El problema temporal del sistema de certificados en el comercio electronico.
| Cargo | Prof Titular de Escuela Univ. de Ingenieria Telemática Univ. de les Illes Balears- Prof. Titular de Derecho Mercantil |
| Páginas | 21-39 |
-
El sistema de certificados y el comercio electrónico. Situaciones en las que es necesaria la determinación del tiempo
Como es sabido, en el comercio electrónico el clásico documento de papel es sustituido por el novedoso documento electrónico. Correlativamente, al prescindir del documento de papel, no es posible tampoco la firma manuscrita ni ninguna de las funciones que la misma desempeña.
Desde el punto de vista técnico, la firma digital, como forma específica de firma electrónica basada en la criptografía asimétrica o de clave pública, se ofrece como equivalente funcional de la tradicional firma manuscrita. La criptografía asimétrica está basada en el juego de una clave privada, que se utiliza para firmar digitalmente un documento, y una clave pública, que se utiliza para verificar la firma (p. ej. , [A] firma digitalmente con la clave privada un mensaje que envía a [B] que utilizará la clave pública para su verificación) . Este par de claves esta matemáticamente relacionado de tal forma que sólo con la clave pública correspondiente a la clave privada utilizada para firmar puede verificarse el mensaje firmado; con lo que, si el resultado de la verificación es positivo, [B] puede tener la seguridad de que el documento ha sido creado con la clave privada de [A] correspondiente a la clave pública y que, además, ha sido creado por [A] con ese contenido y sin ulteriores modificaciones. Con lo que la firma digital cumple así no sólo idénticas funciones de autenticación que la firma manuscrita, identificando al firmante digital de un documento (en el ejemplo [A], titular del par de claves) , sino incluso funciones superiores, garantizando también la integridad del mensaje (pues si el mensaje hubiera sido alterado, el resultado de la verificación no sería positivo) . No obstante, en el ámbito de comunidades amplias de usuarios, en las que las personas que se relacionan a través de firmas digitales pueden no tener una relación previa de confianza o incluso ser absolutamente desconocidas entre sí, se plantea el problema de la autenticación del titular de un par de claves, pues es posible que quien dice ser [A] frente a [B] no sea [A] sino [C], con lo que puede estar perjudicando a A y [B] (pues [B] recibirá un mensaje creado realmente por el suplantador [C] que atribuirá formalmente a [A]) . Surge por ello la necesidad de arbitrar mecanismos a través de los que se garantice una distribución fiable de las claves públicas. Una vía posible sería la de una entidad que vincula una clave pública (e indirectamente la correspondiente clave privada) a un sujeto determinado ([A]) de forma segura, emitiendo para ello un certificado en el que confiarán aquellos terceros ([B]) que contraten por medios electrónicos con ese sujeto, y respondiendo además por la exactitud de tal certificado. Lo que, descartados otros medios (p. ej. , un simple directorio de claves públicos, o un web-of-trust) , básicamente por la inexigibilidad de responsabilidad, nos sitúa ante los certificados y las autoridades de certificación como medio distribución fiable de claves públicas1.
De esta forma, firma electrónica, certificados y entidades certificadoras actúan como instrumentos de seguridad del comercio electrónico en la medida que permiten vincular de forma segura un mensaje electrónico a una determinada persona (el titular de la clave privada correspondiente a la clave pública certificada) . No obstante, obsérvese que una firma digital realizada con una clave privada únicamente identifica al emisor (si existe el correspondiente certificado que vincule de forma segura a una persona determinada con un clave pública) y conecta al emisor con el mensaje exacto; pero no prueba el momento temporal de creación o envío del mensaje.
Y la prueba del tiempo puede ser no sólo conveniente sino realmente necesaria en determinados casos en el ámbito del comercio electrónico en general, y para el correcto funcionamiento del sistema de certificados en particular. Hay muchas situaciones en las que la prueba del tiempo exacto de una determinada acción (transmisión, creación o recepción de un documento, o tiempo en que se realiza una acción o declaración de voluntad) es crucial. Situaciones tales como las siguientes.
-
- En caso de verificación de una firma digital. Como es sabido, los certificados tienen un periodo temporal de validez (debido a la vida también limitada de las claves) , finalizado el cual expiran.
