El fracaso del DNIe: mi caso particular

24 septiembre, 2013

Hoy ha aparecido en Seguridad y Tribunales una noticia que da por válido lo que ya todos sabíamos: el Ministerio del Interior ha aceptado el fracaso del DNIe y amenaza con sacar un eDNI 3.0. Desde mi modesto punto de vista voy a tratar de explicar como usuario y desarrollador, las razones de este fracaso.

Uno de los proyectos que he desarrollado es un candidato ideal para el uso de un sistema de identificación y firma como el DNIe, pero ha sido totalmente inviable implementar este sistema hasta la fecha.

Antes de entrar en este caso, comentaré que como usuario del DNIe estaba razonablemente contento con las facilidades que aportaba la existencia de un DNI electrónico capaz de ahorrarme tiempo en multitud de trámites con la administración. A pesar de ello, he de reconocer que hacer funcionar el DNIe en Linux fue imposible, solo me funcionó en Windows con Internet Explorer. Y hablo en pasado porque una vez me caducó el certificado ya nunca volví a una comisaría a renovarlo.

Entiendo que instalar los drivers necesarios para hacer funcionar el DNIe para un usuario medio es una tarea muy compleja (en Linux imposible, yo mismo lo dejé por desesperante). Por tanto, el primer gran problema del DNIe es la dificultad de su uso. Y añadiría en esa dificultad de uso la estúpida necesidad de introducir el pin cada vez que metes el DNIe en la ranura del lector, aún cuando no vayas a firmar nada. ¿Si he metido el DNI no querrá decir que quiero compartir mis datos básicos?

Con ese problema resulto, estoy seguro de que el número de usuarios del DNIe sería mucho mayor y crecería conforme hubiera crecido la cultura informática de nuestra sociedad.

Sin embargo, volviendo a mi caso particular como desarrollador, hubo un momento en el que me interesé mucho por el DNIe y su uso para firmar documentos entre dos partes. Fue a causa de la petición de varios usuarios de mi aplicación para la gestión de clínicas podológicas, que me sugirieron que sería genial si pudiera eliminar la necesidad de guardar en papel los consentimientos para el tratamiento de datos requeridos por la LOPD. Para quien no lo conozca se trata simplemente de un documento (media cara de folio) que dice que Fulanito de Tal le permite al podólogo almacenar sus datos de salud en un fichero informatizado (la historia clínica, que según otra ley es obligatorio que todo profesional de la salud almacene; corolario: si alguna vez vas a un servicio privado de salud y no te piden que firmes un consentimiento de tratamiento de datos, estás incumpliendo la ley de una u otra forma).

El caso es que pensé que lo lógico y lo más útil sería que cada podólogo tuviera en su clínica un lector de DNIe y que el documento se firmara por las dos partes como cualquier documento en papel. La idea era que primero el podólogo metiera su DNI y luego el paciente hiciera lo mismo, dejando así el documento firmado en el servidor de mi empresa. ¿Sencillo no? Teóricamente sí, técnicamente no tanto, pero legalmente era imposible. Cuando llevaba un par de semanas metido en el desarrollo me di cuenta de un punto en la legislación de firma electrónica que dice que para que sea válida la firma utilizando cualquier método de firma debe existir un tercero de confianza que valide dicha operación. Y claro, mi propia empresa no podía ser el tercero de confianza ya que entre una de las partes (el podólogo) y nosotros había un contrato firmado. Así que solo me quedaba hacer una trampa legal que era crear otra empresa paralela que se convirtiera en autoridad certificadora o recurrir a una empresa ya existente que hiciera ese trabajo.

