Grave fallo de diseño en PKI compromete las firmas digitales

  1. #19   Creo que jsanjosem en uno de los comentarios de kriptópolis ha dado con
    el eslabón que faltaba para aclarar este asunto y que a Fernando se le había
    pasado por alto a la hora de plantear lo 'irrepudiable' del mecanismo que describía.
    La firma electrónica hecha con un certificado digital instalado en tú
    navegador no tiene equivalencia funcional con la firma manuscrita.

    Repasemos la ley 59/2003:

    En el punto II del preámbulo:

    "Los certificados reconocidos constituyen una pieza fundamental de la
    llamada firma electrónica reconocida, que se define siguiendo las pautas
    impuestas en la Directiva 1999/93/CE como la firma electrónica avanzada
    basada en un certificado reconocido y generada mediante un dispositivo
    seguro de creación de firma. A la firma electrónica reconocida le otorga
    la Ley la equivalencia funcional con la firma manuscrita respecto de los
    datos consignados en forma electrónica."

    Punto III del preámbulo (la clave del asunto):

    "Con ello se aclara que no basta con la firma electrónica avanzada para
    la equiparación con la firma manuscrita; es preciso que la firma
    electrónica avanzada esté basada en un certificado reconocido y haya
    sido creada por un dispositivo seguro de creación"

    Punto IV del preámbulo:

    El título IV establece los requisitos que deben reunir los dispositivos
    de verificación y creación de firma electrónica y el procedimiento que
    ha de seguirse para obtener sellos de calidad en la actividad de
    prestación de servicios de certificación.

    Título IV, Capítulo I, Artículo 24, Punto 3:

    Un dispositivo seguro de creación de firma es un dispositivo de creación
    de firma que ofrece, al menos, las siguientes garantías:
    1. Que los datos utilizados para la generación de firma pueden
    producirse sólo una vez y asegura razonablemente su secreto.
    2. Que existe una seguridad razonable de que los datos utilizados para
    la generación de firma no pueden ser derivados de los de verificación de
    firma o de la propia firma y de que la firma está protegida contra la
    falsificación con la tecnología existente en cada momento.
    3.Que los datos de creación de firma pueden ser protegidos de forma
    fiable por el firmante contra su utilización por terceros.
    4. Que el dispositivo utilizado no altera los datos o el documento que
    deba firmarse ni impide que éste se muestre al firmante antes del
    proceso de firma.

    Por último en el Artículo 27 hablan del procedimiento de certificación
    de dispositivos para que sean considerados seguros

    Para mi y con esto queda suficientemente demostrado que el procedimiento
    descrito por Fernando no usa un dispositivo certificado (y por tanto
    considerado por ley como seguro) y por tanto la firma no se considera
    equivalente por ley a la firma manuscrita. Sú mujer puede dormir
    tránquila ;)
    7  votos: 0   link
    el 31-05-2006 08:46 UTC por josemaria josemaria
     twitter  facebook  tuenti  
comentarios cerrados

menéame