestructura de clave pública.
Desde el punto de vista de una infraestructura de
clave pública es necesario confiar en una tercera parte solvente que pueda garantizar u
otorgue la confianza necesaria para poder identificar a una persona física o jurídica
con una determinada clave pública.
Clases de Certificados. Utilidad.
Certificados de Servidor.
El Certificado de Servidor aporta a un WEB SITE la
característica de seguridad y confianza necesaria para poder entablar cualquier tipo de
relación con los potenciales usuarios. Es el elemento necesario para poder aprovechar la
gran vía de negocio que supone el comercio a través de Internet con la máxima
rentabilidad y seguridad.
Los Certificados de Servidor permiten incorporar el
protocolo SSL (Secure Socket Layer) en un servidor Web. Gracias a este protocolo toda
comunicación entre el cliente y el servidor permanece segura, cifrando la información
que se envía a ambos puntos protegiendo los datos personales, datos de tarjetas de
crédito, números de cuenta, passwords, etc. Cobra especial importancia dentro del área
del comercio electrónico, donde la seguridad de los datos es la principal barrera para el
desarrollo de este sistema
Certificados para WAP
Los Certificados WAP permiten a las WEB comerciales
existentes y de nueva creación la realización de transacciones seguras con los
consumidores móviles. Los nuevos portales basados en transacciones móviles seguras
expandirán el comercio electrónico entre los usuarios móviles y los WEB SITES dedicados
al comercio.
Los servidores WAP necesitan proporcionar seguridad
y confianza a los usuarios potenciales.
Esta es la base para que se establezca una
contraprestación que satisfaga a ambas partes.
Los Certificados WAP permiten mantener conexiones
seguras basadas en encriptación y autenticación con dispositivos de telefonía móvil.
Certificados Personales
Otorgan seguridad a los correos electrónicos
basados en un standard S/MIME. Podrá Firmar o cifrar los mensajes de correo para
asegurarse de que sólo el receptor designado sea el lectorde nuestro mensaje.
CA’s Corporativas
Es la solución óptima para las empresas que
quieran disponer de un sistema de generación de cualquier tipo de Certificado para sus
usuarios usuarios (trabajadores, proveedores, clientes, etc.) y servidores.
Una CA Corporativa puede generar cualquier tipo de
certificado, ya sean Certificados Personales, de Servidor, para WAP, para firmar Código e
incluso para IPSec-VPN.
En función del tipo de funcionalidad que se le
quiera dar a la CA se deberá escogerse un diferente tipo de CA Corporativa.
Certificados para firmar Código
El Certificado para la Firma de Código, permitirá
a un Administrador, Desarrollador o Empresa de Software firmar su Software (ActiveX,
Applets Java, Plug-ins, etc.) y Macros, y distribuirlo de una forma segura entre sus
clientes.
Certificados para IPSec-VPN
Los Certificados para VPN son los elementos
necesarios para que la empresa aproveche las cualidades y ventajas de la utilización de
las VPNs de un modo plenamente seguro.
Las VPNs surgen como consecuencia de la creciente
demanda de Seguridad en las comunicaciones ya sea entre Router-Router o Cliente-Servidor.
La apertura de las redes corporativas a empleados remotos (con gran importancia en el caso
del Teletrabajo), sucursales, business partners o clientes.
¿ Cómo obtener un certificado digital ?
La obtención de un certificado puede hacerse de
dos formas: petición on-line y petición postal.
Dependiendo del tipo de certificado debe procederse
de una u otra forma.
Por ejemplo, en el caso de la petición de
certificados personales, la lógica y la operativa apuntan a que la petición sea on-line.
Es decir, a la hora de pedir un certificado personal se debe rellenar un cuestionario con
nuestros datos personales directamente en la web de IPSca http://www.ipsca.com
(u otra entidad certificadora) y, dependiendo de la clase de certificado personal, remitir
una fotocopia de la documentación a la Autoridad de Certificación o personarnos
físicamente en la Autoridad de Registro al efecto. Una vez superados estos trámites la
CA firmará el certificado y se lo entregará a su titular.
El caso de la petición postal resulta indicado, por
ejemplo, para la petición de Certificados para Servidor.
De hecho resulta un sistema mixto, pues como contacto
inicial debe enviarse una copia de la CSR por e-mail
y después, a través de correo postal, la documentación
necesaria (contrato, documentación acreditativa, etc.)
|
