Firma Digital

El concepto de firma digital nació como una oferta tecnológica para acercar la operatoria social usual de la firma ológrafa (manuscrita) al marco de lo que se ha dado en llamar el ciberespacio o redes .

Consiste en la transformación de un mensaje utilizando un sistema de cifrado asimétrico de manera que la persona que posee el mensaje original y la clave pública del firmante, pueda establecer de forma segura, que dicha transformación se efectuó utilizando la clave privada correspondiente a la pública del firmante, y si el mensaje es el original o fue alterado desde su concepción.

Las transacciones comerciales y el hecho de tener que interactuar masiva y habitualmente por intermedio de redes de computadoras le dio lugar al concepto .

Pero, sólo después que los especialistas en seguridad y los juristas comenzaran a depurarlo alcanzó un marco de situación como para ocupar un lugar en las actuaciones entre personas, ya sea jurídicas o reales.

El fin, de la firma digital, es el mismo de la firma ológrafa: dar asentimiento y compromiso con el documento firmado; y es por eso que a través de la legislación, se intenta acercarla, exigiéndose ciertos requisitos de validez.

El papel es el medio de almacenamiento, y el mecanismo es alguno de los tipos de impresión posibles (tinta, láser, manuscrito, etc.). Esta cualidad física le da entidad al documento, contiene sus términos, conceptos y sentidos de una manera perdurable, y al ser un elemento físico cualquier alteración dejará "señales" identificables.

Pero, los papeles ocupan lugar y pesan demasiado, resulta complejo y molesto buscar información en ellos (requiriendo de la acción humana ya sea al archivarlos y/o al rescatarlos), y el compartir los documentos también resulta inconveniente, lo que se podría evitar con un sistema de computación .

Gracias a la firma digital, los ciudadanos podrán realizar transacciones de comercio electrónico seguras y relacionarse con la Administración con la máxima eficacia jurídica, abriéndose por fin las puertas a la posibilidad de obtener documentos como la cédula de identidad, carnet de conducir, pasaporte, certificados de nacimiento, o votar en los próximos comicios cómodamente desde su casa.

En la vida cotidiana se presentan muchas situaciones en las que los ciudadanos deben acreditar fehacientemente su identidad, por ejemplo, a la hora de pagar las compras con una tarjeta de crédito en un establecimiento comercial, para votar en los colegios electorales, con el fin de identificarse en el mostrador de una empresa, al firmar documentos notariales, etc.

En estos casos, la identificación se realiza fundamentalmente mediante la presentación de documentos acreditativos como el DNI, el pasaporte o el carnet de conducir, que contienen una serie de datos significativos vinculados al individuo que los presenta, como:

- Nombre del titular del documento.

- Número de serie que identifica el documento.

- Período de validez: fecha de expedición y de caducidad del documento, más allá de cuyos límites éste pierde validez.

- Fotografía del titular.

- Firma manuscrita del titular.

- Otros datos demográficos, como sexo, dirección, etc.

En algunos casos en los que la autenticación de la persona resulta importante, como en el pago con tarjeta de crédito, se puede exigir incluso que estampe una firma, que será comparada con la que aparece en la tarjeta y sobre su documento de identificación. En el mundo físico se produce la verificación de la identidad de la persona comparando la fotografía del documento con su propia fisonomía y en casos especialmente delicados incluso comparando su firma manuscrita con la estampada en el documento acreditativo que porta. En otras situaciones, no se requiere el DNI o pasaporte, pero sí la firma, para que el documento goce de la validez legal de cheques, cartas, etc.), ya que ésta vincula al signatario con el documento por él firmado.

Ahora bien, en un contexto electrónico, en el que no existe contacto directo entre las partes, ¿resulta posible que los usuarios de un servicio puedan presentar un documento digital que ofrezca las mismas funcionalidades que los documentos físicos, pero sin perder la seguridad y confianza de que estos últimos están dotados? La respuesta, por fortuna, es afirmativa, ya que el uso de la firma digital va a satisfacer los siguientes aspectos de seguridad:

Integridad de la información: la integridad del documento es una protección contra la modificación de los datos en forma intencional o accidental. El emisor protege el documento, incorporándole a ese un valor de control de integridad, que corresponde a un valor único, calculado a partir del contenido del mensaje al momento de su creación. El receptor deberá efectuar el mismo cálculo sobre el documento recibido y comparar el valor calculado con el enviado por el emisor. de coincidir, se concluye que el documento no ha sido modificado durante la transferencia.

Autenticidad del origen del mensaje: este aspecto de seguridad protege al receptor del documento, garantizándole que dicho mensaje ha sido generado por la parte identificada en el documento como emisor del mismo, no pudiendo alguna otra entidad suplantar a un usuario del sistema. Esto se logra mediante la inclusión en el documento transmitido de un valor de autenticación (MAC, Message autentication code). El valor depende tanto del contenido del documento como de la clave secreta en poder del emisor.

No repudio del origen: el no repudio de origen protege al receptor del documento de la negación del emisor de haberlo enviado. Este aspecto de seguridad es más fuerte que los anteriores ya que el emisor no puede negar bajo ninguna circunstancia que ha generado dicho mensaje, transformándose en un medio de prueba inequívoco respecto de la responsabilidad del usuario del sistema.

Auditabilidad: permite identificar y rastrear las operaciones llevadas a cabo por el usuario dentro de un sistema informático cuyo acceso se realiza mediante la presentación de certificados,

El acuerdo de claves secretas: garantiza la confidencialidad de la información intercambiada ente las partes, esté firmada o no, como por ejemplo en las transacciones seguras realizadas a través de SSL.

A diferencia de la firma manuscrita, que es un trazo sobre un papel, la firma digital consiste en el agregado de un apéndice al texto original, siendo este apéndice, en definitiva, la firma digital; al conjunto formado por el documento original más la firma digital se lo denominará mensaje.

Este apéndice o firma digital es el resultado de un cálculo que se realiza sobre la cadena binaria del texto original.

En este cálculo están involucrados el documento mismo y una clave privada (que, generalmente, pertenece al sistema de clave pública-privada o sistema asimétrico) la cual es conocida sólo por el emisor o autor del mensaje, lo que da como resultado que para cada mensaje se obtenga una firma distinta, es decir, a diferencia de la firma tradicional, la firma digital cambia cada vez con cada mensaje, porque la cadena binaria de cada documento será distinta de acuerdo a su contenido.

A través de este sistema podemos garantizar completamente las siguientes propiedades de la firma tradicional:

Quien firma reconoce el contenido del documento, que no puede modificarse con posterioridad (integridad).

Quien lo recibe verifica con certeza que el documento procede del firmante. No es posible modificar la firma (autenticidad).

El documento firmado tiene fuerza legal. Nadie puede desconocer haber firmado un documento ante la evidencia de la firma (no repudio).

El concepto de criptografía de clave pública fue introducido por Whitfield Diffie y Martin Hellman a fin de solucionar la distribución de claves secretas de los sistemas tradicionales, mediante un canal inseguro.

Este sistema utiliza dos claves diferentes: una para cifrar y otra para descifrar. Una es la clave pública, que efectivamente se publica y puede ser conocida por cualquier persona; otra, denominada clave privada, se mantiene en absoluto secreto ya que no existe motivo para que nadie más que el autor necesite conocerla y aquí es donde reside la seguridad del sistema.

Ambas claves son generadas al mismo tiempo con un algoritmo matemático y guardan una relación tal entre ellas que algo que es encriptado con la privada, solo puede ser desencriptado por la clave pública.

Resumiendo, la clave privada es imprescindible para descifrar criptogramas y para firmar digitalmente, mientras que la clave pública debe usarse para encriptar mensajes dirigidos al propietario de la clave privada y para verificar su firma.

Si bien no se trata de un tema estrictamente técnico, es conveniente aclarar que en tiempo de generación de cada par de claves, pública y privada, podría intervenir otra clave que es la de la Autoridad Certificante, que provee la garantía de autenticidad del par de claves generadas, así como también, su pertenencia a la persona cuya propiedad se atribuye.

Este esquema se utiliza en intercambios entre entidades cuando se trata de transferencias electrónicas de dinero, órdenes de pago, etc. donde es indispensable que las transacciones cumplan con los requisitos de seguridad enunciados anteriormente (integridad, autenticidad, no repudio del origen, imposibilidad de suplantación, auditabilidad y acuerdo de claves secretas), pero no se satisface el concepto de confidencialidad de la información (secreto).

