Protección de claves criptográficas de sedes electrónicas

Hasta la promulgación de la Ley de Acceso Electrónico a los Servicios Públicos (LAESCP, Ley 11/2007), podemos considerar que no existía una normativa de carácter general sobre cómo proteger las claves criptográficas asociadas a los certificados digitales utilizados como identificación de las sedes electrónicas de los órganos y organismos públicos. Hablando con propiedad, ni tan siquiera podemos decir que existiera sede electrónica, ya que tal concepto no había sido establecido, sino sitios Internet establecidos por los órganos u organismos. En la mayoría de los casos, y salvo que utilizarán algún tipo de servicio digital que requiriese el uso de firma electrónica por parte del ciudadano, ni tan siquiera hacían uso de certificados digitales como medio de identificación.

La LAECSP, establece, en primer lugar, el concepto de sede electrónica

Artículo 10. La sede electrónica.

1. La sede electrónica es aquella dirección electrónica disponible para los ciudadanos a través de redes de telecomunicaciones cuya titularidad, gestión y administración corresponde a una Administración Pública, órgano o entidad administrativa en el ejercicio de sus competencias.

2. El establecimiento de una sede electrónica conlleva la responsabilidad del titular respecto de la integridad, veracidad y actualización de la información y los servicios a los que pueda accederse a través de la misma.

3. Cada Administración Pública determinará las condiciones e instrumentos de creación de las sedes electrónicas, con sujeción a los principios de publicidad oficial, responsabilidad, calidad, seguridad, disponibilidad, accesibilidad, neutralidad e interoperabilidad. En todo caso deberá garantizarse la identificación del titular de la sede, así como los medios disponibles para la formulación de sugerencias y quejas.

4. Las sedes electrónicas dispondrán de sistemas que permitan el establecimiento de comunicaciones seguras siempre que sean necesarias.

5. La publicación en las sedes electrónicas de informaciones, servicios y transacciones respetará los principios de accesibilidad y usabilidad de acuerdo con las normas establecidas al respecto, estándares abiertos y, en su caso, aquellos otros que sean de uso generalizado por los ciudadanos.

Para después pasar a establecer como estas han de identificarse

Artículo 17. Identificación de las sedes electrónicas.

Las sedes electrónicas utilizarán, para identificarse y garantizar una comunicación segura con las mismas, sistemas de firma electrónica basados en certificados de dispositivo seguro o medio equivalente.

De estos dos artículos, podemos deducir que no existe sede electrónica no identificada por un certificado. Además, parecería implicar que las claves criptográficas asociadas a los certificados de las sedes electrónicas han de estar protegidas dentro de un dispositivo seguro de creación de firma (DSCF). Para encontrar una definición de este elemento, acudimos a la Directiva 1999/93 que establece un marco comunitario para la firma electrónica. Esta Directiva establece para estos elementos que pueden ser elementos hardware o software que cumplan los siguientes requisitos

ANEXO III
Requisitos de los dispositivos seguros de creación de firma electrónica
1. Los dispositivos seguros de creación de firma garantizarán como mínimo, por medios técnicos y de procedimiento adecuados, que:
a) los datos utilizados para la generación de firma sólo pueden producirse una vez en la  práctica y se garantiza razonablemente su secreto;
b) existe la seguridad razonable de que los datos utilizados para la generación de firma no pueden ser hallados por deducción y la firma está protegida contra la falsificación mediante la tecnología existente en la actualidad;
c) los datos utilizados para la generación de firma pueden ser protegidos de forma fiable por el firmante legítimo contra su utilización por otros.
2. Los dispositivos seguros de creación de firma no alterarán los datos que deben  firmarse ni impedirán que dichos datos se muestren al firmante antes del proceso de firma.

Generalmente, se ha considerado que en un elemento puramente software es difícil dar cumplimiento a estas condiciones, por que los DSCF han sido considerados única y exclusivamente, de carácter hardware. En el caso de servidores de información, los DSCF de los que hacen uso se denominan Hardware Security Module (HSM). Consecuentemente, se derivaría de la LAECSP que tan sólo un HSM parecería estar llamado a ser los elementos dónde se alberguen las claves criptográficas asociadas a los certificados de las sedes electrónicas.

Sin embargo, es otra la interpretación hacía dónde parece encaminarse el borrador del reglamento que desarrolla el "Esquema de Identificación y Firma Electrónica", cuyos trabajos pueden seguirse a través del Centro de Transferencia de Tecnologías de la Administración General del Estado. De un lado, y al igual que para los restantes certificados que las AAPP pueden usar para identificarse, establece que los certificados de sedes electrónicas pueden ser de dos tipos, con y sin equivalencia con firma reconocida. Ello, de acuerdo a la legislación de firma electrónica, abre la vía a que existan certificados de sede electrónica sobre DSCF y sobre un dispositivo no segruro de creación de firma, en aparente contradicción con la LAECSP. Es decir, puede haber certificados de sede electrónica soportados y no soportados sobre HSM.

El valor y uso de dichos certificados, no es sin embargo el mismo. Los certificados basados en HSM podrán ser usados para cualquier servicio digital implantado en una sede electrónica. Los restantes certificados, sólo podrán ser usados en aquellos casos que una infracción de seguridad sólo tenga como consecuencia pérdidas economicas o de imagen no significativas.