Empezó entonces el baile de números, con empresas que me pedían hasta 5 euros por documento. La más interesante nos ofrecía la posibilidad de utilizar “paquetes” de firmas que salían a unos 80 céntimos por firma (1’60 € por documento) que no es un precio “descabellado” si tienes que hacer pocas firmas. Sin embargo, muchos de nuestros clientes (y especialmente los que quieren utilizar un sistema de firma electrónica) pueden llegar a ver a 1000 pacientes nuevos cada año, lo cual implicaría cobrarles 1600 € extra cuando están pagando 200 € por el producto. Y eso sin contar que hay otros documentos que se deben firmar (consentimientos informados para diferentes tipos de intervención, por ejemplo). Es decir, que al final si implementaba un sistema de firma electrónica tenía que multiplicar por 10 el precio de mi producto.

Por tanto, el segundo gran problema del DNIe es legislativo: el estado debería proporcionar los servicios de tercero de confianza (y ya puestos debería de proporcionar diferentes APIs para implementar de forma sencilla el servicio en cualquier aplicación web o de escritorio).

Mientras que el primer gran problema del DNIe es una barrera de entrada para los usuarios, el segundo es más de fondo, es un problema que ha impedido la difusión del uso del dispositivo. De hecho, creo que el segundo problema es más grave dado que si muchas empresas hubieran empezado a implementar pasarelas de entrada y mecanismos de firmas basados en el DNIe, el uso del documento se hubiera popularizado muchísimo y poco a poco se hubieran ido puliendo los fallos del lado de los usuarios.

Esperemos que este nuevo eDNI 3.0 nazca para resolver estos fallos y no para crear nuevos como en demasiadas ocasiones nos acostumbran nuestros gobernantes.

Be Sociable, Share!

Tags: , , , ,
Posteado en Tecnologia | Comentarios (7)

7 Respuestas a “El fracaso del DNIe: mi caso particular”

  1. El fracaso del DNIe: mi caso particular dice:

    […] El fracaso del DNIe: mi caso particular […]

  2. pablo dice:

    En parte estoy bastante de acuerdo con tu entrada, al menos en la sentencia “el dni-e ha sido un fracaso”, estoy totalmente de acuerdo. Hay partes que me gustaría comentar y debatir contigo.

    Como persona relacionada con el tema de firma y con la informática he de decir que el principal problema que le veo es, primero sale en un momento en que no existe conciencia digital a la hora de firmar, estamos en un momento en el que la firma electrónica no sale de ciertos sectores empresariales, la gente de a pié no conoce lo que es la firma electrónica antes firma digital.

    Asumiendo que se promociona e implementa un sistema de firma electrónica basada en certificados electrónicos en la época que se hace, el problema que veo es que actualmente la Fábrica de Moneda y Timbre (FNMT) a través de CERES y otros grupos como el colegio de abogados, etc proporcionan certificados electrónicos gratuitos a cualquier persona física que lo quiera, certificados que no están asociadod a una tarjeta física obligatoriamente como si lo está el e-dni y que nos permite instalar, desinstalar, exportar, importar en tantos ordenadores como queramos dicho certificado, lo que nos otorga una gran movilidad. Movilidad que se incrementa por el hecho de no necesitar drivers especiales para su uso, ya que se integra en los navegadores (chrome, firefox, iexplorer,…) sin ningún problema pudiendose utilizar en distintos entornos y SOs.

    Yo teniendo ambos certificados diría que pocas son las veces que he usado el e-dni y múltiples son las veces que uso el de la FNMT tanto para mi vida personal como para mi vida laboral.

    Sobre el tema de pedir la contraseña o pin cada vez que se va a usar, yo personalmente lo veo necesario, es verdad que por ejemplo para certificados que no están almacenados en tarjetas criptográficas y que se instalan en los navegadores web queda a decisión del usuario el ser informado de que su certificado va a ser usado y el ser solicitado un pin o contraseña para acceder a su uso, pero debería ser obligador hacerlo. Hay que darse cuenta que el uso de la firma se asemeja a la firma manuscrita y la persona debe ser consciente y dar su atorización para firmar un documento. Si para firmar un papel tenemos que usar un boli y hacer el esfuerzo de firmar una hoja, ¿por qué para usar la firma electrónica no vamos a introducir un pin de 4 cifras?. ¿No lo hacemos con la tarjeta de crédito? personalmente prefiero que alguien me roben 400€ de mi cuenta utilizando mi tarjeta de crédito/débito que utilicen mi certificado para realizar una venta ilegal de un bien mio como puede ser mi casa por ejemplo. El destrozo es menor.

