Introducción

La Ley #188 del 7 de agosto del 1998, conocida como Ley de Firmas Digitales de Puerto Rico, establece y otorga valor legal a la identificación mediante el uso de firmas digitales generadas a través de una Llave Par y manejada y autorizada por una Autoridad Certificadora (CA por sus siglas en ingles). Esta ley estable al Departamento de Estado como la agencia principal reguladora de las firmas digitales en Puerto Rico.

Es nuestro interés apoyar a la Comisión para la Implantación de la Ley de Firmas Digitales (COLFIDI) en la implantación del Sistema en el Departamento de Estado y en la creación de reglamentación y guías que regirán el uso adecuado del mismo.

Nuestra intención al crear este "White Paper" es establecer nuestra posición respecto al Proyecto, y en especial abordar y discutir sobre la preocupación de COLDIFI en salvaguardar los derechos individuales a la privacidad y al uso adecuado de la rúbrica digital.


Firma Digital (¿Qué es?)
· Medio de identificación
· Asegura la autenticidad del medio firmado
· Asegura la inalteración del medio firmado
· Medio no puede ser negado por el firmante
· Permite la privacidad en la transmisión de información


Sobre las Expectativas de Privacidad

La expectativa de privacidad en el uso de firmas digitales es cierta en el mismo grado que la expectativa de privacidad al utilizar una tarjeta de crédito, o el número de seguro social para obtención de crédito.

Aunque en la actualidad la obtención de una firma digital es completamente voluntaria, y esto podría dar la impresión de que es un medio privado y seguro, la imperativa del mercado podría dar pie a presiones para que se convierta en imperativo la obtención y uso de un medio de identificación personal, sea firmas digitales, sistemas biométricos, o como en la actualidad, el uso de tarjetas de crédito como identificación aun cuando no se esta realizando una transacción de compra-venta. Esto allana el camino para que la adquisición de la firma digital se convierta en necesidad y se convierta en una transacción no tan voluntaria.

El uso de firmas digitales trae por consecuencia la identificación, seguimiento efectivo y a alta velocidad de las personas envueltas en transacciones a través del Internet. Y aunque en precepto, esto no es negativo, el uso de esta información por personas inescrupulosas podría dar pie a la pérdida de la privacidad. Pero no por esto debemos dejar a un lado el uso de firmas digitales. 

Actualmente, es posible obtener la historia completa de un individuo basada en documentos de acceso público (Número de Seguro Social, Licencia de Conducir, permisos de utilerías públicas, etc.). Esto no a evitado el ejercicio saludable del comercio en el mundo. Con las firmas digitales se establece un medio mas de identificación que se adapta a las necesidades modernas de comercio y transacción en el mercado mundial a través del Internet.


Sobre Firmas Digitales y Seguridad

Generación de Llaves Par
El punto que define la seguridad y confiabilidad de una firma digital estriba en el proceso de generación de la Llave Par (Public key / Private key). En la medida que la Llave Privada esté segura, la firma digital es confiable.

Uno de los puntos técnicos de mayor controversia es precisamente como generar la Llave Par. Por un lado, se establece que, si el CA genera la Llave Par para el cliente, se está comprometiendo la seguridad de la Llave Privada. Sin embargo, la generación de la Llave Par por parte del cliente requiere que la llave se adhiera a las especificaciones del CA sobre las características de la misma. 

Otro punto relevante es que actualmente el conocimiento necesario para el proceso de generación y manejo adecuado no es de uso común. La utilización de mecanismos de almacenaje (eg. "Smart Cards") limita en gran medida la posibilidad o capacidad del público común en generar las llaves necesarias.

El concepto de "trust" o confianza mutua está implícito en todo el proceso, sin importar el medio por el cual se genere la Llave Par. Por un lado, el cliente debe confiar que su Llave Privada se mantiene privada y segura. Por otro, el CA o Entidad Certificadora debe confiar que la llave cumple con los requisitos establecidos, que la llave pertenece y corresponde al cliente; y que la seguridad de la Llave Privada no a sido comprometida. 

Es por esta razón, que se deben establecer mecanismos adecuados para la generación y manejo de la Llave Par que vayan de acuerdo a las expectativas, tanto del cliente como de la Entidad Certificadora. Estos mecanismos deben estar adecuadamente documentados en la reglamentación y en la Declaración de Prácticas de Certificación (Certification Practice Statement o CPS).

