Archivo de la categoría: Firma Electrónica

Digitalización Certificada


En el borrador de la normativa que la AEAT está preparando para aclarar conceptos relativos a la Facturación Telemática, aparece un concepto nuevo que tiene cierto parecido con la Compulsa Electrónica.

Cabe la posibilidad de digitalizar facturas en papel y otros documentos de interés tributario, siempre que los dispositivos que permiten la digitalización incluyan en el proceso una firma electrónica avanzada.

Tanto los fabricantes de estos aparatos como las empresas que los usan, deben auditar respectivamente su funcionamiento y la metodología de digitalización.

Nuestra empresa está ya ofreciendo servicios de auditoría de lo que posiblemente se denominará «digitalización certificada» para empresas desarrolladoras de software de digitalización, de forma que se puedan cumplir los requisitos de la norma, una vez que se publique en el BOE.

Ya tengo mi DNI electrónico


Hay que reconocer que la infraestructura desplegada por la DGP es impresionante. Y todo para conseguir que el ciudadano pueda llevarse el DNI «puesto» en una sola visita.

Ciertamente la apariencia de los equipos es un tanto «industrial». Claramente no son equipos de gran tirada ni destinados al consumo.

Pero todo parece diseñado para tranquilizar a los más paranoicos: las claves públicas y privadas que gestiona el DNI-e las genera el propio chip (lo que ralentiza un poco el proceso, dado el tamaño de las claves).

Se escanean las huellas dactilares de los 2 dedos índices de ambas manos, se incorpora la firma manuscrita y la foto, que se almacena en color aunque se imprima en blanco y negro.

El sistema genera una clave para teclear, con la que se protegen las dos claves privadas que se entrega al ciudadano en el mismo acto, impresa en un sobre opaco mediante una impresora de impacto. Además, en las propias instalaciones de la policía un kiosko de autoservicio permite comprobar los datos que figuran en el DNI y cambiar la clave. Incluso si no se recuerda la clave anterior, permite la identificación mediante una de las huellas dactilares.

Los funcionarios que atienden los puestos actuan con aplomo, como si el procedimiento de generación del DNI electrónico estuviera tan trillado como se supone que a día de hoy es el procedimiento de obtención del DNI convencional (en pocos meses, ESTE DNI será el CONVENCIONAL).

En fin: la impresión que he obtenido es muy satisfactoria. Creo que los especialistas de la Policía y de las empresas contratadas han hecho un buen trabajo.

Entrevista a Mark Shuttleworth


A raiz de la publicación en el periodico La Razón de una entrevista con Mark Shuttleworth presidente de Canonical Ltda, empresa impulsora de la variante de Linux UBUNTU se ha empezado a prestar atención a este emprendedor que, en la actualidad es uno de los principales iconos del impulso al Linux, junto con el propio Linus Torvals. En la lista de iconos, no debería dejar de mencionarse a pioneros como Andrew S. Tannenbaum , Richard Stallmann, Phil Zimmermann, Donald Knuth, Bob Scheifler o Eric Raymond.

La entrevista, transcrita a continuación, interesa en este blog por referirse a la primera persona del mundo (y hasta donde yo se, la única) que se ha hecho millonaria en el mundo de la Certificación Digital.

En 2002 Mark Shuttleworth invirtió parte de los 560 millones de euros que obtuvo por la venta de su empresa Thawte a Verisign (en el artículo original no se mencionan las compañías) en convertirse en el segundo «turista espacial» de la historia y el primer africano en el espacio.

Mark Shuttleworth en el espacio

El 25 de abril de 2002, la nave Soyuz TM-34 despegó del cosmódromo de Baikonur hacia la Estación Espacial Internacional con una tripulación formada por tres personas: el piloto-cosmonauta ruso Yuri Gidzenko como comandante de la misión, el cosmonauta-investigador italiano Roberto Vittori y el cosmonauta-ingeniero sudafricano Mark Shuttleworth.

Mark Shuttleworth pionero de la Certificación Digital, fundó Thawte en 1995 y la posicionó como una autoridad de certificación «barata» que consiguió arrebatar una sustanciosa cuota de mercado a Verisign. Cuando Verisign la compró, la mantuvo en marcha prácticamente en las mismas condiciones y con la misma estrategia, de forma que en la actualidad es una «segunda marca» de Verisign, contra la que sigue compitiendo con dureza. Esta estrategia ha funcionado en otros sectores y parece que en el de la certificación digital contribuye a mantener el liderazgo absoluto a nivel mundial de Verisign.

Ahora está «de moda» porque parece asumir el rol del lider rico del lado del Linux frente al líder rico del lado del Windows. Y puede parecer un buen combate de consumo frente a Bill Gates.

Por cierto, no es este un buen momento para buscarle enfrentamientos a Bill Gates que ha anunciado su retirada del primer plano tecnológico para dedicarse a su Fundación y a las actividades filantrópicas.

