En esta primera parte entraremos primero en la definicin delo que es una
certificado digital, cmo serelaciona con la
firma electrnica y explicaremosel papel que tienen las entidades con derecho a emitir certificadosdigitales, las
Autoridades de Certificacin.
En la segunda parte nos centraremos en elaborar cmo elcertificado digital y la
digitalizacin certificada defacturas se complementan.
El certificado digital y las Autoridades de Certificacin
Un
Certificado Digital es un documentodigital, computarizado, mediante el cual un tercero de confianza (unaautoridad certificacin) garantiza la vinculacin entre la identidadde un sujeto o entidad y su clave pblica. Explicaremos lo que es laclave pblica ms adelante.
Una
Autoridad de Certificacin,
certificadorao
certificante, llamada
AC enespaolo
Autoridad de Certificacin porsus siglas en ingls (
Certification Authority),es una entidad de confianza, responsable de emitir y revocar loscertificados digitales utilizados en lafirma electrnica,para lo cual se emplea la criptografa de clave pblica. Jurdicamentees un caso particular de Prestador de Servicios de Certificacin.En adelante vamos emplear el trmino espaol de Autoridad deCertificacin
La criptografa es la ciencia de cifrar y descifrar informacinutilizando tcnicas que hacen posible el intercambio de mensajes demanera segura que slo pueden ser ledos por las personas a quienes vandirigidos. La finalidad de la criptografa es, en primer lugar,garantizar el secreto en la comunicacin entre dos entidades (personas,organizaciones, etc.) y, en segundo lugar, asegurar que la informacinque se enva es autntica en un doble sentido: que el remitente searealmente quien dice ser y que el contenido del mensaje enviado,habitualmente denominado criptograma, no haya sido modificado en sutrnsito.
Existen variados formatos para
certificados digitales,los ms comnmente empleados se rigen por el estndar UIT-TX 509. El
certificadocontiene el nombre de la entidad certificada, el nmero de serie, lafecha de expiracin y una copia de la clave pblica del titular delcertificado utilizada realmente en la asociacin.
La
Autoridad de Certificacin, por s misma omediante la intervencin de una autoridad de registro, verifica laidentidad del solicitante de un certificado antes de su expedicin o,en caso de certificados expedidos con la condicin de revocados,elimina la revocacin de los certificados al comprobar dicha identidad.
Los certificados son documentos que recogen ciertos datos de su titularas como su clave pblica y estn firmados electrnicamente por la Autoridadde Certificacin utilizando su clave privada. La Autoridadde Certificacin es un tipo particular de Prestador de Servicios deCertificacin que legitima, ante los terceros que confan en suscertificados, la relacin entre la identidad de un usuario y su clavepblica. La confianza de los usuarios en la Autoridad de Certificacines importante para el funcionamiento del servicio y justifica lafilosofa de su empleo pero no existe un procedimiento normalizado parademostrar que, una Autoridad de Certificacin, merece dicha confianza.
La clave pblica y la clave privada
La
criptografa asimtrica es el mtodocriptogrfico que usa un par de claves para el envo de mensajes. Lasdos claves pertenecen a la misma persona a la que se ha enviado elmensaje. Una clave es
pblica y se puede entregar acualquier persona, la otra clave es
privada y elpropietario debe guardarla de modo que nadie tenga acceso a ella.
Adems, los mtodos criptogrficos garantizan que esa pareja de clavesslo se puede generar una vez, de modo que se puede asumir que no esposible que dos personas hayan obtenido casualmente la misma pareja declaves.
Si el remitente usa la clave pblica del destinatario para cifrar elmensaje, una vez cifrado, slo la clave privada del destinatario podrdescifrar este mensaje, ya que es el nico que la conoce. Por tanto selogra la
confidencialidad del envo del mensaje,nadie salvo el destinatario puede descifrarlo.