Una posibilidad es la creación de programas especializados en la generación de llaves, que puedan ser distribuidos para permitir el control de la generación y el manejo de la Llave Par por parte del cliente. De esta manera, el cliente puede confiar en la privacidad y seguridad de su llave, y el CA confía que la llave cumple con los requisitos establecidos. 


Garantías de Seguridad

La seguridad criptográfica de una Llave Par esta implícita en ella misma. De hecho, una Llave Par es de naturaleza criptográfica. Asegurarla por medios criptográficos adicionales sería redundante y contraproducente. 

Existen medios mecánicos para asegurar la Llave, por ejemplo, el almacenamiento en disco removible, en tarjetas magnéticas (Tarjetas de crédito o de ATM), o en "microchips" encontrados en tarjetas inteligentes ("Smart Cards") u otros medios (iButtons).

El uso de "Key Escrow" o lacrado de llaves, es de mayor utilidad para las agencias concernidas con el orden público y la seguridad nacional. Por este medio, se almacena una copia de la Llave Privada en un sistema de terceros para la recuperación en caso de pérdida o inaccesibilidad de la Llave Privada original. El uso de "escrows" podría traer serias preocupaciones al público concernientes de violaciones a los derechos civiles. Sin embargo, es nuestra percepción personal que esto en particular es materia legislativa o de jurisprudencia.

Una alternativa al sistema de lacrado es el llamado "Key Split" o división de la llave en dos (2) o más partes para ser almacenados en distintas entidades. Esto evita que un individuo o entidad tenga acceso a la Llave Privada por sí mismo, teniendo que las Entidades de Almacenaje estar en acuerdo mutuo ("collusion") para generar y autenticar la llave, dando la seguridad al cliente de su privacidad, sin sacrificar la posible necesidad de agencias de orden público o de seguridad nacional de obtener la Llave Privada como parte de investigaciones criminales o para uso de evidencia procesal. Este es otro punto delicado, materia de legislación y jurisprudencia.

Acceso a Llaves privadas

Como mencionamos en la sección anterior, queda implícita la necesidad de agencias de orden público y seguridad nacional del acceso y obtención de la Llave Privada de aquellos individuos bajo investigación criminal. Es nuestra percepción que solo un tribunal podría, o debería, autorizar el uso u obtención de una Llave Privada.

Contrario al documento distribuido por COLFIDI, el primero de noviembre de 1999, la Llave Privada sí provee acceso al contenido de los mensajes. Por el contrario, es la Llave Pública la que se utiliza para identificar positivamente la procedencia del documento firmado, sin permitir el acceso a modificación del mismo. Solo la Llave Privada puede revelar el contenido de un mensaje secreto codificado con la Llave Pública.

Requisitos de Identificación para la Certificación de una Firma Digital

Es indispensable, para la confianza en la firma digital y en el proceso completo, la imposición de mecanismos adecuados para la identificación positiva de aquellos individuos o entidades que solicitan un Certificado de Firma Digital. Esto es, en gran medida, análogo a los requerimientos para la obtención, por ejemplo, de un pasaporte, licencia de conducir, o tarjeta de crédito.

El registro de la Llave Pública es indispensable para el funcionamiento adecuado del Sistema. Es, de hecho, la función principal de la entidad o autoridad certificadora (CA).

Revocación de Certificados y Registro de Certificados Revocados (CRL)
El uso y establecimiento de un Registro de Certificados Revocados (conocido como CRL por sus siglas en inglés) es una necesidad indispensable para el funcionamiento adecuado de un CA.

Sin éste, sería imposible determinar la validez de un Certificado. Este registro mantiene una lista de aquellos certificados que fueron revocados o inutilizados por razones de vigencia, pérdida de la Llave Privada, determinación de fraude en la obtención de la firma o sencillamente que el Certificado está comprometido y perdió su confiabilidad. Podríamos decir que el CRL es un mal necesario.

Para evitar el uso inadecuado del CRL, recomendamos que el registro sea manejado por el CA y no por terceros. No podemos ver al CRL como de naturaleza negativa. De hecho, su función principal es proteger al cliente del uso no autorizado o fraudulento de su firma digital, y al CA del uso adecuado de las firmas en conformidad con su reglamento y normas de uso.