Y otro «por cierto»: también Mark impulsa una serie de proyectos con fines filantrópicos a través de su Fundación Shuttleworth

En el supuesto enfrentamiento Linux(Ubuntu)-Windows, un usuario habitual de los productos de Microsoft apenas notaría la diferencia al utilizar Ubuntu, ya que ha imitado el esquema de menús y ventanas de Windows. Así, la única diferencia sustancial entre ambos productos está en el precio: Ubuntu es completamente gratuito, lo que ha animado a más de siete millones de personas a descargárselo de Internet desde su lanzamiento hace un par de años.

Ubuntu, una ancestral palabra africana que significa «hermandad», permite «domesticar» este complejo software y transformarlo en aplicaciones al alcance de todos los públicos.

– ¿Cómo me convencería para que diera el salto de Microsoft a Ubuntu? pregunta el periodista.

– Hace mucho tiempo que dejé de dar argumentos a la gente: sé que nuestro producto es mejor y que la gente acabará dándose cuenta. Mi trabajo, mientras, es asegurarme de que Ubuntu esté en plena forma cuando ocurra.

– ¿Pero cuáles son sus ventajas?

– Que es un entorno informático completo y gratuito. Windows incluye un sistema operativo, un navegador de Internet y poco más, así que tienes que comprar por separado otros programas.

Nosotros proporcionamos muchísimas aplicaciones de manera gratuita y, además, hay miles más que se pueden descargar en cuestión de segundos. Como ventaja adicional, diría que los ordenadores que emplean Ubuntu apenas sufren virus ni ataques externos, por lo que resultan mucho más seguros y fiables.

– Pero sus críticos dicen que el manejo de Ubuntu es complicado…

– No necesariamente. Es cierto que nuestro usuario-tipo es alguien de un nivel avanzado que quiere un producto completamente adaptado a sus necesidades. Pero cada vez más personas quieren tener un paquete de programas completo, sin virus, ni actualizaciones, ni otro tipo de problemas. Por ejemplo, muchos jóvenes eligen Ubuntu para sus abuelos cuando estos les piden un ordenador fácil de utilizar.

– Sin embargo, la mayoría de consumidores está entre ambos extremos…

– Sí, por eso estamos atacando el mercado desde ambos flancos. Creo que tardaremos unos cinco años en consolidarnos entre los usuarios más convencionales. Eso nos permitirá eliminar otro gran problema: que muchos aparatos, como cámaras digitales o impresoras, no son compatibles con los ordenadores Ubuntu. Sin embargo, cuando seamos muchos millones de usuarios, todos los fabricantes querrán que sus productos sean compatibles con nuestro sistema.

– ¿Cómo un producto gratuito puede ser mejor que uno de pago?

– Es porque están acostumbrados al modelo antiguo, en el que una empresa desarrollaba un programa y lo vendía como un producto más. Sin embargo, el software libre optimiza este proceso sustancialmente, puesto que permite que cualquier persona descargue un programa, lo mejore a su gusto y lo redistribuya. Las grandes empresas comerciales no pueden igualar la flexibilidad y creatividad de miles y miles de programadores extremadamente inteligentes que colaboran en red de manera voluntaria y desinteresada.

– ¿Cuál es su labor en este proceso?

– Aprovechar el potencial de este trabajo colectivo y ofrecérselo al público en un paquete coherente, rápido y agradable de utilizar. Yo me limito a poner orden en la operación y oriento la nave en una determinada dirección, pero no determino el destino final.

– ¿Qué saca de este trabajo? Porque su producto es gratuito y, sin embargo, usted gasta en su empresa un par de millones de dólares anuales y paga el sueldo a 50 empleados.

– No aspiro a ganar dinero con esta idea, pero sí quiero que se financie por sí misma. Estimo que uno de cada mil usuarios querrá disfrutar de nuestros servicios de consultoría, reparaciones, servicio técnico… El año pasado facturamos unos 200.000 dólares por este concepto y, según aumente el número de usuarios, incrementaremos estas cifras.

– Pero para lograr ese objetivo deberá acabar con el dominio de Bill Gates, que acapara más del 90 por ciento del mercado.

– Microsoft es un elefante al que no puedes tragarte de un bocado, sino que hay que derrotarle mordisquito a mordisquito. De momento, Linux está creciendo entre un siete y un diez por ciento al mes, lo que significa que el número de usuarios se duplica cada ocho o nueve meses. Si seguimos a este ritmo, en tres o cuatro años seremos una fuerza significativa.

– ¿Por qué esta obsesión con Microsoft?

– No es mi propósito: lo que quiero es que se adapten al mundo actual, en el que el software libre es la forma más eficaz de progresar.

– ¿Pero considera que el dominio de Bill Gates es positivo para el mundo?

– Ahora ya no, pero en los ochenta su papel fue muy positivo, porque Windows permitió que millones de personas se atrevieran a utilizar un ordenador. Pero su modelo de gran empresa que paga a ingenieros para que produzcan programas de pago ha quedado obsoleto. En la era de Internet, la manera más eficiente de producir software es conectar electrónicamente a los mejores cerebros del mundo, estén en China, Argentina o España.

