Preguntas y respuestas sobre PKI (Infraestructura de Clave Pública)
En las siguientes líneas os mostramos, a través de una serie de preguntas y respuestas, los aspectos fundamentales de la tecnología PKI, que permite a los usuarios, entre otros usos, autenticarse frente a otros usuarios y usar la información de los certificados de identidad para cifrar y descifrar mensajes, firmar digitalmente información, garantizar el no repudio de un envío.
¿En qué consiste una PKI?
Una PKI engloba todo aquello que permite la generación y el uso de certificados digitales basados en clave pública. La PKI abarca toda la infraestructura necesaria, desde el hardware y los sistemas informáticos hasta el material legal asociado (contratos, seguros, etc.), pasando por toda la definición de procedimientos, ciclos de vida y workflows que se utilizan.
¿Cómo funciona?
Cuando una persona solicita un certificado de una PKI se pone en marcha un proceso (que ha de estar perfectamente definido y documentado) que permita la generación de un certificado digital del tipo que sea. Generalmente la persona firma un contrato o se adhiere a unas condiciones generales de servicio que definen el uso y alcance del certificado que se le genera. A partir de ese momento comienza la gestión del ciclo de vida del certificado mientras éste mantenga su vigencia, que termina cuando se revoca o bien cuando caduca y no se procede a su renovación.
¿Qué se necesita para contar con una certificación PKI? (tanto a nivel de hardware, software como servicios). ¿Qué inversión requiere?
De entrada, como elementos básicos, se ha de contar con una infraestructura de hardware y software que permita la generación de certificados de clave pública del tipo que se desee. Además, hay que disponer de una documentación legal (habitualmente contratos de suscripción o acuerdos en materia de certificación) que limitan las responsabilidades y el uso que se le puede dar a los certificados. Asimismo, hay que contar con una serie de workflows bien definidos en los que se explique el ciclo de vida de los certificados y las posibilidades de uso. En cuanto a la inversión necesaria, ésta puede variar enormemente en función del tipo de certificados que se desea generar, el volumen de éstos, el alcance y la responsabilidad que se asume respecto al uso que se pueda hacer de los mismos. Los costes pueden variar desde unos pocos miles de euros hasta muchos cientos de miles.
¿En qué situaciones es aconsejado contar con una PKI?
Disponer de una PKI es útil cuando se desea prestar servicios de certificación o cuando interesa tener el control de los certificados que se van a utilizar, bien a nivel interno de la organización/entidad o bien de cara a utilizarlos con agentes externos.
¿El hecho de que muchas administraciones obliguen a tener una certificación de este tipo para poder operar con ellas es un impulso a estas tecnologías?
Sin duda el hecho de facilitar la relación con la administración pública, cuando el ciudadano dispone de un certificado, impulsará el uso y despliegue de esta herramienta que garantiza la identificación y firma del ciudadano frente a soluciones más convencionales pero que ofrecen menos garantías de autenticidad e integridad. Este tipo de herramientas permitirá, por ejemplo, la aparición de trámites telemáticos finalistas que hasta ahora no lo eran por la necesidad de identificarse ante un funcionario o de entregar un documento firmado.
El DNI Electrónico, ¿es un freno o un estímulo?
El DNI Electrónico es claramente un estímulo que permitirá alcanzar la ansiada masa crítica de certificados en nuestra sociedad de forma que la prestación de servicios asociados se haga atractiva para las empresas y entidades de ámbito público. No se puede considerar como un sustituto universal del resto de certificados ya que el ámbito de actuación del DNI Electrónico quedará seguramente relegado al uso personal y/o como herramienta de autenticación.
Al depender de una tercera parte (la autoridad de certificados), ¿existe algún riesgo inherente a la PKI?
Cuando se utilizan los servicios de una PKI pertenecientes a una entidad externa, hay que tener muy claro el alcance de los servicios ofrecidos y la responsabilidad de las partes (tanto del que ofrece el servicio como del que lo recibe, así como del usuario final, si es que se trata de un caso de intermediación). A la hora de utilizar un servicio de PKI externo, hay que adecuar las necesidades del usuario a las garantías que ofrece el prestador, que normalmente van relacionadas con el coste del servicio.
¿Se pueden revocar estos certificados? ¿Cómo y qué hacer ante estas situaciones?
La posibilidad de revocación así como los pasos a seguir es algo que ha de definir el gestor de la PKI. En el caso de los prestadores de servicios de certificación, es algo que están obligados a definir en las Políticas de Certificación y en las Declaraciones de Prácticas de Certificación, que han de poner siempre a disposición de los usuarios de sus certificados.
¿Qué mecanismos de repudio y no-repudio se utilizan?
El no repudio se refiere a la imposibilidad de eludir la responsabilidad en autoría de una acción o transacción. En sistemas basados en criptografía de clave pública, como en el caso de las PKIs, se puede garantizar la autoría de, por ejemplo, la firma electrónica de un documento, desde el punto de vista técnico por la imposibilidad de que nadie más tiene la clave privada con la que se genera la firma, y desde el punto de vista legal, porque la responsabilidad recae en el poseedor de las claves, siempre y cuando la PKI esté adecuadamente estructurada en este sentido.
Si la autoridad de registro (RA) y la autoridad de certificados (CA) están separadas, ¿qué vulnerabilidades potenciales presenta la conexión entre ellas?
En caso de tener RAs separadas de la CA, la conexión puede sufrir ataques por la implementación que se realice en la comunicación entre ambos elementos. Es necesario disponer de los mecanismos de cifrado y herramientas de conexión seguras que se adecuen a las necesidades del entorno y a la criticidad de la PKI.
¿Se asegura la singularidad de los titulares de los certificados? ¿Cómo?
En entornos de PKI que emitan certificados que cumplan con los requisitos fijados por la Ley de Firma Electrónica 59/2003 para firma electrónica avanzada o reconocida, se garantiza la autenticidad de la identidad. En otros casos de PKIs, depende de las limitaciones y el alcance que imponga el gestor de dicha PKI.
¿Qué vulnerabilidades potenciales podría tener la integración de la PKI con otros mecanismos de autenticación, como la firma única y RADIUS (Remote Authentication Dial-In User Service)?
Una implementación errónea o mal intencionada de un servicio de firma única o de RADIUS basada sobre una PKI débil podría suponer que la clave de acceso a un certificado quedase cacheada por el sistema y se rompiese por tanto la cadena de confianza que establece la PKI.
Compartir esta información:
