La segunda Tercera Parte de Confianza: Autoridad de Fechado

58
Perspectiva de las AA.PP.
La segunda Tercera Parte
de Confianza: Autoridad
de Fechado
LA FIRMA ELECTRÓNICA MEJORADA GARANTIZA EL "NO REPUDIO" INCORPORANDO UN
SELLO DE TIEMPO DEL MOMENTO DE LA FIRMA
Rafael
Medina
JEFE DE ÁREA
DESARROLLO
CERES - FNMT
a funcionar en el año 1999 y ha
permitido presentar por vía telemática
millones de declaraciones.
A pesar de que la situación actual
nos hace ser optimistas aun queda
mucho camino que recorrer y todavía
parece lejano el día en que la mayor
parte de los trámites y transacciones
que actualmente requieren la
presencia física y firma manuscrita
puedan ser realizados de forma
Introducción
A finales de los 90 comenzaron
tanto en España como en Europa
iniciativas cuyo objetivo fue fomentar
la incorporación de las nuevas
tecnologías de seguridad de las
comunicaciones electrónicas a la
actividad de las empresas, ciudadanos
y Administraciones públicas.
En la actualidad se están
recogiendo los frutos de dichas
iniciativas y, al menos en España,
cada día es mayor el número de
usuarios que conocen o emplean
certificados de clave pública como
herramienta para garantizar la
seguridad de sus comunicaciones a
través de Internet. Como ejemplo de
este grado alto de utilización tenemos
la presentación de la declaración de
IRPF a través de Internet que empezó
1
En estos momentos…
A finales de diciembre de 2003 fue
aprobada la Ley 59/2003 de firma
Hay un obstáculo que debe
ser superado: situar con
precisión los eventos en el
tiempo
electrónica, en la que se define la
firma electrónica reconocida como la
firma electrónica avanzada que está
basada en un certificado reconocido.
Así, en el Artículo 3 de la Ley se
establece que la firma electrónica
reconocida tendrá el mismo valor legal
que la firma manuscrita.
Adicionalmente, en la Ley se
remota a través de redes abiertas
como Internet.
En el largo camino se encuentra un
obstáculo que a fecha de hoy puede y
debe ser superado: situar con
precisión los eventos en el tiempo.
¿Cuándo se emitió esta factura? ¿Se
ha presentado en plazo esta
reclamación? Resolver estas
cuestiones de forma irrefutable y
El usuario no puede negar haber firmado un documento
nº 11 junio 2007
disponer de elementos que puedan
ser utilizados para demostrar la
secuencia temporal en que ocurren los
hechos es fundamental para
garantizar la mayoría de las
transacciones que se realizan a través
de Internet.
reconoce que la firma electrónica
realmente es un instrumento que
permite comprobar la integridad y
procedencia de los mensajes
intercambiados a través de redes
abiertas y ofrece las bases para
garantizar el “no repudio”1, eso sí,
siempre y cuando se adopten las
medidas oportunas basándose en
fechas electrónicas.
59
Perspectiva de las AA.PP.
creación (establecida por el sistema
informático de BETA) es anterior a la
fecha de revocación del certificado del
apoderado y de esta forma
fundamentará que la firma debe ser
considerada como válida.
El Tribunal de Turno tiene un
problema para tomar una decisión,
pues la única forma de decretar si el
signatario ha incumplido el contrato es
determinar si la firma fue realizada
con anterioridad o posterioridad a la
revocación. Para conocer este dato es
imprescindible disponer de
información fidedigna acerca de la
fecha de la firma. Sin esta
información, es imposible precisar si
ALFA ha incumplido el contrato o por
el contrario la firma electrónica debe
considerarse inválida.