– Así que considera que el dominio de Gates es una rémora…

– Sí, Microsoft está bloqueando el progreso de la informática. No hay más que comparar su navegador Explorer con su equivalente gratuito, Firefox, que se ha hecho con el 15 por ciento del mercado en apenas dos años. Este último introdujo avances que Microsoft está empezando a copiar ahora. Y lo mismo pasa con los nuevos «chips» que pondrá a la venta Intel, el principal fabricante de procesadores: mientras que el software libre aprovechará todo su potencial desde el principio, Microsoft no lo hará hasta 2010. Esto perjudica a los usuarios.

– Entonces, está prediciendo el final del «imperio Windows», ¿no?

– Creo que su futuro es muy, muy negro. Puede que Microsoft sobreviva, pero si de- saparece, no es mi problema. Lo que no quiero es que el cliente medio utilice Windows porque no le queda otro remedio. Pero no pretendo dominar el mundo informático con Ubuntu ni obtener enormes beneficios: no me interesa sufrir ese estrés.

– Pero si mantiene sus actuales niveles de crecimiento, llegaríamos a una nueva situación de monopolio virtual, esta vez con Linux y Ubuntu a la cabeza.

– Es cierto que la naturaleza del mercado de sistemas operativos tiende al monopolio, porque la gente tiende a utilizar el más extendido para evitarse problemas de compatibilidad. Pero lo bueno del software gratuito es que incentiva la competencia entre las distintas aplicaciones, ya sean procesadores de texto o reproductores de música. Siempre hay varios programas que compiten entre sí, aunque su base sea similar.

– Su vena filantrópica sorprende un poco. Cuando viajó al espacio, muchos le describieron como un millonario caprichoso que no sabía cómo gastar su dinero.

– Admito que soy contradictorio. Mi viaje al espacio fue una manera de evitar el bajón de llegar a la cumbre cuando sólo tienes 26 años y has vendido tu empresa por una millonada. Todo el mundo esperaba que repitiera la jugada, pero decidí hacer algo completamente distinto. Me preocupaba competir conmigo mismo, así que me hice astronauta: ¿cómo puedes comparar una compañía informática con un viaje al espacio? Es imposible, por eso hice lo que hice.

– ¿Qué experiencia ha disfrutado más?

– Es muy diferente. Ir al espacio fue un gran reto: tuve que vivir en Rusia durante un año, estudiar ingeniería y ciencia, aprender ruso… Ahora también estoy aprendiendo muchas cosas, como software, gestión… Lo que me gusta es que mucha gente depende de mí: si mis programas funcionan bien hago que millones de personas se sientan un poco más felices. Es una sensación alucinante.

– Suena un poco mesiánico.

– Lo sé, pero soy consciente de que estoy en una posición única: tengo el tiempo, el dinero y los conocimientos para sacar adelante este proyecto. Muy poca gente cumple estos tres requisitos, sería imposible ir a un comité de inversores y venderles esta idea, porque las perspectivas de beneficio son lejanas, si es que existen en realidad. Yo soy joven, ingenuo y estoy forrado, así que me siento obligado a cumplir esta misión.

Hasta aquí la entrevista.

Creo que es de agradecer que La Razón se haya fijado en el personaje, y supongo que razones de espacio, la espada de Damocles del periodista ha impedido sacar más partido a la entrevista.

Porque a mí me parece muy superficial y llena de tópicos, y con cientos de candidatos para hablar de Linux contra Windows.

Pero muy pocos candidatos a los que se les pueda preguntar acerca de cómo se metió en lo de la Certificación, cómo es que le ofrecieron comprar su empresa, cómo se negocia una venta de la empresa, cómo se prepara un astronauta, qué sensaciones se tienen en el espacio, qué retos tiene una empresa sudafricana en un entorno globalizado, que necesidades ve en su pais y como cree que puede ayudarlo a través de su fundación. En fin, que una pena…

 

 

Contratación Electrónica y Arbitraje


Una de las iniciativas más interesantes que se están poniendo en marcha respecto a la contratación electrónica y la posibilidad de resolver controversias por via arbitral es Tractis. Detrás está la empresa Negonations impulsada con gran impulso emprendedor por David Blanco y con el respaldo de un selecto número de colaboradores dotados de una gran capacidad tecnológica.

Uno se siente orgulloso de que desde España se acometan proyectos de este tipo, que miran sin complejos a lo que es está desarrollando entre lo más avanzado del nuevo paradigma de la Maraña Mundial (World Wide Web).

El proyecto tendrá que lidiar con las diferencias legales y referenciales de paises disímiles, como los continentales o los anglosajones, con la cultura latina y la de la CommonWealth, con el derecho romano y la Common Law. Sin mencionar otras influencias como las del derecho árabe o del confuciano.

Y donde no lleguen las Comisiones Rogatorias y el alcance de los Tratados, puede llegar el consenso y el arbitraje.

La iniciativa es muy seria, con estudios legales y técnicos de cierta profundidad y con un planteamiento de negocio realista.