    Sobre el tema del tercero, está referido a la firma electrónica genérica o en general mejor dicho, obviamente hace falta un tercero en la relación, un tercero de confianza en el que el que recibe el documento firma confie y que le diga que la persona que ha firmado realmente ha firmado el documento. Si se hace uso de firma electrónica basada en certificados electrónicos reconocidos, como es el caso del e-dni, el tercero viene en el propio certificado, en el caso del e-dni el terncero es la DGP Dirección General de la Policía, y por tanto no tendrías que tener complicación alguna para usarlo. Un certificado electrónico es expedido por una Autoridad de Certificación (tercero de confianza) que dice que ese certificado que permite firmar en tu nombre pertenece a tí y para ello expide dicho certitificado firmando parte del mismo con su clave privada. El que recibe tu documento firmado con ese certificado expedido por la DGP confia en la DGP y sabe que matemáticamente la firma no ha sido violada y por tanto la persona que dice haber firmado el documento lo ha hecho. No existe problema de confianza utilizando certificado electrónicos reconocidos y no hay que complicarse la vida con los terceros de confianza. Deberías complicarte la vida si TU decides crearte tus propios certificados, o mejor dicho que un tercero en el que confiais ambas partes (el que firma y el que recibe lo firmado) genere tu certificado con el que firmas. Pero para eso existen como te he comentado las autoridades de certificación. La RCM-FNMT, la DGP, CamerFirma, Verisign,… son autoridades de confianza y en ellas confias cuando por ejemplo accedes a un web a través de https. Quién te dice que a través de https GMAIL es google y no alguien que trata de robar tu contraseña? pues la empresa que ha expedido el certificado de servidor a GMAIL, que podrá ser Verisign o similar, empresas de renombre y en las que la industria confia.

    Luego sobre el tema de firmar documentos, te recomiendo que eches un vistazo a la web https://valide.redsara.es/valide/ permite , además de comprobar la validez de documentos firmados electrónicamente con certificados admitidos por el MINETUR que son prácticamente todos los españoles y algún que otro extranjero, firmar documentos en distintos formatos.

    Los formatos es otro mundo XADES, PADES, CADES,.. atached, detached,… pero ya para otra ocasión.

    Un saludo.

  3. Ivan dice:

    Disculpa que haya tardado tanto en leer y responder…he estado un poco atareado estos días.

    Comprendo lo que comentas de los certificados “alternativos” al DNIe, pero el problema que le veo es el mismo que la ventaja que tu comentas: no están asociados a una persona en concreto. Eso hace que no se puedan usar para firmar que es la principal ventaja que yo le veo al DNIe para empresas como la mía dónde podría ayudar a eliminar el papel físico de las consultas médicas. Además tampoco le puedes pedir a la gente “normal” (me refiero a un anciano de 60 años que es el paciente tipo) que obtenga un certificado de la FNMT por ejemplo, mientras que un DNI es algo familiar para él y “meterlo en una maquinita” que lo lea también (por las tarjetas de crédito que se usan masivamente).

    El tema del PIN no me refería a la firma. Obviamente para firmar SÍ hace falta poner un pin. Me refería a que para leer los datos básicos de la tarjeta no debería hacer falta PIN (nombre, número de DNI, etc).

    Sobre lo que comentas del tercero de confianza, creo que uno de los dos está confundido. Hasta dónde yo sé, si una persona usa su DNIe para firmar algo de otra persona también identificada con su DNIe, debe existir una entidad que certifique que esa firma se ha producido en una fecha determinada y por las dos personas involucradas. ¿No es así? Si no es así, me estás abriendo todo un mundo de posibilidades para implementar la oficina paper-less que necesitan mis clientes, pero hasta ahora todos (incluidos los informáticos de la policia nacional) me han dicho lo contrario…

    Un saludo!