Esta situación ficticia planteada,
A pesar de mencionar el
arrepiente de haber firmado dicho
confirma que la firma electrónica
establecimiento de fechas
contrato pues llega a su poder una
avanzada como tal no garantiza el “no
electrónicas, ni en la Ley de Firma ni
oferta más favorable de otra empresa
repudio”. Esta limitación reconocida
en la Directiva Europea 1999/93/CE
de limpiezas. Tras evaluar la nueva
llevó a la EESSI a definir la “firma
aparecen referencias concretas al
situación, el apoderado determina que
electrónica mejorada”2.
fechado digital, hecho que la EESSI
no cumplirá las condiciones pactadas
manifestó en su primer informe de
con la empresa BETA y elabora un
garantiza el "no repudio" incorporando
julio de 1999. En dicho informe se
plan que le permitirá eludir las
en el documento firmado un sello de
afirma que la firma electrónica
penalizaciones por incumplimiento que
tiempo que determina el momento de
avanzada no garantiza el “no repudio”
figuran en el contrato firmado: esa
realización de la firma. Este fechado
debido a que no se dispone de
misma tarde solicitará la revocación
digital es emitido por una Autoridad
información fidedigna acerca del
de su certificado.
de Fechado (TSA3).
momento de la firma. Veamos esta
última afirmación con un ejemplo:
El apoderado de la empresa ALFA
La firma electrónica mejorada
Como no podía ser de otra forma,
tras cierto período de tiempo la
empresa ALFA, representada por el
¿Qué es un sello de tiempo y
para qué sirve?
S.A. que está en posesión de un
apoderado, es llevada ante la justicia
certificado reconocido, utiliza el
por incumplimiento de contrato. Ante
mecanismo de firma electrónica
el Tribunal de Turno, nuestro
avanzada para firmar un acuerdo con
signatario negará la autoría de la
conocer algo más acerca de los sellos
la empresa BETA S.L. mediante el cual
firma electrónica y afirmará que no
de tiempo o fechados y las
la empresa ALFA contrata los servicios
estaba en posesión de su clave
autoridades encargadas de la emisión
de limpieza de sus instalaciones a la
privada pues le fue sustraída, motivo
de los mismos, por lo que a
empresa BETA a partir del próximo
por el cual él mismo solicitó la
continuación se realizará una breve
año durante un período de 2 años por
revocación del certificado. De esta
descripción del Servicio de Fechado
un valor de 60.000 € anuales.
forma, alegará que la firma no debería
Digital.
A estas alturas, parece necesario
Al cabo de una semana el
ser considerada como válida. Por su
El Fechado Digital de documentos
apoderado de la empresa ALFA,
parte, la empresa BETA aportará un
consiste en asignar una fecha y hora
convertido ahora en signatario, se
documento electrónico cuya fecha de
a un documento mediante un sello
2
Final Report of the EESSI Expert Team (http://www.ict.etsi.org/eessi/Documents/Final-Report.pdf)
3
Time Stamping Authority
nº 11 junio 2007
60
Perspectiva de las AA.PP.
misma transacción, por lo que la TSA
no debería ser nunca parte interesada
en la misma.
De las características del Servicio
de Fechado se desprende que la TSA
deberá disponer de una fuente de
tiempo estable y precisa, así como
adoptar las medidas de seguridad
apropiadas para proteger sus sistemas
informáticos, establecer unas
prácticas de operación adecuadas y
hacerlas públicas, operar con
transparencia, etc.
Es obvio que, para una Autoridad
de Fechado, satisfacer todas las
necesidades mencionadas es costoso
(ubicación adecuada, infraestructura
suficiente, personal cualificado, etc.)
pero es absolutamente imprescindible
si se desea ser depositario de la
confianza del resto de agentes que
operan en la red.
Y ahora, ¿qué?
de tiempo. Este sello de tiempo es
determinar fehacientemente si la
un fragmento de información que
firma digital fue ejecutada dentro
sirve (al autor del documento o a
del período de validez del certificado
El hecho de que a la firma
cualquier otro ente) para probar que
y permiten detectar alteraciones en
electrónica avanzada se le haya
dicho documento existía o fue
el contenido del documento
otorgado el mismo valor legal que a la
entregado antes del instante que
realizadas con posterioridad a la
firma manuscrita supone un gran
indica dicho sello.
fecha de firma.
avance que permitirá trasladar al
mundo electrónico multitud de
Además de proporcionar una
transacciones que hasta ahora sólo
prueba de existencia de cierta
información en un instante de tiempo
determinado, el sello de tiempo como
¿Quién es la Autoridad
de Fechado?
Este paso adelante ha provocado que
a día de hoy ya se encuentren
tal garantiza que dicha información
no ha sido modificada con
podían realizarse de forma tradicional.