La firma digital se puede aplicar en las siguientes situaciones:

- E-mail

- Contratos electrónicos

- Procesos de aplicaciones electrónicos

- Formas de procesamiento automatizado

- Transacciones realizadas desde financieras alejadas

- Transferencia en sistemas electrónicos, por ejemplo si se quiere enviar un mensaje para transferir $100,000 de una cuenta a otra. Si el mensaje se quiere pasar sobre una red no protegida, es muy posible que algún adversario quiera alterar el mensaje tratando de cambiar los $100,000 por 1000,000,con esta información adicional no se podrá verificar la firma lo cual indicará que ha sido alterada y por lo tanto se denegará la transacción

- En aplicaciones de negocios, un ejemplo es el Electronic Data Interchange (EDI) intercambio electrónico de datos de computadora a computadora intercambiando mensajes que representan documentos de < negocios

En sistemas legislativos, es a menudo necesario poner un grupo fecha / hora a un documento para indicar la fecha y la hora en las cuales el documento fue ejecutado o llegó a ser eficaz. Un grupo fecha / hora electrónico se podría poner a los documentos en forma electrónica y entonces firmado usando al DSA o al RSA. Aplicando cualquiera de los dos algoritmos al documento protegería y verificaría la integridad del documento y de su grupo fecha / hora.

En Alemania la firma digital es un sello integrado en datos digitales, creado con una clave privada que permite identificar al propietario de la firma y comprobar que los datos no han sido alterados.

En las Naciones Unidas una firma digital o numérica es un valor numérico que se consigna en un mensaje de datos y que, gracias al empleo de un procedimiento matemático conocido y vinculado a la clave criptográfica privada del originante, logra identificar que dicho valor se ha obtenido exclusivamente con la clave privada de iniciador del mensaje.

Los procedimiento matemáticos utilizados para generar firmas numéricas autorizadas, se basan en el cifrado de la clave pública. Estos procedimientos aplicados a un mensaje de datos, operan una transformación del mensaje a fin que el receptor del mensaje y poseedor de la clave pública del originante pueda establecer:

Si la transformación se efectuó utilizando la clave criptográfica privada que corresponde a la clave pública que él tiene como válida.

Si el mensaje inicial ha sido modificado.

Firma Digital en E.E.U.U.

En los Estados Unidos podemos observar la sanción de diferentes leyes relativas a la firma digital, para la creación de una infraestructura de firma digital que asegure la integridad y autenticidad de las transacciones efectuadas en el ámbito gubernamental y en su relación con el sector privado:

Iniciativa del Gobierno Federal:

Proyecto "Gatekeeper": Prevé la creación de una autoridad pública que administre dicha infraestructura y acredite a los certificadores de clave pública;

En el área de telecomunicaciones : Régimen voluntario de declaración previa para los certificadores de clave pública;

Ley de certificadores de clave pública relacionados con la firma digital;

Proyecto de Ley sobre la utilización de la firma digital en los ámbitos de la seguridad social y la

salud pública;

Ley sobre creación, archivo y utilización de documentos electrónicos;

Ley sobre intercambio electrónico de datos en la administración y los procedimientos judiciales administrativos;

Iniciativa sobre la creación de una infraestructura de clave pública para el comercio electrónico;

Ley que autoriza la utilización de documentación electrónica en la comunicación entre las agencias gubernamentales y los ciudadanos, otorgando a la firma digital igual validez que la firma manuscrita. (Ley Gubernamental de Reducción de la Utilización de Papel - "Government Paperwork Elimination Act");

Ley que promueve la utilización de documentación electrónica para la remisión de declaraciones del impuesto a las ganancias;

Proyecto piloto del IRS (Dirección de Rentas - "Internal Revenue Service") para promover la utilización de la firma digital en las declaraciones impositivas;

Proyecto de Ley de Firma Digital y Autenticación Electrónica para facilitar el uso de tecnologías de autenticación electrónica por instituciones financieras;

Proyecto de Ley que promueve el reconocimiento de técnicas de autenticación electrónica como alternativa válida en toda comunicación electrónica en el ámbito público o privado;

Resolución de la Reserva Federal regulando las transferencias electrónicas de fondos;