Por otro lado, no es necesario que el CRL exponga públicamente la manera en que el certificado está siendo utilizado ni la identidad de las entidades que verifican la autenticidad del mismo. De hecho, ni si quiera es necesario que el CRL lleve un registro de uso. La actividad principal del CRL es proveer la información de vigencia de los certificados, cualquier otro uso es completamente opcional.

Almacenamiento y Resguardo de la Llave

La Llave Privada es un objeto complejo, imposible de almacenar en un medio que no sea mecánico.

Como ya discutimos, existen varias alternativas para el almacenamiento adecuado de la Llave Privada.

El más común, aunque de poca utilidad o flexibilidad, es el almacenamiento de la Llave Privada en el disco duro de la máquina principal del cliente. Obviamente, ésto evita el uso de la firma fuera del entorno del escritorio del individuo.

Otra alternativa que podemos mencionar es el almacenamiento en disco removible, el cual permite o facilita flexibilidad de uso, pero presenta otros riesgos por la naturaleza finita del medio.

Es de acuerdo entre los expertos, que el medio más adecuado para el almacenamiento de la Llave Privada es el uso de "firmware" o medios permanentes. Su utilización mas común es en los llamados "Smart Cards" aunque existen infinidad de medios que utilizan el "firmware" almacenado en "microchips".

La ventaja del "Smart Card" es que puede manejarse de la misma manera en que se trabaja con una tarjeta de crédito. Obviamente, es más fácil perder o comprometer un "Smart Card" que un disco duro, pero sus ventajas sobrepasan en gran medida sus desventajas.

En realidad, la manera en que el cliente almacene su Llave Privada es completamente transparente al funcionamiento del CA.

Las técnicas biométricas de identificación se utilizan como complemento al Certificado y no como sustituto. Basado en medidas y características específicas del individuo (huellas dactilares, huellas palmares, patrones de vasos sanguíneos en la retina), la técnica biométrica es un medio efectivo para diferenciar e identificar positivamente a una persona en particular. Su utilización principal es en substitución o complemento de una clave secreta o número de identificación personal ("PIN Number"). Su uso está consecuente de preocupación por parte del público por posibles violaciones a los derechos civiles ya que es necesario un repositorio o banco de datos con las características específicas utilizadas en la identificación biométrica. No tenemos conocimiento de legislación específica respecto a su uso, pero percibimos que en su momento se creará jurisprudencia en cuanto a su utilización adecuada, salvaguardando los derechos constitucionales individuales.


Conclusión

No es ignorado por nadie que el uso de Firmas Digitales se convertirá en la norma y no en la excepción. Es un gran acierto, en beneficio del pueblo, que el Gobierno de Puerto Rico se preocupe y legisle sobre su uso. Adelantándose a su tiempo, comprobamos que Puerto Rico se mantiene a la vanguardia de los adelantos modernos y que su gobierno se preocupa por el uso adecuado de la tecnología y la protección de los derechos adquiridos por la Constitución del Estado.

Es importante que antes de implantar un Sistema, se identifiquen las posibles consecuencias de su uso, y se tomen medidas que anteceden a su uso inadecuado. Este foro permite precisamente la discusión franca y abierta sobre las consecuencias y alternativas disponibles, y en especial, permite la exposición de las ventajas que cada entidad puede aportar.

Es importante señalar que para el uso adecuado y consistente de un Sistema de Firmas Digitales, es necesario la creación de reglamentos y guías de uso que se adapten a la realidad de Puerto Rico y en especial, a los individuos.

Un Sistema como éste combina de manera bien particular especializaciones técnicas de informática y de ley. Al mismo tiempo, la organización y manejo de un Proyecto tan sensitivo como éste conlleva la asignación de Gerentes de Proyectos en las áreas de Técnicas y de Usuarios. Por estas razones, es imperativo que el Equipo de Trabajo que maneje el Proyecto cuente con recursos expertos en las áreas Técnica, Legal, y Manejo de Proyectos.

Es imprescindible que los tres (3) Equipos de Trabajo funcionen en sincronización y balance perfecto para el éxito en la implantación de Firmas Digitales en Puerto Rico.

Las Firmas Digitales es un asunto sensible que debe, y requiere, manejarse de la manera más delicada posible, haciendo hincapié en los detalles y consecuencias legales.