FIRMA ELECTRÓNICA

Y

FIRMA DIGITAL

BERNARDO R. SANTIAGO P.

ISNEL A. SAYAGO S.

LUIS A. MORENO G.

JOHAN E. CALDERA S.

CRISTOPHER L. SULLY G.

INTERNET HA CAMBIADO LA COMUNICACIÓN Y LOS SERVICIOS.

● 5.000 AÑOS DE USO DE LA ESCRITURA

- La firma electrónica se convierte en un cambio deparadigma e impone repentinamente hoy día un cambiocultural de más de 5.000 años en la costumbre del uso dela escritura para otorgar validez jurídica a la expresión dela voluntad.

Es un conjunto de datos que vincula demanera única el documento al usuario ygarantiza la integridad del Documentoelectrónico. Aporta al mundo digital lasmismas características que la firma autógrafaal mundo real.

¿QUÉ ES LA FIRMA ELECTRÓNICA?

CONFIANZA TECNOLOGÍA

¿PARA QUÉ SE USA LA FIRMA ELECTRÓNICA?

El uso de la Firma Electrónica busca garantizar lavalidez de un trámite electrónico e imprimirseguridad al envío y respuesta del mismo.

Al firmar electrónicamente un documento sepuede comprobar la integridad y procedencia delmensaje, de modo que el intercambio deinformación que se realiza en Internet, bien sea através de correos electrónicos o de cualquier otraoperación de mensaje de datos, se hace demanera más segura y confiable.

¿CÓMO SE USA LA FIRMA ELECTRÓNICA?

Inicialmente se debe disponer de un programaque contenga la opción de firmarelectrónicamente, para ello en la actualidadexisten aplicaciones que contemplan esta opcióntales como Sinadura, OpenOffice, Guácharo,Mozilla, Thunderbird, Microsoft Office, entreotros; estos programas permiten firmarelectrónicamente archivos en formato PD,documentos de OpenOffice, correos electrónicos,etc.

¿CÓMO SE USA LA FIRMA ELECTRÓNICA?

Desde un programa que contemple la opción para firmaelectrónica y teniendo conectada la tarjeta a lacomputadora, se selecciona la opción "FirmarElectrónicamente", luego el programa solicitará el PIN(contraseña de acceso) de la tarjeta para ingresar almódulo de seguridad de la misma, se generará de formaautomática la firma electrónica y será asociada aldocumento en cuestión.Es importante destacar que como medida de seguridad sise introduce un PIN incorrecto en 3 oportunidades, latarjeta se bloqueará automáticamente para proteger sucontenido en casos de hurto o extravío.

¿QUÉ PROPIEDADES GARANTIZA LA FIRMA ELECTRÓNICA?

AUTENTICACIÓN

INTEGRIDAD

NO REPUDIO

¿TODOS LOS VENEZOLANOS PUEDEN UTILIZARLA?

¿QUÉ PROPIEDADES GARANTIZA LA FIRMA ELECTRÓNICA?

¿COMO SE GARANTIZA LA VERACIDAD DE LA FIRMA ELECTRÓNICA?

De acuerdo al Artículo 16 de la Ley de Mensaje de Datos y Firmas Electrónicas, laFirma Electrónica tendrá la misma validez y eficacia probatoria que la ley otorga ala firma autógrafa.

A tal efecto, salvo que las partes dispongan otra cosa, la Firma Electrónica deberállenar los siguientes aspectos:

1. Garantizar que los datos utilizados para su generación puedan producirse sólouna vez, y asegurar, razonablemente, su confidencialidad.

2. Ofrecer seguridad suficiente de que no pueda ser falsificada con la tecnologíaexistente en cada momento.

3. No alterar la integridad del Mensaje de Datos.

¿EN QUÉ OTROS PAÍSES DEL MUNDO SE UTILIZA? Y¿QUIENES LA UTILIZAN?

Algunos de los países donde se utiliza la CertificaciónElectrónica son: Costa Rica, Brasil, España, Argentina,Uruguay, México y Colombia.

Es importante señalar que el marco legal y técnico queadopta el Estado venezolano para el desarrollo de la FirmaElectrónica es compatible con el que ya existe en otrospaíses.

¿QUÉ ES Y PARA QUÉ SIRVE LA FIRMA DIGITAL?

La firma digital puede ser definida como unasecuencia de datos electrónicos (bits) que se obtienenmediante la aplicación a un mensaje determinado deun algoritmo (fórmula matemática) de cifradoasimétricos o de clave pública, y que equivalefuncionalmente a la firma autógrafa en orden a laidentificación del autor del que procede el mensaje.Desde un punto de vista material, la firma digital esuna simple cadena o secuencia de caracteres que seadjunta al final del cuerpo del mensaje firmadodigitalmente.

¿EN QUÉ SE BASA LA FIRMA DIGITAL?