Resolución de la FDA ( Administración de Alimentos y Medicamentos - "Food and Drug Administration") reconociendo la validez de la utilización de la firma electrónica como equivalente a la firma manuscrita;

Iniciativa del Departamento de Salud proponiendo la utilización de la firma digital en la transmisión electrónica de datos en su jurisdicción;

Iniciativa del Departamento del Tesoro aceptando la recepción de solicitudes de compra de bonos del gobierno firmadas digitalmente;

Iniciativas de los Gobiernos Estatales:

Casi todos los estados tienen legislación, aprobada o en Proyecto, referida a la firma digital. En algunos casos, las regulaciones se extienden a cualquier comunicación electrónica pública o privada. En otros, se limitan a algunos actos internos de la administración estatal o a algunas comunicaciones con los ciudadanos.

Se destaca la Ley de Firma Digital del Estado de Utah, que fue el primer estado en legislar el uso comercial de la firma digital. Regula la utilización de criptografía asimétrica y fue diseñada para ser compatible con varios estándares internacionales. Prevé la creación de certificadores de clave pública licenciados por el Departamento de Comercio del estado. Además, protege la propiedad exclusiva de la clave privada del suscriptor del certificado, por lo que su uso no autorizado queda sujeto a responsabilidades civiles y criminales.

Proyecto piloto de desarrollo de infraestructura de firma digital;

Normativa fiscal que prevé la presentación digital de la declaración de ingresos .

En la Argentina la firma digital es el resultado de una transformación de un documento digital empleando un criptosistema asimétrico y un digesto seguro, de forma tal que una persona que posea el documento digital inicial y la clave pública del firmante pueda establecer, con exactitud:

Primero, si la transformación se llevó a cabo utilizando la clave privada que corresponde a la clave pública del originante, lo que impide su repudio.

Y después, si el documento digital ha sido modificado desde que se efectuó su transformación, lo que garantiza su integridad.

Uso de documentos digitales en la Administración Pública Nacional

El primer antecedente que autorizó el uso de documentos digitales dentro de la Administración Pública Nacional es el art. 30 de la ley 24.624 (Boletín Oficial 29/12/95) reglamentado posteriormente por la Decisión Administrativa No. 43/96 (Boletín Oficial 7/5/96).

Mediante esta normativa se autorizó al Archivo General de la Administración a transformar sus documentos originales a soporte electrónico u óptico indeleble, mediante el procedimiento que se establece en la respectiva reglamentación.

Con esta reforma se abrió la posibilidad de digitalizar la documentación administrativa del Estado, pero sólo con fines de archivo. No existía hasta la fecha una normativa de carácter general que regulara el procedimiento administrativo informatizado, permitiendo prescindir del expediente tradicional (en papel) y reemplazarlo por mensajes electrónicos.

Fue así como se formó un comité en el ámbito de la Secretaría de la Función Pública que se dedicó al estudio de la implementación de la firma digital dentro de la administración pública.

El 24 de marzo de 1997 se publca en el Boletín Oficial, la resolución No. 45/97 de la Secretaría de la Función Pública, que constituye la primera norma nacional que introdujo en nuestro derecho un marco normativo para la incorporación de la tecnología de firma digital en los procesos de información del sector público .

Esta norma tiene por finalidad contemplar estándares tecnológicos de mínima que aseguren la determinación de la autoría de la firma digital y la inalterabilidad del contenido del documento digital suscrito. Esto se logra mediante el cumplimiento de una serie de requisitos, que establece, y que deben ser entendidos como pautas o guías para el caso que se decida dictar una regulación que contemple esta tecnología .

Los requisitos o guias son:

Documentos digitales oponibles a terceros: esto implica que el documento digital requiere que la firma digital permita la identificación del emisor o autor y la integridad de su contenido.

Equiparación de la firma digital a la firma ológrafa: este punto constituye la esencia de la normativa al permitir que quienes opten por utilizar documentos digitales suscritos digitalmente obtengan garantías legales similares a las que brinda la firma ológrafa sobre el soporte de papel.

La firma ológrafa permite, simultáneamente, identificar a su autor así como imputarle la autoría del texto que la precede.

