Certificados digitales y protocolos seguros

DEFINICIÓN DE CERTIFICADO DIGITAL

Un certificado digital es un documento electrónico, emitido mediante una infraestructura PKI, mediante el cual una entidad, a la que se le suele llamar Tercero de Confianza, garantiza la vinculación entre la identidad de una persona, empresa o sistema informático y una clave pública y su privada correspondiente.

El propio certificado incorpora, además de los datos del usuario (muchos de los cuales son opcionales) otros datos relativos a la entidad que lo ha emitido, su validez, así como características de la clave pública que contiene: como su longitud, el algoritmo utilizado para su generación, el uso al que está destinado, etc.

Los certificados emitidos por una Autoridad de Certificación (CA) se pueden clasificar en función de quién es su titular:

Persona física. Como puede ser un certificado personal o profesional.
Persona jurídica. Como pueden ser los de una empresa u organismo.
Equipo informático. Como son los correspondientes a certificados SSL de un servidor, los certificados para acceder a una red WIFI o a una VPN, los correspondientes a un Router o elementos de red como son por ejemplo los de IPsec, etc.
Específicos. Como son los correspondientes a sistemas de identificación mediante Smart Card o los de firma de código y de aplicaciones informáticas.

El tipo de certificado que conocemos como certificado digital consta de tres elementos importantes:

La clave privada. Que es una clave generada de forma aleatoria a partir de unos algoritmos matemáticos y de longitud determinada, como puede ser por ejemplo el algoritmo RSA de 1024 bits.
La clave pública. Que es una clave generada a partir de la anterior y cuyo objetivo es permitir su intercambio entre las partes.
El propio certificado digital. Que es un documento formado en base al estándar X.509 v3, compuesto por los datos del usuario y la clave pública, y que se encuentra firmado por la Autoridad de Certificación, lo que permite certificar la autenticidad de los datos contenidos en él.

DEFINICIÓN DE INFRAESTRUCTURA DE CLAVE PÚBLICA (PKI)

La Infraestructura de Clave Pública (o en inglés, PKI, Public Key Infrastructure) es el conjunto de hardware, software, políticas y procedimientos de seguridad necesarios para gestionar con garantías las operaciones relacionadas con la vinculación de identidades y claves públicas.

La PKI está formada por los siguientes componentes funcionales:

La Autoridad de Certificación (CA).
La Autoridad de Registro (RA).
La Autoridad de Validación (VA).
La Autoridad de Sellado de Tiempo (TSA).

La PKI debe proporcionar a la firma digital la ayuda para implementar las siguientes características:

Autenticación de las identidades de las partes.
Confidencialidad de la información que sea transmitida entre las partes.
Integridad de la información, gracias a un sistema que permita detectar si un documento o su información ha sido manipulado desde su firma.
No repudio, que impida que alguna de las partes pueda negar su implicación o participación en una determinada transacción.

PROCESO DE OBTENCIÓN DEL CERTIFICADO DIGITAL EN ESPAÑA

Proceso de obtención del certificado – Obtenida de www.areadepymes.com

Aunque pueden existir varios métodos según la finalidad del certificado, el más común suele ser obtener el de Clase 2 emitido por la Fábrica de Moneda y Timbre y que sirve para identificar telemáticamente al usuario o empresa que desea realizar un trámite por internet. El proceso para su obtención cuenta con una fase telemática y una fase presencial.

El procedimiento es el siguiente:

El usuario realiza una solicitud a través de internet en la web de la FNMT y obtiene un código de registro.
El usuario se presenta en cualquiera de las entidades públicas con las que la FNMT tiene un convenio firmado y en las que delega la función de registro para que validen la identidad del usuario consignado en la solicitud y firme un contrato.
A las 24 horas el usuario puede descargar el certificado desde el mismo equipo desde el que realizó la solicitud, ya que en este reside la clave privada generada desde el navegador.
Una vez descargado el certificado el usuario ya puede realizar trámites desde internet.

PROCESO DE FIRMA DIGITAL DE UN DOCUMENTO

Proceso de firma digital – Obtenida de firmadigitaluap.blogspot.com.es

Tal y como se puede apreciar en la ilustración, la firma digital realizada con nuestro certificado nos permite garantizar que los datos que recibe el destinatario son exactamente los mismos que hemos enviado.

De forma resumida su funcionamiento es el siguiente:

Se calcula la función hash del documento, cuyo resultado es un número obtenido mediante un algoritmo matemático que identifica de forma inequívoca al texto que incluye el documento.
El que firma, cifra el hash que ha obtenido con su clave privada asociada al certificado y envía el documento con los datos firmados al destinatario.
El destinatario recibe los datos firmados y los descifra usando la clave pública del remitente. Si los códigos hash coinciden, la firma es válida.

EJEMPLO DE USO DEL CERTIFICADO DIGITAL

En el ejemplo voy a utilizar el certificado digital de mi empresa para verificar si existe alguna notificación electrónica de la Agencia Tributaria.

Para ello, accedo a la página de las notificaciones:

https://notificaciones.060.es

notificaciones_060

Como se puede ver por la cabecera de la dirección web (https), la página a la que me conecto está protegida por el protocolo seguro SSL, que garantiza la confidencialidad y la autentificación en las transacciones por internet.

A continuación, hago “click” en el menú de la derecha “Entrar al buzón”

buzon_notificaciones

En ese momento el servidor le indica a mi navegador que elija uno de los certificados digitales instalados en mi navegador y que sirva para identificarme ante la Agencia Tributaria:

seleccion_certificado