La criptografía como base de la firma digital.La firma digital se basa en la utilización combinada de dostécnicas distintas, que son la criptografía asimétrica o de clavepública para cifrar mensajes y el uso de las llamadas funcioneshash o funciones resumen.

Las funciones Hash.Junto a la criptografía asimétrica se utilizan en la firma digital lasllamadas funciones hash o funciones resumen. Los mensajesque se intercambian pueden tener un gran tamaño, hecho ésteque dificulta el proceso de cifrado. Por ello, no se cifra elmensaje entero sino un resumen del mismo obtenido aplicandoal mensaje una función hash.

Los sellos temporales.

Finalmente, en el proceso de intercambio de mensajeselectrónicos es importante que, además de los elementos orequisitos anteriormente analizados, pueda saberse yestablecerse con certeza la fecha exacta en la que los mensajeshan sido enviados. Esta característica se consigue mediante losllamados sellos temporales o "time stamping", que es aquellafunción atribuida generalmente a los Prestadores de Serviciosde Certificación mediante la cual se fija la fecha de los mensajeselectrónicos firmados digitalmente.

¿EN QUÉ SE BASA LA FIRMA DIGITAL?

La confidencialidad de los mensajes.

En ocasiones, además de garantizar la procedencia de losmensajes electrónicos que se intercambian por medio de internety la autenticidad o integridad de los mismos, puede serconveniente garantizar también su confidencialidad. Ello implicatener la certeza de que el mensaje enviado por A (emisor)únicamente será leído por B (receptor) y no por terceras personasajenas a la relación que mantienen A y B.

¿EN QUÉ SE BASA LA FIRMA DIGITAL?

LA OBTENCIÓN DEL PAR DE CLAVES Y DE LOS

CERTIFICADOS DIGITALES

¿Dónde puede obtener una persona el par de claves?

La firma digital se genera mediante la utilización de un par de claves decifrado (pública y privada), que se utilizan para cifrar y descifrar losmensajes. A diferencia de la firma autógrafa, que es de libre creación porcada individuo y no necesita ser autorizada por nadie ni registrada enninguna parte para ser utilizada, la firma digital, y más concretamente elpar de claves que se utilizan para firmar digitalmente los mensajes, nopueden ser creados libremente por cada individuo.

En principio, cualquier persona puede dirigirse a una empresainformática que cuente con los dispositivos necesarios para generar elpar de claves y solicitar la creación de dicho par de claves.Posteriormente, con el par de claves creado para una personadeterminada, ésta se dirigiría a un Prestador de Servicios de Certificaciónpara obtener el certificado digital correspondiente a ese par de claves.

¿Qué son los certificados digitales?

Un certificado digital es un archivo electrónico que tiene un tamañomáximo de 2 Kilobytes y que contiene los datos de identificaciónpersonal de A (emisor de los mensajes), la clave pública de A y la firmaprivada del propio Prestador de Servicios de Certificación. Ese archivoelectrónico es cifrado por la entidad Prestadora de Servicios deCertificación con la clave privada de ésta.Los certificados digitales tienen una duración determinada, transcurridala cual deben ser renovados, y pueden ser revocados anticipadamenteen ciertos supuestos (por ejemplo, en el caso de que la clave privada,que debe permanecer secreta, haya pasado a ser conocida por terceraspersonas no autorizadas para usarla).Gracias al certificado digital, el par de claves obtenido por una personaestará siempre vinculado a una determinada identidad personal, y sisabemos que el mensaje ha sido cifrado con la clave privada de esapersona, sabremos también quién es la persona titular de esa claveprivada.

En resumen, ¿cómo obtengo el dispositivo para firmardigitalmente un mensaje?

El proceso de obtención de los elementos que necesito para firmar digitalmentemensajes (par de claves y certificado digital) es el siguiente:

1º).- Me dirijo a una empresa o entidad que tenga el carácter de Prestador deServicios de Certificación y solicito de ellos el par de claves y el certificado digitalcorrespondiente a las mismas. Generalmente, podré acudir a dicha entidad bienpersonalmente o por medio de internet utilizando la página web del Prestador deServicios de Certificación.

2º).- El prestador de Servicios de Certificación comprobará mi identidad, biendirectamente o por medio de entidades colaboradoras (Autoridades Locales deRegistro), para lo cual deberé exhibirle mi D.N.I. y si soy el representante de unasociedad (administrador, apoderado, etc.) o de cualquier otra persona jurídica,deberé acreditar documentalmente mi cargo y mis facultades.

3º).- El prestador de Servicios de Certificación crea con los dispositivos técnicosadecuados el par de claves pública y privada y genera el certificado digitalcorrespondiente a esas claves.

En resumen, ¿cómo obtengo el dispositivo para firmardigitalmente un mensaje?