Uso de la criptografía asimétrica como medio para instrumentar la firma digital: la criptografía asimétrica o de clave pública constituye el único método actualmente capaz de implementar la firma digital, pues cumple con las caracter ísticas esenciales de la firma ológrafa, es decir, que permite simultáneamente identificar en forma inequívoca al autor y verificar sin lugar a dudas que el mensaje no ha sido alterado desde el momento de su firma. Este mecanismo es el único que no requiere la divulgación de la clave privada (secreta) utilizada por el firmante para suscribir el documento

Autoridades certificantes de claves públicas y privadas: esta autoridad certifica la correspondencia entre una clave pública y la persona física o jurídica titular de la misma. En forma similar a lo que ocurre con las entidades verificadoras de dominios en Internet, sería posible acudir a las autoridades certificantes para saber de manera inequívoca si una clave pública corresponde a quien debería.

El Anexo de la Resolución 45/97 concluye que la firma digital permitirá:

La digitalización de cualquier circuito de la información, incluyendo documentos legales que normalmente requieren firmas y sellos convencionales.

La generalización de la utilización de firma digital a través de la adopción de pautas uniformes que permitan verificar la autenticidad e integridad de los documentos digitales que requieran firma para su validez.

Un menor riesgo de fraude en los documentos digitales suscritos digitalmente.

El martes 21 de abril de 1998 se publicó en el Boletín Oficial el decreto 427/98, que fija el "Régimen al que se ajustará el empleo de la firma digital en la instrumentación de los actos internos, que no produzcan efectos jurídicos individuales en forma directa, que tendrá los mismos efectos de la firma ológrafa. Autoridad de aplicación".

Basándose en la normativa que ya había sido dictada y aplicada anteriormente, los objetivos de este decreto son:

Eliminar el uso del papel y automatizar los circuitos administrativos mediante la introducción de tecnología de última generación incluyendo el uso de la firma digital que posee la misma o superior garantía de confianza que la firma ológrafa.

Designar a la Secretaría de la Función Pública como Autoridad de aplicación para, entre otras cosas, dictar los manuales de procedimiento de las Autoridades Certificantes Licenciadas y de los Organismos Auditante y Licenciante, la fijación de los estándares tecnológicos aplicables a las claves. Debiendo cumplir esta tarea en un plazo de seis meses a partir de la fecha de publicación.

Se adjunta a los considerandos del decreto el Anexo I con las condiciones definidas en la Infraestructura de la Firma Digital para el Sector Público Nacional.

Infraestructura de Firma Digital Para El Sector Publico Nacional

Esta clase de Infraestructura es también conocida como de "clave pública" o por su equivalente en inglés (Public Key Infrastructure, PKI). Como ya dije, el decreto 427/98 crea el marco regulatorio, para el empleo de la Firma Digital en la instrumentación de los actos internos del Sector Público Nacional, que no produzcan efectos jurídicos individuales en forma directa, otorgándole a esta nueva tecnología similares efectos que a la firma ológrafa.

La disposición establece la configuración de la siguiente < estructura :

Organismo Licenciante (OL)

Organismo Auditante (OA)

Autoridad Certificada Licenciada (ACL)

Suscriptores

1. Organismo Licenciante:

Es la Autoridad Certificante Raíz que emite certificados de clave pública a favor de aquellos organismos o dependencias del Sector Público Nacional que deseen actuar como Autoridades Certificantes Licenciadas, es decir como emisores de certificados de clave pública para sus funcionarios y agentes.

Estas deben abstenerse de acceder, absolutamente, a la clave privada de cualquier suscriptor de los certificados que emitan.

Dentro del marco creado por dicho decreto, las funciones de Autoridad de Aplicación y de Organismo Licenciante son asumidas por la Subsecretaría de la Gestión Pública, SGP.

En cumplimiento de esa responsabilidad, se ha dispuesto la asignación de los recursos materiales y humanos, incluyendo la adquisición de equipamiento de última generación. Además, se ha elaborado una serie de documentos - que se encuentran en proceso permanente de revisión - y que servirán como base para el funcionamiento de Autoridades Certificantes que se licencien.

La Infraestructura del Organismo Licenciante ha sido instalada en la sede de la Subsecretaría de la Gestión Pública (Roque Sáenz Peña 511 - 5º piso - Buenos Aires ).

