Marco LegalGeneral de la

conformidad delas FirmasDigitales

Si tienes actualmente un empleo mediocre yrecibes en tu correo electrnico personal unamagnfica oferta de trabajo, en la cual te exigenque te presentes al da siguiente para empezar,renunciaras de inmediato a tu empleo actual?

Creo que no renunciaras. Probablementepensaras que:

1) El mail puede ser la estafa de un impostor;2) Aun cuando el remitente fuera autntico, su texto

puede haber sido hackeado y adulterado por untercero;

3) Aun cuando el remitente fuera autntico y el textoestuviera ntegramente conservado, cmo podrasobligar al remitente a cumplir su palabra? Siemprepodr decir que alguien se escabull en su PC y losuplant.

On the Internet,Nobody Knows You're a Dog.

Condiciones necesarias y suficientes para que undocumento electrnico tenga el mismo efecto legalque un documento manuscrito:

-Que se garantice su autenticidad.-Que se garantice la integridad de su texto.-Que el remitente no pueda repudiar su documentocon el cuento de que alguien lo suplant.

Existe un camino tecnolgico para lograr estosobjetivos: la criptografa asimtrica o de clavepblica.

Para comprenderla, empecemos por recordar ques la criptografa simtrica.

Encriptemosesta arenga!

Pero, qu es la criptografaasimtrica o criptografa de clavepblica?Veamos En la criptografa de JulioCsar, el emisor y el receptor debencompartir una clave privada

En la Criptografa Asimtrica, cada persona tienedos claves: una privada y una pblica. La clave

pblica es conocida por todo el mundo. La claveprivada la conoce slo su titular.

Las dos claves realizan operaciones matemticasinversas.

Si encriptas con tu clave privada, al resultado sele llama firma digital y, aplicando tu clave

pblica, el destinatario verificar quin fue elfirmante.

Si encriptas con la clave pblica del destinatario,nadie ms que l podr descrifar el mensaje.

Cada vez que envas informacin confidencial porInternet (por ejemplo, el nmero de la tarjeta de

crdito para comprar un libro o un CD), algnsistema de criptografa asimtrica se pone en

funcionamiento automtico.

1. Generar un par de nmeros primos grandes: p y q.2. n = pq

3. Elegir e entre 3 y (n-1), que sea relativamente primo a (p-1) y(q-1).

4. El nmero d se obtiene de e, p y q (no veremos aqucmo se obtiene).

5. Los nmeros (n, e) conforman la Clave Pblica de Mr. Z. Losnmeros (n,d) conforman su Clave Privada.

6. Sea m el mensaje que quiero enviar a Z. Para encriptar m,hacemos la siguiente operacin: me mod n. Denotamos c al

resultado.7. Para obtener m a partir de c Z efecta la siguiente

operacin: cd mod n.8. La relacin entre e y d asegura que las operaciones de

encriptamiento y desencriptamiento son inversas.9. Sin (n, d) es casi imposible recobrar m a partir de c.

e decodifica m para obtener el mensaje M

Resumen del Esquema de cifradopara privacidad.

1. Alicia toma el mensaje M y aplica un proceso decodificacin para que la computadora entienda al mensaje

M como un nmero entero m.

2. Alicia aplica la clave pblica del destinatario Bob,obtenindose el nmero c.

3. Alicia enva el nmero entero c a Bob.

4. Al recibir este nmero, Bob aplica su clave privada (queslo l conoce) y dado que sus dos claves hacen

operaciones inversas, obtiene el entero m

5. Se decodifica m para obtener el mensaje M

Resumen del Esquema de cifrado (para autenticidad)

1. Alicia toma el mensaje M y aplica un proceso decodificacin para que la computadora entienda al mensaje

M como un nmero entero m.

2. Alicia aplica su clave privada al nmero m, obtenindoseel nmero c.

3. Alicia enva el nmero entero c al destinatario Bob.

4. Al recibir este nmero, Bob aplica la clave pblica deAlicia (accesible mediante el Certificado Digital de Alicia,

que es pblico) y dado que sus las claves del emisor hacenoperaciones inversas, obtiene el entero m

5. Se decodifica m para obtener el mensaje M

Ahora veremos la Infraestructura Oficialde Firma Electrnica en el Per

I. Marco normativo

II. Elementos de una PKI Firma digital

III. Infraestructura Oficial de Firma Electrnica (IOFE)

IV. Componentes de la IOFE

V. Rol del INDECOPI en la IOFE

2000: Ley de Firmas y Certificados Digitales(27269)

2002: Reglamento (Decreto Supremo 018-2002-JUS).

2008 Guas de Acreditacin publicadas porINDECOPI.

2008: Reglamento vigente de la ley (DecretoSupremo 052-2008-PCM).