  4. pablo dice:

    Creo que en bastante parte de lo comentado estamos de acuerdo. Sobre los certificados alternativos, decir que todos los certificados electrónicos y por tanto la firma electrónica se basa en la confianza entre las dos partes, es decir en que uno sepa que el otro es quién es. Si las firmas las usamos entre tu y yo, y sabemos que el cert del otro es suyo, no importa que no exista un tercero de confianza que diga que efectivamente tu eres tu y yo soy yo. Pero claro si queremos que cualquier persona pueda comunicarse o enviar documentos electrónicos a personas que en prinicipio no conoce debe existir ese tercero.

    En certificados electrónicos si queremos que cualquier persona confie en la firma que recibe, hay que establecer una estructura de entidades de confianza, en los modelos iniciales o específicos para entornos pequeños, puede valer un modelo circular, donde yo digo que tu eres tu y como tu dices que otra persona es la otra persona que dice ser, pues confio en ella, porque confio en tí. Pero este modelo tiene difícil (imposible realmente) implementación cuando el numero de personas crece o no se conocen. Por ello se crean estructuras jerárquicas de autoridades de certificación que son los terceros que tu comentas. En estas estructuras hay dos tipos de autoridades: Autoridad de certificación, la que dice que fulanito firmo algo y la Autoridad de Registro que es la que físicamente da fé de que tu eres quien dices ser. Pongamos un ejemplo.

    Con la FNMT o con el eDNI que son muy claros. Cuando tu quieres sacarte un certificado electrónico, para realizar firmas electrónicas, identificarte en la web de tu banco, en la web de la seguridad social,… para el caso de la FNMT pides el certificado desde su web de CERES-FNMT y si quieres el eDNI pides cita para ir a la comisaría. En el caso de la FNMT tu metes tus datos, pero nada físicamente te impide poner por ejemplo en ese punto meter mis datos, es decir podrías solicitar tu mi certificado de la FNMT, digo solicitar. Porque es obligatorio que la Autoridad que te va a expedir el certificado, pueda saber que tu eres quién dices ser. En el caso del eDNI cuando vas a renovarte el eDNI tu te indentificas con el viejo, si quieres el de la FNMT, debes ir a una oficina de la seguridad social, algún registro ministerial, oficina de la AEAT,… que ejercen de Autoridades de Registro y lo que hacen es comprobar que tu eres la persona que has dicho que eras al pedir el certificado, presentando tu DNI fisicamente antes ellos. Es decir existe una comprobación física para generar tu certificado, de forma que su tu trataste de pedir mi certificado electrónico es decir pusiste mis datos en lapetición al ir a la Autoridad de Registro no vas a poder presentar mi DNI físico y no te van a generar MI certificado electrónico.

    Vale ya tenemos nuestro certificado y la autoridad que nos lo ha expedido ha cosntatado que somos quien decimos ser, es el primero paso para confiar en una firma digital. ¿Cuál es el segundo paso? cuando alguien recibe un documento con tu firma.

    Cuando yo recibo un documento con tu firma, lo que recibo es el documento, la firma del mismo y la parte pública de tu certificado, ¿qué es la firma? es un hash del documento calculado con una función tipo md5, sha2,… y cifrada con la parte privada de tu certificado (entiendo que los conceptos de criptografía asimétrica los manejas, si no, me lo dices y lo explico mejor), cuando a mi me llega el documento tuyo yo tengo que validar la firma, ¿cómo? fácil, primero obtengo el resumen de tu documento el hash. Luego cojo el hash que tu me pasaste inicialmente que está firmado y con tu parte pública de tu cert lo descifro, de forma que obtengo tu hash inicial y comparo ambos hash, cuando hago esto compruebo dos cosas, primero que nadie ha modificado el documento que a mi me ha llegado, es decir no hay man in the middle o similar y segundo que la parte pública del certificado que me has mandado se corresponde con tu persona, y por que lo sé? porque en tu certificado viene que una autoridad de certificación en la que yo confío que en nuestros ejemplos son la FNMT y la Dirección General de la Polícia han expedido tu certificado y para que yo lo pueda comprobar han firmado tu certificado con su clava privada, como la clava pública es pública siempre puedes comprobarlo. ESE ES EL TERCERO DE CONFIANZA. LA AUTORIDAD DE CERTIFICACIÓN.