Una de las iniciativas que han iniciado ha sido la de recopilar en un Wiki la situación actual de la certificación digital y del arbitraje en España. Animo a todos los que se dedican a este negocio a que accedan y completen los datos que faltan.

Firma electrónica en el teléfono móvil celular con Movistar


Algo después del verano de 2005 acabamos en Albalia Interactiva el sistema de firma electrónica en teléfonos móviles celulares que estuvimos desarrollando con Movistar.

Hago esta mención porque estos días se ha publicado que Vodafone ha logrado llevar a cabo la firma electrónica desde el móvil y parece que han sido los primeros en lograrlo.

No le quiero quitar mérito al asunto, porque ya he comprobado en mis carnes las dificultades de un proyecto de este tipo.

Pero creo que conviene poner en perspectiva el anuncio, respecto a la capacidad de innovación de cada operador, y a lo qué puede significar la innovación en un proceso que debería acabar con un producto en manos del público.

Hasta donde llegan mis noticias, el primer proyecto de firma electrónica desde el móvil se llevó a cabo en el año 2001, y lo acometió Safelayer en colaboración con Amena, entidad que participaba en su capital. En ese caso se trataba de firmar formularios a través de páginas WAP, en las que se disponía del protocolo WTLS y la posibilidad de tener certificados electrónicos (y sus claves privadas asociadas) en la tarjeta SIM del teléfono móvil. Uno de los retos del proyecto era la adaptación de una pasarela para que las firmas generadas en el lado WAP pudieran ser utilizadas en el lado HTML.

El proyecto de Albalia con Telefónica Móviles España (Movistar) pretendía firmar en un teléfono móvil mediante una tarjeta criptográfica que contuviera las claves y los certificados. La idea era que se pudiera utilizar con el DNI electrónico, aunque en aquel momento tuvimos que contentarnos con trabajar con prototipos del DNI-e.

El primer reto lo tuvimos cuando lo intentamos con teléfonos Java genéricos. En principio, todos los teléfonos celulares de última generación soportan java, sea cual sea el sistema operativo, pero las cosas no son tan fáciles. Para llevar a cabo la firma nos convenía que el teléfono implementara las funciones de MIDP 2 y eso limitaba mucho los teléfonos adecuados. A continuación necesitábamos teléfonos con la opción de incorporar un dispositivo lector de tarjeta chip (la famosa chipetera).

Un dato curioso es que los teléfonos móviles ya llevan un lector de tarjeta chip en su interior, puesto que lo necesitan para acceder a la SIM. Sin embargo, muy pocos incorporan un lector de tarjeta chip accesible desde el exterior. Los pocos modelos existentes, son unidades obsoletas de Motorola y Siemens que incorporaron lectores de tarjetas chip en proyectos desarrollados en torno al año 2000 cuando especificaciones como EMV y SET permitían vaticinar la adopción del teléfono móvil como sistema de pago asociado a una tarjeta bancaria.

La posibilidad de usar lectores externos de tarjeta chip redujo mucho el abanico de teléfonos móviles adecuados, y nos obligó a centrarnos en teléfonos móviles operados con sistemas operativos derivados de Windows CE. De hecho el ordenador de mano HP Jornada 720 (con la variante de sistema operativo Handhel PC2000) ya incluia lector de tarjeta chip, lo que parecía bastante prometedor.

La mala noticia es que, aunque según la información técnica de Microsoft existen lectores de tarjeta chip para Windows CE o Pocket PC, los modelos referenciados operan a través de RS-232 (lo que delata la antiguedad de la valoración), interfaz que la mayor parte de los modelos actuales no incorporan.

Camisa para TSM-500Necesitábamos un lector de tarjeta chip que se pudiera acoplar a un teléfono TSM-500 (equivalente al XDA II, al iMate Pocket PC o al Qtek 2020), o bien por la conexión del Craddle (la cuna de sincronización, existente en prácticamente todas las PDA y agendas con software Windows Pocket PC), o bien por la conexión SDIO (destinada originalmente para tarjetas de ampliación de memoria). Además el lector debería tener drivers PC/SC para Windows CE (en las versiones de base del sistema operativo 3.0, 4.2 o 5.0) o sus evoluciones como Windows Mobile (2002, 2003 y 2005), Windows Pocket PC o Windows Smartphone. Esto era imprescindible para poder utilizarlo dentro de las posibilidades que nos proporciona la Cripto API en Windows CE (que alcanzarían el máximo si pudiéramos contar con los drivers CSP, también para Windows CE de la tarjeta inteligente).

Después de mucho buscar, sólo encontramos un modelo que era fantásico desde el punto de vista de prestaciones y de factor de forma, porque encajaba perfectamente en la conexión de Craddle de la TSM-500, pero que en ese momento no tenía driver PC/SC. Contactamos con el Proveedor australiano, y mantenemos la puerta abierta para utilizarlo en futuros proyectos.

Sin embargo, esa linea de trabajo quedó en suspenso mientras aparecían los dichos drivers.

