Certificados digitales: Panorama y posibilidades de mejora

En la criptografía asimétrica y su acompañante, la infraestructura de clave pública PKI, todo empezó muy bien en el aspecto matemático, computacional y estructural. Pero todo empezó mal con la nomenclatura de certificado digital y de autoridad certificadora. Considero que credencial digital y unidad de credencialización digital son términos más adecuados.

En los años noventa mientras se trabajaba en la ley modelo de la UNICTRAL imperaba el criterio de que los certificados digitales deberían ser emitidos por autoridades certificadoras reguladas. Esta noción se basaba en trasladar el paradigma de credenciales confiables del mundo del papel hacia el mundo de la electrónica. Este traslado de paradigma resulta ser, en el mejor de los casos, muy limitado. Sin embargo, la gran aportación de la ley modelo de firmas electrónicas de la UNICTRAL es su clausulado en materia de firma electrónica y su gran fracaso es el clausulado en materia de autoridades certificadoras.

El excelente clausulado sobre firma electrónica catalizó el uso de la firma electrónica utilizando autoridades certificadoras de dominio aplicativo. Las organizaciones que arrancaron autoridades certificadoras de dominio aplicativo estaban conscientes de que la regla de oro era preservar una o más pruebas, incontrovertibles, de la vinculación de los firmantes con su clave pública. Esto les garantizaba un alto valor probatorio, de mensajes firmados digitalmente y su vinculación al firmante, ante cualquier contingencia o contención.

Las organizaciones que intentaban arrancar sistemas de firma digital se dieron cuenta que:

• Era mucho más fácil y barato, e igual de seguro, certificar a sus usuarios con su propia autoridad que mediante autoridades certificadoras reguladas.
• En la gran mayoría de las aplicaciones, la parte jurídica denominada “quien confía” es la propia organización implementando firma en su dominio aplicativo.
• Existe un proceso de enrolamiento de los usuarios con el dominio aplicativo. Esto hace que el certificado resida en el registro del usuario ante el dominio aplicativo y, por lo tanto: a) se blinda al dominio aplicativo del problema de certificados falsos, b) se reduce la problemática de la revocación, y c) los certificados son solo válidos en el dominio aplicativo y fuera del dominio no representan ningún riesgo.

Por otra parte, la visión de que los certificados emitidos por autoridades reguladas podrían ser utilizados indiscriminadamente en diferentes dominios aplicativos resultó ser un falso traslado del paradigma de “credenciales universales” del mundo del papel. La verdad es que aunque la firma autógrafa y la firma electrónica son equivalentes funcionalmente, éstas tienen diferencias cualitativas importantes que hacen que muchos paradigmas del mundo del papel no se puedan trasladar al mundo de la electrónica. Mientras que la firma autógrafa opera sobre papel y el mensaje está consustancialmente ligado a él, en forma que es legible para el firmante, la firma digital opera sobre un stream de bits que se visualizan mediante una gran variedad de aplicaciones. En el papel, el firmante ve directamente el mensaje a firmar; en la firma digital no. Así las cosas, la seguridad de una firma digital depende mucho de la seguridad de un dominio aplicativo. Un dominio aplicativo inseguro puede llegar, en el peor de los casos, a robar la clave privada, o en el mejor de los casos, obtener la firma de un mensaje diferente al mensaje que el firmante cree estar firmando.

¿Usted expondría su, única y universal, clave privada a la aplicación del vendedor de pizzas local? ¿La misma clave privada con la que transfiere electrónicamente dinero? Claro que no. El certificado universal es un concepto que no funciona. Resulta ser considerablemente más seguro utilizar un par de claves por cada dominio aplicativo.

También es importante que el estampillado de tiempo (time-stamping) se regule, pues las estampillas de tiempo —al contrario de los certificados— no tienen evidencia material que los sustente y les de valor probatorio. Su valor probatorio depende de que, quien los emita, pueda demostrar que efectivamente, no puede emitir estampillas fuera del tiempo real. En nuestro país, la NOM-151 tiene esta función de regular el estampillado de tiempo, pero desafortunadamente lo hace mediante su propio protocolo, en lugar de adoptar uno de los estándares internacionales que existen en esta materia. La Secretaria de Economía, quien tiene la función de regular en esta materia —y quien por cierto tiene a reguladores conocedores y experimentados en este campo— se encuentra en el proceso de revisión de la NOM-151. Todo parece indicar que el cambio será hacia la adopción de estándares internacionales, lo cual será muy beneficioso para nuestro país.