    Solo te quedaría dos últimos pasos para validar 100% la firma, el primero sería comprobar que el certificado en el momento que compruebas la firma no ha expidardo y el segundo sería hacer una consulta a esa autoridad, ya sea mediante protocolo OCSP, o CRLS (listas de certificados revocados) para comprobar que el certificado no ha sido revocado, que es un certificado revocado es un certificado en el que el dueño ha solicitado a la autoridad de certificación que se lo expidió que revoque ese certificado porque o se lo han robado o ha perdido la password que utilizaba para usarlo,… vamos que cree haber comprometido la seguridad del mismso.

    Si quieres validar que una firma se ha producido en un momento determinado, efectivamente necesitas un sello de tiempo que diga que a tal hora, en tal día… se firmo el documento, para ello necesitas un tercero que meta el sello de tiempo en tu firma. Pero el sello de tiempo puedes meterlo en la firma en cualquier momento, es decir podrías firmar un día N, y meter el sello el día N+1, lo que dice el sello es que a día N+1 esa firma era válida.

    Sobre lo de pedir un pin para consultar los datos del certificado, hay que entender que estas accediendo a los datos de tu certificado y que para autenticarte en un portal web o similar, lo que realmente se hace es firmar un pequeño token, el eDNI tienen dos certificados dentro uno para autenticación y otro para firma, pero nada impide que el servidor del portal web al que accedes no firme un documento con tu certificado de autenticación en vez de firma, y por eso como es posible este caso se pide el pin para acceder a cualquiera de los dos certificados no solo al de firma, tb para el de autenticación.

    Me gustaría contarte más pero tengo que dejar esto por ahora, creo que tienes mi correo cualquier duda o discusión si quieres la podemos hacer por skype o correo, estaré encantado de charlar contigo de estos temas.

    un saludo.

  5. Ivan dice:

    Muchas gracias Pablo por la conversación. Me ha dado mucho que pensar. Efectivamente el tercero de confianza debería ser la Policia Nacional cuando utilizas el DNIe y no entiendo la razón por la que ellos me aseguraron que no (¿quizás por la firma de tiempo?). No lo sé, pero le voy a seguir dando vueltas a ver si definitivamente es posible implementar o no un sistema de firma de documentos electrónicos sin tener que dejar 1 € en cada firma.
    Un saludo!

  6. pablo dice:

    La única explicación que le veo es que pensaran que o te referías al sello de tiempo o que para empresas la validación del edni tenga coste y se tenga que hacer a través de empresas terceras que paguen un canon a la DGP. Pero vamos yo puedo mandarte ahora mismo un documento firmado por mi con coste cero para mi para generarlo y con coste cero para ti xa validarlo. Otra cosa es que quieras sello de tiempo. Ahi necesitas un equipo qie meta el sello de tiempo y claro para que sea legal tiene que ser una oficial como ppr ejemplo la del ROA Real Observatorio de la Armada que quien da la hora oficial en España.

    S2. Enviado desde móvil.

  7. pablo dice:

    Sobre lp de cobrar por validar certificados sería si acaso por que cobren por acceder a sus CRLs porque comprobar la firma te lo puedes montar tu y legalmente no hay que pagar a un tercero xa q una transacción firmada sea válida.

    Enviado desde móvil

Dejar un comentario