A través de C3PO encontramos un lector de tarjeta inteligente PCMCIA (el modelo 4040) con drivers PC/SC para Windows CE. La colaboración de C3PO con Albalia (o particularmente, la de Jorge Gómez, su Director General, conmigo) siempre ha sido muy buena y en este proyecto fue muy importante.

La buena noticia es que pudimos avanzar bastante en el desarrollo, aunque (la mala noticia) tuvimos que utilizar un entorno diferente al definitivo: la tarjeta PCMCIA 4040 se insertaba en un adaptador PCMCIA a CompactFlash (allí comprobamos que ambas conexiones son eléctricamente equivalentes aunque el factor de forma es distinto) y este en una PDA con conexión Compact Flash. Todavía no teníamos un lector SDIO pero ya podíamos empezar a entablar diálogo con la tarjeta chip del prototipo de DNI electrónico.

En esta fase del proyecto tuvimos que firmar un Acuerdo de Confidencialidad muy riguroso con la FNMT para acceder a la información de la tarjeta, y en particular sus comandos de bajo nivel APDU.

De esta forma podíamos pedirle a tarjeta que firmara un Hash con la clave privada y leer del directorio apropiado de la tarjeta el certificado asociado. Fue una proceso complejo buceando en una maraña de información y con el objetivo de generar un PKCS#7 en el entorno de la PDA.

Normalmente, generar un PKCS#7 no es un problema, porque es relativamente sencillo generarlo programando mediante la Cripto API. El problema es que no teníamos el CSP de la tarjeta criptográfica para Windows CE, y, por tanto las funciones de programación de Windows ignoraban la existencia de la tarjeta. Además las funciones de la Cripto API no permiten un uso «a trozos» de las operaciones atómicas de la firma. Así que, además, teníamos que acometer por nuestra cuenta el reto de generar un PKCS#7 bien formado. Otra vez vuelta a estudiar las especificaciones ASN.1 de la norma y a interpretar las Basic Encoding Rules (BER) para poder generar nuestro propio PKCS#7. Y esto tras intentar primero extraer la función correspondiente de librerías como OPENSSL y otras. Lo cierto es que en todas las librerías en las que están disponibles los fuentes, las generación del PKCS#7 está absolutamente enmarañada con otras cosas, y no era práctico ni extraer lo básico, ni moverlo todo a Windows CE. Demasiadas dependencias.

Smartcard SDIO ReaderAl final lo logramos. Generamos nuestra propia interficie con la tarjeta chip, con nuestra propias funciones y librerías, lo que nos permite implementar tanto un driver CSP como PKCS#11 para el DNI electrónico en Windows CE.

Ya solo nos faltaba el dispositivo lector.

Tras mucho investigar, encontramos un lector de tarjetas inteligentes con interfaz SDIO, desarrollado originalmente para el Departamento de Defensa norteamericano.

Disponía de drivers PC/SC, por lo que pudimos adaptar todos los desarrollos que habíamos hecho para la PCMCIA con cierta facilidad.

Cuando hicimos la entrega del proyecto, nos atrevimos con algo a lo que nos debería haber disuadido nuestro profundo conocimiento de las Leyes de Murphy. Instalamos nuestri entorno en un teléfono nuevo que Movistar lanzaba por esas fechas: el Qtek S100. No lo habíamos probado. Simplemente los especialistas en firma electrónica en móvil de Telefónica Móviles tenían un equipo por allí y nos animamos a intentarlo el mismo día de la entrega. ¡Funcionó!

Instalamos los drivers en el S100, insertamos el conector del lector de tarjeta chip en la ranura SDIO del móvil, instalamos nuestra aplicación en el móvil, insertamos la tarjeta con un certificado autogenerado y otra con un certificado generado por un PSC (todavía no teníamos DNIs electrónicos auténticos) elegimos un fichero existente en el móvil y Voilá. Nos pedía el PIN y generaba el PKCS#7 que podíamos leer después en un ordenador con Windows.

Fue un proyecto largo y duro, pero del que nos sentimos muy orgullosos.

Por cierto, hasta donde yo sé, somos los únicos que tenemos este know-how, por lo que aquellos interesados en desarrollar aplicaciones para el DNI electrónico en dispositivos móviles, teléfonos y PDAs basados en Windows CE, deberían contactar con nosotros.

Por lo menos para adquirir la chipetera SDIO ya que nos hemos hecho distribuidores de estos dispositivos.

Por concluir, hay que reconocer que Amena fue el primer operador móvil en disponer de firma en teléfonos móviles WAP, Movistar el siguiente, pero esta vez con capacidad de firmar con tarjetas externas, como es el caso del DNI electrónico, y Vodafone el último operador en disponer de esta tecnología (y además en la opción «fácil» de instalar el certificado en la SIM).

Victor Canivell al frente de WISeKey ELA


Víctor Canivell, ex-Presidente de Safelayer.com, estará al frente de WISeKey ELA, una joint venture de WISeKey y el Grupo Velasco radicada en Bilbao .