2. Organismo Auditante:

Es el órgano de control, tanto para el Organismo Licenciante como para las Autoridades Certificantes Licenciadas.

Este control lo realiza mediante la auditación de estos, evaluando la confiabilidad y calidad de los sistemas utilizados, la integridad, confidencialidad y disponibilidad de los datos.

Según lo establecido por el artículo 61 de la Ley Nº 25.237, el rol del Organismo Auditante dentro de la Infraestructura de Firma Digital para el Sector Público Nacional es cumplido por la Sindicatura General de la Nación (SIGEN).

3. Autoridades Certificantes Licenciadas:

Son aquellos organismos o dependencias del Sector Público Nacional que soliciten y obtengan la autorización, por parte del Organismo Licenciante, para actuar como Autoridades Certificantes de sus propios agentes. Es decir que, cumplidos los recaudos exigidos por el Decreto mencionado, podrán emitir certificados de clave pública a favor de sus dependientes.

Dentro de dichos recaudos encontramos que, debe abstenerse de acceder a las claves privadas de los suscriptores y además debe utilizar sistemas generadores de claves técnicamente confiables.

4. Suscriptor de Certificado de Clave Pública:

Debe proveer a la Autoridad Certificante Licenciada todos los datos requeridos por esta, mantener el control de su clave privada e impedir su divulgación.

5. Certificados de Clave Pública:

Enumera los datos que deben contener los Certificados de Clave Pública.

1) Licenciamiento:

El licenciamiento es el procedimiento por el cual el Organismo Licenciante emite un certificado de clave pública a favor de un organismo público (quien adquiere la calidad de Autoridad Certificante Licenciada), quedando éste habilitado para emitir certificados a favor de sus dependientes.

Para obtener dicha licencia, el postulante debe completar un formulario de solicitud y adjuntar un requerimiento de certificado PKCS#10 en formato PEM.

2) Revocación:

La revocación es el procedimiento por el cual el Organismo Licenciante cancela la autorización otorgada a la Autoridad Certificante Licenciada para emitir certificados.

Esta cancelación puede efectuarse a solicitud de esta última o bien por decisión del Organismo Licenciante, según las pautas establecidas en la Política de Certificación.

Si una Autoridad Certificante Licenciada desea pedir al Organismo Licenciante la revocación de su certificado, puede utilizar un formulario de solicitud de revocación.

3)Comprobación de la identidad del firmante y de la integridad del mensaje:
En primer término el receptor generará la huella digital del mensaje recibido, luego desencriptará la firma digital del mensaje utilizando la clave pública del firmante y obtendrá de esa forma la huella digital del mensaje original; si ambas huellas digitales coinciden, significa que el mensaje no fue alterado y que el firmante es quien dice serlo.

Las firmas digitales dependen de un par de algoritmos matemáticos, denominados clave, que utilizan el remitente y el destinatario del mensaje.

Estas claves se encargan de establecer la correspondencia que permite a la computadora del destinatario reconocer la computadora del remitente y certificar la autenticidad de un mensaje.

Una de las claves, la clave privada de la persona, está alojada en la PC o registrada en una tarjeta inteligente, e identifica que un mensaje ha sido enviado por la persona.

La segunda es una clave pública, que puede ser empleada por cualquiera que desee autenticar documentos que la persona firme. La clave pública 'lee' la firma digital creada por la clave privada de la persona y verifica la autenticidad de los documentos creados con la misma.

La clave privada de la persona se desbloquea mediante una contraseña. En el futuro, para mayor seguridad aún, este sistema de clave y contraseña podría ser reemplazado por tecnologías biométricas, que miden caracter ísticas del cuerpo humano, como la retina, una huella digital o un rostro asociado con un registro de identidad.

4)Obtención de una firma digital:

Para enviar una firma digital, se requiere en primer lugar registrarse en una autoridad de certificados y solicitar el certificado de identidad digital, que hace de la firma un instrumento único.

La mayoría de las autoridades de certificados también proporcionan el software necesario y ofrece asesoría al usuario en el proceso de obtención, instalación y utilización de la firma digital. La persona debe llenar un formulario de solicitud y suministrar pruebas de identidad para obtener el certificado.

La firma digital se anexa a un mensaje de E-mail de manera muy similar al de los archivos .