Si el propietario del par de claves usa su clave privada para cifrar elmensaje, cualquiera puede descifrarlo utilizando su clave pblica. Eneste caso se consigue la
identificacin y
autenticacindel remitente, ya que se sabe que slo pudo haber sido l quien utilizsu clave privada (salvo que alguien se la hubiese podido robar).
Esta idea es el fundamento de la firma electrnica. Es lafirma electrnica certificada que le da al documento su valor legalcomo p.e. una factura firmada electrnicamente. La
Ley59/2003 de la firma electrnica equipara, jurdicamente, lafirma electrnica a la firma en papel, dotndola as de plena validezlegal para las transacciones electrnicas pblicas y privadas; y en elReal Decreto 1496/2003, de 28 de noviembre, se determina la posibilidadde remitir las facturas por medios electrnicos.
Si disponemos de la clave pblica delcertificado de la firma electrnica podemos comprobar que la facturaenviada realmente viene del remitente. Adems, no se puedemodificar una factura firmada electrnicamente sin alterar el cifrado einvalidar la factura. Por ello, es la forma ms segura de emitir yrecibir facturas, sin entrar aqu en otras ventajas de la facturaelectrnica, como son el ahorro de gastos de gestin de la mismas y laflexibilidad que supone disponer de una factura cuya informacin sepuede explotar de las ms diversas formas en nuestros procesos denegocio.
Lamisin de las Autoridades de Certificacin
Finalmente, las Autoridades de Certificacin tambin seencargan de la gestin de los certificados firmados. Esto incluye lastareas de revocacin de certificados que puede instar el titular delcertificado o cualquier tercero con inters legtimo ante la Autoridadde Certificacin por e-mail, telfono o intervencin presencial.
La lista denominada
CRL (Lista de Revocacin deCertificados)contiene los certificados que entranen esta categora, por lo que es responsabilidad de la Autoridad deCertificacin publicarla y actualizarla debidamente. Por otra parte,otra tarea que debe realizar una Autoridad de Certificacin es l
agestin asociada a la renovacin de certificados por caducidad orevocacin.
Si la Autoridad de Certificacin emite muchos certificados,corre el riesgo de que sus CRL sean de gran tamao, lo que hace pocoprctica su descarga para los terceros que confan. Por ese motivodesarrollan mecanismos alternativos de consulta de validez de loscertificados, como servidores basados en los protocolos OCSP y SCVP.
Autoridad de Certificacin de personas y de servidores
Los certificados de "entidad final" a veces designan personas(y entonces se habla de "certificados cualificados") y a vecesidentifican servidores web (y entonces los certificados se empleandentro del protocolo SSL para que las comunicaciones con el servidor seprotejan con un cifrado robusto de 128 bits)
Autoridadesde Certificacin Pblicas y Privadas
Una Autoridad de Certificacin puede ser o bienpblica o bien privada. Los certificados de Autoridades deCertificacin (
certificados raz) de las Autoridadesde Certificaciones pblicas pueden o no estar instalados en losnavegadores pero son reconocidos como entidades de confianza,frecuentemente en funcin de la normativa del pas en el que operan.
Las Autoridades de Certificaciones pblicas emiten loscertificados para la poblacin en general (aunque a veces estnfocalizadas hacia algn colectivo en concreto) y adems firman laAutoridad de Certificacin de otras organizaciones.
Autoridadesde Certificacin en la Unin Europea
El Artculo 11 de la Directiva 1999/93CE de firma electrnicaestablece que los pases miembros notificarn a la Comisin y a losotros estados miembros lo siguiente:
- Informacin sobre esquemas voluntarios de acreditacinnacionales, incluyendo eventuales requisitos adicionales segn elartculo 3(7).
- Nombres y direcciones de los organismos nacionalesresponsables de la acreditacin y supervisin, as como de losorganismos a los que se refiere el artculo 3(4).
Hasta aqu llega la primera parte. En la segunda noscentraremos en elaborar cmo el certificado digital y la
digitalizacincertificada de facturas se complementan.