4º).- El prestador de Servicios de Certificación me entrega una tarjeta semejante auna tarjeta de crédito que tiene una banda magnética en la que están gravadostanto el par de claves como el certificado digital. El acceso al par de claves y alcertificado digital gravados en la tarjeta está protegido mediante una clave como lasque se utilizan en las tarjetas de crédito o en las tarjetas de cajero automático. Enotras ocasiones, en lugar de la tarjeta el Prestador de Servicios de Certificación dejaalmacenado el certificado digital en su propia página web, a fin de que eldestinatario copie el archivo y lo instale en su ordenador.

5º).- Con esa tarjeta magnética y un lector de bandas magnéticas adecuadoconectado a mi ordenador personal, podré leer y utilizar la información gravada enla tarjeta para firmar digitalmente los mensajes electrónicos que envíe a otraspersonas.

Firma digital de un mensaje electrónico.El proceso de firma digital de un mensaje electrónico

comprende en realidad dos procesos sucesivos: la firma delmensaje por el emisor del mismo y la verificación de la firma por elreceptor del mensaje. Esos dos procesos tienen lugar de la maneraque se expresa a continuación, en la que el emisor del mensaje esdesignado como Ángel y el receptor del mensaje es designadocomo Blanca:

1º.- Ángel (emisor) crea o redacta un mensaje electrónicodeterminado (por ejemplo, una propuesta comercial).

2º.- El emisor (Ángel) aplica a ese mensaje electrónico una función hash (algoritmo), mediante la cual obtiene un resumen de ese mensaje.

3º.- El emisor (Ángel) cifra ese mensaje-resumen utilizando su clave privada

¿CÓMO FUNCIONA LA FIRMA DIGITAL?

Firma digital de un mensaje electrónico.

4º.- Ángel envía a Blanca (receptor) un correo electrónico que contiene los siguientes elementos:

•El cuerpo del mensaje, que es el mensaje en claro (es decir, sincifrar). Si se desea mantener la confidencialidad del mensaje, éste secifra también pero utilizando la clave pública de Blanca (receptor).

•La firma del mensaje, que a su vez se compone de dos elementos:

El hash o mensaje-resumen cifrado con la clave privada de Ángel.

El certificado digital de Ángel, que contiene sus datospersonales y su clave pública, y que está cifrado con la claveprivada del Prestador de Servicios de Certificación. .

Verificación por el receptor de la firma digital del mensaje.

1º.- Blanca (receptor) recibe el correo electrónico que contienetodos los elementos mencionados anteriormente.

2º.- Blanca en primer lugar descifra el certificado digital de Angel,incluido en el correo electrónico, utilizando para ello la clave públicadel Prestador de Servicios de Certificación que ha expedido dichocertificado. Esa clave pública la tomará Blanca, por ejemplo, de lapágina web del Prestador de Servicios de Certificación en la queexistirá depositada dicha clave pública a disposición de todos losinteresados.

3º.- Una vez descifrado el certificado, Blanca podrá acceder a la clavepública de Angel, que era uno de los elementos contenidos en dichocertificado. Además podrá saber a quién corresponde dicha clavepública, dado que los datos personales del titular de la clave (Angel)constan también en el certificado.

Verificación por el receptor de la firma digital del mensaje.

4º.- Blanca utilizará la clave pública del emisor (Angel) obtenida delcertificado digital para descifrar el hash o mensaje-resumen creadopor Angel.

5º.- Blanca aplicará al cuerpo del mensaje, que aparece en claro ono cifrado, que también figura en el correo electrónico recibido, lamisma función hash que utilizó Angel con anterioridad, obteniendoigualmente Blanca un mensaje-resumen. Si el cuerpo del mensajetambién ha sido cifrado para garantizar la confidencialidad delmismo, previamente Blanca deberá descifrarlo utilizando para ellosu propia clave privada (recordemos que el cuerpo del mensajehabía sido cifrado con la clave pública de Blanca)

Verificación por el receptor de la firma digital del mensaje.

6º.- Blanca comparará el mensaje-resumen o hash recibido deAngel con el mensaje-resumen o hash obtenido por ellal misma. Siambos mensajes-resumen o hash coinciden totalmente significa losiguiente:

• El mensaje no ha sufrido alteración durante su transmisión, esdecir, es íntegro o auténtico.

• El mensaje-resumen descifrado por Blanca con la clave pública deAngel ha sido necesariamente cifrado con la clave privada de Angely, por tanto, proviene necesariamente de Angel.

Verificación por el receptor de la firma digital del mensaje.

• Como el certificado digital nos dice quién es Angel, podemosconcluir que el mensaje ha sido firmado digitalmente por Angel,siendo Angel una persona con identidad determinada y conocida.