Autoridad Administrativa Competente(AAC) Entidad de Certificacin (EC) Entidad de Registro (ER) Entidades Prestadoras de Servicios deValor Aadido Certificados DigitalesFirmas ElectrnicasHardware y Software Prcticas de Certificacin y Sistemas deGestin

Firma Digital (PKI)

Una firma digital es un conjunto de datos asociados a un mensajedigital que permite garantizar la identidad del firmante y la integridaddel mensaje.

Claves Pblicas y Claves privadas?En la elaboracin de una firma digital y en su correspondienteverificacin se utilizan procedimientos matemticosbasados en criptografa asimtrica, tambinllamada criptografa de clave pblica.El sistema opera de tal modo que la informacinfirmada digitalmente con la clave privadaslo puede ser verificada con la clave pblica.En consecuencia, si es posible verificar un mensajeutilizando la clave pblica de una persona, entoncespuede afirmarse que el mensaje lo gener esa persona utilizando suclave privada (probando su autora y la integridad de la informacin).

Firma Digital (PKI)

Confidencialidad

Autenticacin

Integridad

No repudio

CifradoCifrado

CertificadosCertificados

Firma DigitalFirma Digital

Certificado y Firma DigitalCertificado y Firma Digital

La IOFE es la Infraestructura de Clave Pblica peruanay est conformada por los elementos correspondientesde una PKI convencional.

Es un sistema confiable, acreditado, regulado, ysupervisado por la Autoridad Administrativa CompetenteINDECOPI-.

La firma digital emitida dentro de la IOFE, tiene lamisma validez y eficacia jurdica que el uso de unafirma manuscrita.

La IOFE queda definida en el Reglamento de la Ley deFirmas y Certificados Digitales (Decreto Supremo 052-2008-PCM).

Dentro de la IOFE podrn operar Entidades de Certificacin(EC) y Entidades de Registro (ER) tanto del sector privadocomo del sector pblico.

Las entidades que prestan servicios de certificacin digitalpara el sector pblico, tienen una denominacin particular:

La ECERNEP o Entidad de Certificacin Nacional delEstado Peruano.

Las ECEP o Entidades de Certificacin del EstadoPeruano.

Las EREP o Entidades de Registro del EstadoPeruano.

AAC

EC EC EC ECEP ECEP ECEP

ECERNEP

ER ER ER EREP EREP EREP

A) Autoridad Administrativa Competente (AAC):

Es la entidad que evala, acredita, supervisa, revoca ocancela la acreditacin a las entidades prestadoras deservicios de certificacin.Dicta las normas complementarias y aprueba el uso deestndares.El INDECOPI ha sido designado para cumplir este rol.

B) Entidad de Certificacin Nacional para el Estado Peruano(ECERNEP):

Es la entidad encargada de emitir los certificados razpara las Entidades de Certificacin para el EstadoPeruano (ECEP).Cumple esta funcin de manera exclusiva.Propone las polticas y estndares para las ECEP ylas EREP.

C) Entidades de Certificacin para el Estado Peruano (ECEP)

Estn encargadas de emitir o cancelar los certificados digitalespara usos propios del sector pblico.Ofrecern un servicio de directorio permitiendo el acceso a loscertificados digitales emitidos y a la lista de certificados digitalesrevocados.

D) Entidades de Registro y Verificacin para el Estado Peruano(EREP)

Estn encargadas del levantamiento de datos, comprobacinde la informacin, identificacin y autenticacin delsolicitante.Aceptan y autorizan solicitudes de emisin y cancelacin decertificados adems de realizar su gestin ante las ECEP.

En una Infraestructura de Clave Pblica, los CertificadosDigitales contienen las Claves Pblicas de sus titulares.

Por tanto es bsico que los Certificados Digitales seanimpermeables a ataques informticos que intenten adulterarsu contenido.

Para ello la Entidad de Certificacin Digital que emite dichosCertificados debe tener un nivel slido de competencia tcnicay administrativa.

INDECOPI evala (mejor dicho, evaluar) dicha competenciay otorgar el diploma o acreditacin a la CertificadoraDigital; y supervisar su funcionamiento.

Convergencia de proyectos

Proyectos en Ejecucin

ECEPImplementada

Proyecto ECEP

Acreditacin ECEP

Piloto DNIe

DNIeImplementado

Proyecto DNIe

ECEPAcreditada

1. Emite doc.para notif. conFirma Digital

SUNATEmisor

Contribuyentereceptor

Buzn

2. AlertaInternete-mailMvil

3. Acceso atravs de SOL

Literal b) del artculo 104 del Cod. Tributario

Por medio de sistemas de comunicacin electrnicos

... correo electrnico u otro medio electrnico aprobado por laSUNAT que permita la transmisin o puesta a disposicin de unmensaje de datos o documento

La SUNAT mediante Resolucin de Superintendenciaestablecer los requisitos, formas, condiciones, el procedimientoy los sujetos obligados a seguirlo, as como las demsdisposiciones necesarias para la notificacin por los mediosreferidos en el segundo prrafo del presente literal.

Ahorro de Tiempo en la proceso de notificacin.

Ahorro en el costo relacionado con el proceso denotificacin.

Elimina la posibilidad de extravos

Mejora el control y la transparencia.

Confidencialidad y Seguridad.

Implementar nuevos servicios orientados alcumplimiento.

Vendedor(Emisor

Electrnico)

Vendedor(Emisor

Electrnico)

SUNATSUNAT

PSE(Consolidador)

PSE(Consolidador)

Comprador(Receptor

Electrnico)

Comprador(Receptor

Electrnico)

PERFIL - B2B

REQUISITOS

REQUISITOS

VALIDACIONESEX - ANTE

Vendedor(Emisor

Electrnico)

Vendedor(Emisor

Electrnico)

SUNATSUNAT

PSE(Emisor)

PSE(Emisor)

Comprador(ReceptorTradicional)

Comprador(ReceptorTradicional)

Business toConsumer Factura

000.00000.00=====

000.00

Internet

VALIDACIONESEX - POST

BD

BDT

2. El contribuyentepresenta sus LE

firmados

1. El contribuyentegenera y firma sus LEcon su Firma Digital

5. El contribuyentegenera 2 CDs con los

LE firmados y el acusede recibo

1ra. CD: Domicilio fiscal2da. CD: Bveda certificada

Acuse

3. SUNAT recepcionalos LE

SW LIBRE

LE+FD

4. SUNAT enva acuses derecibo de los LE recibidos

FirmaManuscrita

FirmaDigital

Entre la firma digital y la firma manuscrita:

1) en el caso de la FM, es posible reconocer la firma y sin embargo rechazar el contenido deldocumento; en cambio, en el caso de la FD, la autenticidad y la integridad del documentoestn indisolublemente unidos;

2) la FM es constante (y precisamente ello la vincula exclusivamente a una persona); encambio la FD depende de cada signo, cada letra y cada coma del documento que se firma,y por tanto cambia con cada documento (lo que s es constante, es el par de clavesasignadas al titular del certificado digital).

Ventajas: sistema ms seguro, ya que suprime la necesidad del envo dela clave.

Descripcin del proceso

Ley 27269(Ley de Firmas y Certificados Digitales)

Artculo 1.- La presente ley tiene por objeto regular la utilizacin dela firma electrnica, otorgndole la misma validez y eficacia jurdicaque el uso de una firma manuscrita u otra anloga que conlleve

manifestacin de voluntad.

Artculo 3.- La firma digital es aquella firma electrnica que utilizauna tcnica de criptografa asimtrica, basada en el uso de un par declaves nico; asociadas una clave privada y una clave pblicarelacionadas matemticamente entre s, de tal forma que laspersonas que conocen la clave pblica no puedan derivar de ella laclave privada.

Cdigo Civil

Artculo 141.- La manifestacin de voluntad puede ser expresa otcita. Es expresa cuando se realiza en forma oral o escrita, a travsde cualquier medio directo, manual, mecnico, electrnico u otroanlogo ().Artculo 141.A.- En los casos en que la ley establezca que lamanifestacin de voluntad deba hacerse a travs de algunaformalidad expresa o requiera de firma, sta podr ser generada ocomunicada a travs de medios electrnicos, pticos o cualquierotro anlogo.Tratndose de instrumentos pblicos, la autoridad competente deberdejar constancia del medio empleado y conservar una versin ntegrapara su ulterior consulta.

Reglamento de la Ley (Decreto Supremo 052-2008-PCM).- Lafirma digital generada dentro de la Infraestructura Oficial de FirmaElectrnica tiene la misma validez y eficacia jurdica que el uso deuna Firma Manuscrita. En tal sentido, cuando la ley exija la firma deuna persona, ese requisito se entender cumplido en relacin con unmensaje de datos o documento electrnico si se utiliza una FirmaDigital generada en el marco de la IOFE.

Ley 28677 (Ley de Garanta Mobiliaria).- La Garanta Mobiliaria podrinstrumentarse mediante medios electrnicos respaldados por firmasdigitales (artculo 17).

Autoridad Peruanade Acreditacin

EntidadDe

CertificacinEC

OtrosGobiernos

C

EC

OtrosOperadoresExtranjeros

ERER ERER ERER

C C

Estructura de la IOFD

INDECOPI publica de manera permanente en su websitelas cuatro Guas de Acreditacin concernientes a:

1) Entidades de Certificacin Digital,2) Entidades de Registro / Verificacin de Datos,3) Prestadoras de Servicios de Valor aadido;4) Software de firmas digitales.

Estas Guas se encuentran alineadas con lasrecomendaciones de la Cooperacin Econmica Asia Pacfico (APEC).

La etapa siguiente es implementar el modelo deinteroperabilidad basado en la Lista de CertificadosConfiables

Muchas Gracias