Como se ha comentado, una TSA
disponibles las versiones electrónicas
vincula un instante de tiempo a un
de algunos trámites administrativos,
documento electrónico y avala con su
en un claro esfuerzo realizado por
definición de un nuevo tipo de firma
firma electrónica la existencia del
aquellas Administraciones que
por la EESSI bautizada como “firma
documento en dicho instante de
pretenden modernizarse o
mejorada”, que garantizaba el no
tiempo. Vemos pues que la TSA
simplemente prestar un mejor servicio
repudio incorporando un sello de
aparece como una Tercera Parte de
a los ciudadanos y a partir de ahora
tiempo al documento firmado
Confianza (TTP4) integrada dentro de
estas iniciativas deberán ser copiadas
electrónicamente. Efectivamente
una Infraestructura de Clave Pública.
por otras entidades públicas y
posterioridad.
Anteriormente se mencionó la
vemos que con las ya de sobra
Una Autoridad de Fechado es
privadas.
conocidas garantías que aporta la
depositaria de la confianza de otros
firma electrónica unidas a las
entes en un escenario de seguridad
transacción o trámite es
garantías que aporta un sello de
donde no existe confianza directa
especialmente importante disponer de
tiempo, permiten al verificador
entre las partes involucradas en una
elementos que permitan situar los
4
Trusted Third Party
nº 11 junio 2007
En general, en cualquier
61
Perspectiva de las AA.PP.
eventos en el tiempo y conocer el
Por su parte, las entidades
en el tiempo y es fundamental
orden en que ocurren los hechos pero
privadas que implanten aplicaciones
aportar pruebas en caso de que sea
en los trámites administrativos resulta
encargadas de llevar a cabo
necesario. Si pensamos en
imprescindible contar con estos
transacciones comerciales con sus
transacciones relacionadas con el
elementos. En todas las operaciones
clientes o con otras entidades
pago de facturas, contratación de
que los ciudadanos y las empresas
deberán considerar como requisito
pólizas de seguros, etc., resulta fácil
realizan con la Administración se debe
imprescindible la utilización de un
imaginar la importancia de disponer
garantizar “la constancia en cada
de información fidedigna del
asiento que se practique, de un
momento en que se produce la
número, epígrafe expresivo de su
naturaleza, fecha de entrada, fecha y
hora de presentación, identificación
del interesado, órgano administrativo
remitente, si procede, y persona u
órgano administrativo al que se envía,
y, en su caso, referencia del contenido
del escrito o comunicación que se
Ante una revocación lo
decisivo es determinar la
fecha de la firma mediante
una Autoridad de Fechado
registra”5. Vemos pues que la
transacción.
Conclusiones
Los servicios de fechado digital
contribuyen de forma significativa a
aumentar la seguridad y garantizar las
transacciones aportando:
Un sello de tiempo emitido por una
utilización de sellos de tiempo es
absolutamente necesaria en cualquier
servicio de fechado digital. Pese a que
Autoridad de Fechado constituye una
versión electrónica de los trámites
no sea de aplicación ninguna ley
prueba de existencia de cierta
administrativos que en la actualidad
(como en el caso de la
información en un instante de tiempo
son realizados de forma presencial en
Administración), es importante situar
determinado.
los Registros Generales.
con la suficiente precisión los eventos
Un sello de tiempo como tal
garantiza que dicha información no ha
sido modificada con posterioridad.
Utilizando un sello de tiempo
como complemento a la firma
electrónica el verificador es capaz
determinar fehacientemente si la
firma digital fue ejecutada dentro
del período de validez del certificado
garantizando de esta forma el “no
repudio”.
El siguiente paso en la evolución de
las aplicaciones y servicios que
implementan las versiones
electrónicas de los procedimientos
existentes en la sociedad es la
utilización de los servicios de fechado.
A corto plazo será imprescindible la
utilización de los sellos de tiempo, en
unos casos para cumplir la legislación,
en otros para proporcionar servicios
de mejor calidad y en general para
garantizar la mayor parte de las
transacciones electrónicas que se
realicen a través de redes de uso
público como Internet.
5
Artículo 38 de la Ley 30/1992 de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.
nº 11 junio 2007