Victor CanivellMe alegro que Víctor siga en nuestro sector. Lo conozco desde la época de Silicon Graphics (con una máquina SGI puse en marcha en 1995 los primeros servicios bancarios de España en Banesto, con el primer servidor seguro y el primer entorno de autor de páginas web). Y tuve muy buena relación con él en su etapa de Safelayer. Creo que es un acierto que lo haya fichado esta multinacional de la certificación electrónica.

WISeKey ELA ha nombrado Presidente a Víctor Canivell. Víctor Canivell llega a WISeKey ELA con un bagaje de más de 25 años de experiencia en el área de gestión de los sectores de informática y redes. Ha desempeñado diversos puestos de vicepresidente para la zona EMEA, tanto en el área de ventas como de servicios, en empresas como Hewlett Packard, 3Com, Silicon Graphics, Cray Research y en start-ups como Aspective. Recientemente ha desempeñado el puesto de Presidente de Safelayer, la start-up española pionera en el campo de la firma digital. Llega ahora de SSA Global, donde ha contribuido al éxito de la OPV en NASDAQ de la empresa.

«Ahora que entramos en la siguiente fase de crecimiento, que incluye el establecimiento de un ecosistema ID para los mercados de habla española y portuguesa, Víctor Canivell aporta a WISeKey ELA la competencia, los conocimientos y la experiencia necesaria para liderar a la empresa en un mercado que se expande tan rápidamente como es el de la gestión de ID», declara Carlos Moreira, Cofundador y Presidente de WISeKey .

WISeKey ELA, la recientemente fundada empresa de tecnología de seguridad informática con sede central en Bilbao, distribuirá en España y América Latina productos manufacturados en Ginebra por WISeKey SA, estableciendo la presencia de WISEkey en estos mercados por medio de una red de filiales. WISeKey ELA ha crecido sobre los sólidos y reputados fundamentos tecnológicos de WISEkey, respondiendo a un significativo nicho de mercado en materia de ID y PKI.

«La dilatada experiencia de Víctor Canivell y su fidedigno historial al frente de otras empresas lo convierten en la elección natural para ocupar el puesto de Presidente de WISeKey ELA», afirma Pedro Luis Velasco Ibáñez, Presidente del Grupo Velasco. «Su diversificada competencia en desarrollo de software, PKI, gestión de ID y mercados IT coincide exactamente con la línea de negocio de WISeKey . Estoy convencido de que conducirá a la empresa hacia éxitos todavía mayores».

«Encaro con entusiasmo mi incorporación al equipo de WISeKey ELA y la posibilidad de trabajar sobre el impulso hacia adelante que ha cobrado la empresa gracias a su probada capacidad a la hora de posibilitar la implementación distribuida de aplicaciones de gestión ID y PKI por Internet, aspectos cruciales donde los haya», afirma Víctor Canivell. «Sabiendo como sé que WISeKey ELA duplicará el éxito de WISeKey en el mercado español y latinoamericano, estoy impaciente por ayudar a la empresa a llegar a un espectro todavía más amplio de clientes».

Ejecutivo veterano con muchos años de experiencia en la gestión de empresas de tecnologías de la información, Víctor ha vivido y desarrollado su carrera profesional en diferentes puntos geográficos, con estancias de varios años en Londres, Cupertino (EE.UU.), Ginebra, Stuttgart, Madrid y Barcelona. Habla varios idiomas con fluidez, recuerdo de su paso por el barcelonés Colegio Suizo. Víctor posee un MBA del ESADE (Barcelona) y es doctor en Física por la Universidad de Barcelona. Ha cursado estudios de gestión empresarial en el INSEAD y el IESE.

Los proveedores de organismos públicos deberán facturar telemáticamente


Aunque era un rumor que circulaba estos meses, especialmente tras plantearse la transposición al ordenamiento jurídico español de las Directivas sobre contratación pública del año 2004, hoy hemos tenido la confirmación por boca de D. Francisco Ros, Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información . 

Noticia 5 dias

La noticia adjunta ha sido obtenida del periódico económico Cinco Días de 14 de junio de 2006, aunque ha tenido eco en casi toda la prensa.

Entre los medios internet, pueden mencionarse:

http://derecho.vlex.com/actualidad/doc_313191,c_01,00.html

http://www.netydea.com/nweb/web-v2/spinformacion/index_informacion.asp?idinformacion=14689

http://www.abc.es/20060614/tecnologia-tecnologia/factura-electronica-sera-obligatoria_200606140328.html

http://www.laflecha.net/canales/e-administracion/noticias/200606141/

http://www.elmundo.es/navegante/2006/06/14/empresas/1150273622.html

http://www.consumer.es/web/es/tecnologia/2006/06/14/152972.php

http://www.finanzas.com/id.9082295/noticias/noticia.htm

http://www.plus.es/codigo/noticias/ficha_noticia.asp?id=550773

http://www.20minutos.es/noticia/130866/0/factura/electronica/telecomunicaciones/ 

El algoritmo de hash del DNI electrónico


Estos días he leido muchas tonterías (a mí me lo parecen) sobre si el SHA-1 es malo y lo único bueno es el SHA-256 y sobre lo que esto implica en el nuevo DNI electrónico.

Lo cierto es que desde hace unos pocos años, algunas personas afirman de oidas que se ha roto el MD-5 o el SHA-1.

Lo que ha sucedido es que se ha demostrado que la probabilidad de encontrar dos documentos distintos con el mismo hash, siendo muy pequeña, es menos pequeña de lo que se sospechaba cuando se diseñó el algoritmo.

Con esto en mente, podemos afirmar que no es cierto que unos algoritmos de hash sean buenos y otros malos, así sin más.

En todo caso, no hay algoritmos buenos, sino más o menos vulnerables a determinados tipos de ataque.

Y, desde luego, la mejor opción es utilizar 2 algoritmos de hash simultáneamente.

Lo que esto quiere decir es que si, sumando casualidades, somos capaces de generar un documento que tiene una información que nos interesa y con el que queremos sustituir a otro para el que se ha calculado el Hash, habremos conseguido que el hash firmado para el documento sustituido ampare al documento con el que lo sustituimos.

En general, en documentos estructurados esto es imposible incluso con mecanismos de hash "·malos" porque es importante preservar la legibilidad y consistencia del documento. No es lo mismo con ficheros gráficos o con ficheros que tengan áras de "pad" (de manipulación) porque es posible manipular esas áreas o los bits menos significativos del gráfico hasta que el fichero entre por el aro (lo que tampoco es nada fácil).

De todas formas, cuando existen dos algoritmos de hash simultáneos, lo que podamos hacer para "arreglar" el fichero de cara a un Hash, nos lo "descojona" de cara al otro.

En definitiva, el certificado incluido en el DNI electrónico es lo suficientemente seguro ya que el hash generado con SHA-1 implica que no es posible generar otro certificado con el mismo aspecto y cambiando algunos datos según nos interese. Pero ya es la releche al volver a firmar por la CA el SHA-256 del mismo contenido. Aunque no podamos utilizarlo ni con Internet Explorer, ni con Opera, ni con Firefox. Es, desde luego, INFALSIFICABLE.

Otro aspecto distinto es la manera en la que firmemos nosotros nuestros documentos con el DNI electrónico. Ahí sí que podemos hacer lo que queramos. Por ejemplo, desarrollar por nuestra cuenta un programa de software que utilice formatos no estándar al cifrar y al descifrar (firmar y comprobar la firma), y que emplee MD-4, MD-5, SHA-1 y SHA-256 simultánemaente.

A ver si vamos a ser muy paranóicos con las gilipoyeces y luego no comprobamos si el certificado está revocado o no.

Conclusiones del III Foro de las Evidencias Electrónicas


El Foro de las Evidencias Electrónicas surgió hace más de dos años con el objetivo de generar seguridad jurídica en el ámbito de las transacciones electrónicas, el intercambio de documentos y la creación y comercialización de contenidos que se generan diariamente en la Sociedad de la Información. Desde entonces, sus miembros han mantenido una comunicación permanente y numerosos debates a través de un foro electrónico, así como reuniones presenciales que han contado con la participación de expertos de reconocido prestigio en nuevas tecnologías y seguridad jurídica.

Conclusiones1- Es necesario seguir trabajando en la implementación del DNI electrónico, ya que se ha revelado como una herramienta fundamental y eficaz para generar seguridad en la red.

“Actualmente no existe seguridad jurídica en Internet y esta situación afecta cada vez a más personas. El DNI electrónico es una herramienta muy eficaz para garantizarla. En nuestro país, está cobrando una mayor relevancia (actualmente existe 5.000 documentos electrónicos en circulación), pero todavía es necesario un fuerte impulso por parte de todos”.

2- Es importante que todos apoyemos la lucha contra la vulneración de los Derechos de Propiedad Intelectual. Mañana nos puede afectar a nosotros.

“La ciberdelincuencia es un fenómeno cada vez más inquietante. El grado de tolerancia que existe hoy en día en la sociedad sobre algunas formas de ciberdelincuencia, como la descarga de música y vídeo por Internet, es prácticamente absoluto. Es necesario que la sociedad asuma nuevas responsabilidades y ofrezca una respuesta moral y ética a este problema”

3- A pesar de lo mucho que hay que hacer es indiscutible el avance tecnológico, legal y cultural que ha experimentado nuestro país. 

“Es incuestionable que en los últimos años, España ha realizado importantes avances tecnológicos. Sin embargo, si nos comparamos con otros países de la Unión Europea y, sobre todo, con EE.UU. todavía queda mucho por hacer.  Existe un déficit tecnológico que necesita de un esfuerzo titánico por parte de todos. Si no, corremos el riesgo de que España se quede en un país de segunda y tercera fila”

4- Publicaciones como la ‘Guía para tu seguridad en Internet’, elaborada por el Foro de las Evidencias Electrónicas, contribuyen a paliar los riesgos presentes en la red. 