En este sentido, la Ley de Utah, primera normativa reguladora de la firma electrónica, los certificados y las entidades de certificación, establece un periodo máximo de 3 años, a menos que se especifique otra duración (art. 308) , e, igualmente, las ABA Digital Signature Guidelines (documento elaborado por la American Bar Association, que constituye un modelo de directrices o líneas básicas sobre firmas digitales, en el que se basó en gran medida la Ley de Utah) exigen que el certificado especifique la fecha en que tiene efecto y expira (3. 9) . Por su parte, el Reglamento italiano relativo a la formación, archivo y transmisión de documentos con instrumentos informáticos o telemáticos, establece, en su art. 1, h) , que un certificado debe establecer su fecha de caducidad, que, en ningún caso, será superior a los tres años. El Reglamento alemán de firma digital, § 7 (1) , establece que el periodo de validez de un certificado no puede exceder de 5 años (sin que entre la emisión y el inicio del periodo de validez del certificado puedan transcurrir más de 6 meses) . El Real Decreto Ley 14/1999, por el que se regula la firma electrónica en el ordenamiento español, en su art. 9. 1. a) establece que el plazo de vigencia de los certificados reconocidos no podrá ser superior a cuatro años, contados desde la fecha en que se hayan expedido. Desde el punto de vista técnico, los formatos de certificado prevén la inclusión de este elemento en el contenido del certificado; así el standard X. 509 prevé que el periodo de validez del certificado emitido puede en el campo periodo de validez. Después de que el certificado expire, una vez que finalice el periodo de vida previsto, el vínculo entre la clave pública y el sujeto del certificado puede que no sea ya válido y, por tanto, no debería de confiarse en el certificado. Por ello, un usuario de clave pública no debería usar un certificado expirado (a no ser para reconfirmar una acción anterior como si hubiera ocurrido dentro del periodo de validez del certificado, p. ej, para verificar la firma de un documento ya existente con anterioridad) ; y si lo hace, será por su cuenta y riesgo. En este sentido, y de forma clara y expresiva, el art. 10. 5 del Reglamento italiano regulador de la firma digital establece que el uso de la firma digital realizada mediante una clave revocada, caducada o suspendida equivale a la falta de firma.
El art. 308 de la Ley de Utah, relativo a la expiración de un certificado, establece que: «un certificado indicará la fecha en que expira, que no será de más de tres años, a menos que el certificado especifique que será efectivo por un periodo superior»; el efecto de la expiración es que el titular y la autoridad de certificación dejan de responder tal como se establece en este capítulo y la autoridad queda descargada de sus deberes basados en la emisión, en relación con el certificado expirado.
Las ABA Guidelines 3. 9 exigen que el certificado especifique la fecha en que tiene efecto y expira, expiración que provoca que el certificado no sea válido, y no puede ser usado a efectos de firma.
Se pone de esta forma de manifiesto la transcendencia de la cuestión temporal. El momento de creación una firma digital respecto del periodo de vigencia de un certificado es de esencial importancia para la verificación de la firma; pues una firma digital creada después de que el certificado ha expirado no es verificable. Por tanto, es necesario determinar el momento en que se utiliza una clave de firma, cuestión que conduce a la necesidad de introducir marcas temporales en todos los documentos firmados digitalmente (por la autoridad de certificación, o por otra tercera parte de confianza) si se quiere demostrar que la firma digital se realizó durante el periodo de validez del certificado utilizado para su verificación.
Mayor complejidad existe en el caso de expiración del certificado de una autoridad de certificación. Pensemos que, para obtener la clave pública de una autoridad de certificación, el usuario de clave pública puede obtener y utilizar otro certificado: un certificado relativo a la clave pública de esa autoridad, emitido por otra autoridad de certificación cuya clave pública es conocida y tenida de forma segura por el usuario de clave pública (en suma, un certificado de autoridad de certificación) . De esta forma, la firma de la autoridad emisora sobre el certificado puede ser verificada utilizando la clave pública de la autoridad incluida en otro certificado de otra autoridasd (la cual puede pero no necesariamente estará en un nivel superior de jerarquía) , y este otro certificado, a su vez, puede ser autenticado por la clave pública incluida en otro certificado, y así hasta que la persona que ha de confiar en la firma digital esté segura de forma adecuada de su fiabilidad. Teniendo en cuenta que, en cada caso, la autoridad emisora debe firmar digitalmente el certificado que emite durante el periodo de vigencia del otro certificado usado para verificar su firma digital. Por tanto, en este caso de certificados de autoridad de certificación, el tema del periodo de validez y la expiración del certificado plantea la cuestión de qué ocurre en caso de expiración del certificado de la autoridad anterior a la expiración de los certificados de usuario que ha emitido, p. ej. , la autoridad de certificación 1 (AC1) emite un certificado para la autoridad de certificación 2 (AC2) con un periodo de vigencia 1994-1999, y la AC2 a su vez emite un certificado de usuario con vigencia 1998-2000. Es, en...
-
Para continuar leyendo
Solicita tu prueba