Por el contrario, si los mensajes-resumen no coinciden quieredecir que el mensaje ha sido alterado por un tercero durante elproceso de transmisión, y si el mensaje-resumen descifrado porBlanca es ininteligible quiere decir que no ha sido cifrado con laclave privada de Angel. En resumen, que el mensaje no es auténticoo que el mensaje no ha sido firmado por Angel sino por otrapersona.

Finalmente, hay que tener en cuenta que lasdistintas fases del proceso de firma yverificación de una firma digital que han sidodescritas no se producen de manera manualsino automática e instantánea, por el simplehecho de introducir la correspondiente tarjetamagnética en el lector de tarjetas de nuestroordenador y activar el procedimiento.

DIFERENCIAS

Una Firma Electrónica es un concepto amplio e indefinido desde elpunto de vista tecnológico. Es por tanto una expresión másgenérica.

Una Firma Digital es aquella firma electrónica que está basada enlos sistemas de criptografía de clave pública (PKI– Public KeyInfrastructure) que satisface los requerimientos de definición defirma electrónica avanzada.

Una Firma Digitalizada, no tiene nada que ver con las anteriores. Setrata de una simple representación gráfica de la firma manuscritaobtenida a través de un escáner, que puede ser “pegada” encualquier documento. Esta técnica la empezaron a utilizarmasivamente los expertos en Marketing cuando la publicidadcirculaba por correo postal ordinario (Snail mail).

En el caso de Venezuela, el legislativo tuvo en mente las firmas manuscritas por locual la aceptación de otros tipos de firmas requirió la promulgación de una nuevalegislación para otorgar validez a las firmas electrónicas y para establecer mayorcerteza jurídica en cuanto a la validez de las mismas y esto igualmente ha ocurridoen otras latitudes.

Decreto – Ley sobre Mensajes de Datos y Firmas Electrónicas Venezolana se promulga el 28 de febrero de 2001 en el marco de la Ley Habilitante otorgada al Presidente de la República Bolivariana de Venezuela.

Este Decreto – Ley fue un proyecto presentado por VenAmCham (VenezuelanAmerican Chamber of Comerce) y la Cámara de Comercio Electrónico (CAVECOM).

El Decreto – Ley reconoce en su artículo 1 eficacia y valor jurídico a la Firma Electrónica, al Mensaje de Datos y a toda información inteligible en formato electrónico

FIRMA ELECTRÓNICA EN VENEZUELA

En su artículo 2 a la Firma Electrónica y establece. “es toda información creadao utilizada por el signatario, asociada al mensaje de Datos, que permiteatribuirle su autoría bajo el contexto en el cual ha sido empleado.

Asimismo, el Decreto – Ley dispone en su artículo 18 qué es una FirmaCertificada o Digital cuando establece: “la Firma electrónica, debidamentecertificada por un Proveedor de Servicios de Certificación conforme a losestablecido en este Decreto-Ley, se considerará que cumple con los requisitosseñalados en el artículo 16”. Finalmente, la Firma Digital es un tipo de firmaelectrónica que se genera utilizando un mecanismo criptográfico que reduce eltexto a un tamaño fijo (mensaje digest) gracias a la aplicación de una funciónmatemática denominada hash

Vale indicar que el Decreto – Ley al que hemos hecho referenciaanteriormente, considera en su artículo 7 lo siguiente: “Cuando la ley requieraque la información sea presentada o conservada en su forma original, eserequisito quedará satisfecho con relación a un mensaje de datos si se haconservado su integridad

De lo anterior que la Firma Digital requiera losiguiente:

a) Estar vinculada al signatario de manera única

b) Permitir la identificación del signatario

c) Haber sido creada por medios que el signatario puedamantener bajo su exclusivo control

d) Estar vinculada a los datos relacionados de modo que sedetecte cualquier modificación ulterior de los mismos.

Requisitos que además de contenerlos la doctrina tambiénel legislador patrio los incorporó en el Decreto – Ley en suartículo 16.

La Superintendencia de Servicios de Certificación Electrónica(SUSCERTE), es un servicio desconcentrado sin personalidad jurídica,creado mediante el Decreto- Ley N° 1.204 de fecha 10 de febrero de2001, sobre Mensajes de Datos y Firmas Electrónicas, publicado en laGaceta Oficial de la República Bolivariana de Venezuela N° 37.148 del28 de febrero de 2001.Es el organismo encargado de coordinar e implementar el modelojerárquico de la infraestructura Nacional de Certificación Electrónica,también acredita, supervisa y controla a los Proveedores de Serviciosde Certificación (PSC) y es el ente responsable de la Autoridad deCertificación Raíz del Estado Venezolano. Así mismo tiene comoalcance proveer estándares y herramientas para implementar unatecnología de información óptima en las empresas del sector público,a fin de obtener un mejor funcionamiento y proporcionar niveles deseguridad confiables.

SUSCERTE

GRACIAS POR SU ATENCIÓN