"Esta guía está editada en forma de díptico y tiene un carácter muy divulgativo, siendo una iniciativa novedosa su publicación en España. Incluye recomendaciones y consejos de fácil aplicación y gran utilidad para garantizar la seguridad de los usuarios en Internet que hoy en día superan en nuestro país casi los catorce millones de personas".

Seminario sobre Documento Electrónico y Factura Electrónica en Toledo


Los pasados 18 y 19 de mayo de 2006 participé, junto con Fernando Pino en un evento organizado por Maat en la Caja Rural de Toledo, del que transcribo el resumen.

DÍA 18 DE MAYO
La primera jornada del seminario Documento Electrónico y Factura Electrónica se centró en el Documento Electrónico. Julián Inza, experto en certificación digital, Presidente de Albalia Interactiva y exdirector General de Camerfirma y colaborador habitual de maat Gknowledge, y Fernando Pino, experto en Legislación sobre certificación digital, durante el Seminario expusieron los puntos básicos de los documentos electrónicos y su equiparación con los de papel, haciendo especial hincapié en el DNI electrónico.

Julián Inza, experto en certificación digital, fue el encargado de inaugurar la primera sesión del Seminario, explicando la importancia que supone modificar los soportes ante el ritmo imparable de las nuevas tecnologías. A continuación, Fernando Pino expuso los aspectos prácticos de la Firma Electrónica. En este sentido, incidió en los diferentes tipos de firmas existentes, haciendo un análisis de la criptografía asimétrica, técnica en la que esté basada la Firma Electrónica.

DSC_0005Durante su alocución, Fernando Pino también se refirió a la función que cumplen las Entidades de Certificación y a otras funciones asociadas que también les son asignadas, como reglamento, gestión de certificados revocados, lista de certificados expedidos…

Asimismo, detalló cuáles son las partes que componen un certificado digital. Éste tendría que estar formado por el nombre, una clave pública que viene determinada por la Entidad de Certificación, un periodo de validez del certificado, su número de serie, otros atributos de interés y el nombre de la entidad de certificación y su firma. Fernando Pino resaltó que este sistema está fundamentado en una base matemática, igual que la criptografía que se basa en una serie de operaciones que hace que determinadas claves tengan unas características diferentes de otras.

El experto de Firma Electrónica también hizo hincapié en las funciones de seguridad que desempeña la utilización de la firma electrónica, obtenida mediante algoritmos de HASH. Para concluir, Fernando Pino, tras la explicación conceptual, argumentó con ejemplos concretos la aplicación práctica de los mismos e hizo mención a la normativa vigente relativa a los certificados digitales y a los correspondientes prestadores españoles.

Por su parte, Julián Inza se refirió a la realidad que ya supone el DNI electrónico y la necesidad que conlleva su utilización por los ciudadanos como representación de su personalidad jurídica. Tras hacer un breve repaso a la historia del DNI electrónico, señaló que no se trata de un problema de productividad de este documento, sino de cambiar la infraestructura y la educación en España.

DSC_0009El chip que se incorporará en el DNI electrónico contendrá la siguiente información: datos de filiación del titular, imagen digitalizada de la fotografía, imagen digitalizada de la firma manuscrita, plantilla de la impresión digital del dedo índice de la mano derecha, o en su caso, del que corresponda según lo indicado en el artículo 5.3 del Real Decreto 1553/2005, certificados reconocidos de autentificación y firma, y certificado electrónico de la autoridad emisora, que contendrán sus respectivos periodos de validez y las claves privadas pertinentes. En este mismo Real Decreto se alude a la protección de los datos del titular del documento.

Para este experto, uno de los mayores handicaps es que los ciudadanos no van a saber cuáles son las verdaderas utilidades del DNI electrónico, ya que su acceso a la información de este documento es más sencilla. En este sentido, señaló que está previsto que todos los españoles dispongan del DNI electrónico en 2018, debido al proceso espiral que está siguiendo la Administración Pública a la hora de implantarlo. La primera ciudad en disfrutar de él ha sido Burgos, donde las expediciones de DNI se han duplicado, y el proceso finalizará en Madrid y Barcelona, debido a su complejidad burocrática y logística.

Por otro lado, según Julián Inza, es necesario trasladar algunos aspectos del documento papel al electrónico, de manera que queden garantizados ciertos puntos, como la titularidad, la autenticidad, el conocimiento por parte de los interesados, las atribuciones de quien lo expide, los efectos que produce y un marco temporal que estipule tanto la expedición como la validez. Todo ello es posible gracias a las especiales características de los documentos electrónicos (referencias de URL, criptografía, anotaciones en registro de anotaciones)

El paso del soporte papel a electrónico se realiza como compulsa electrónica, en la que el documento electrónico es una copia auténtica, o como replicación electrónico o digitalización certificada, donde partiendo del documento en papel se trata de hacer uno electrónico que permita eliminar el primero. De esta última forma se podrían eliminar toneladas de papeles y facturas.

DÍA 19 DE MAYO
Esta segunda jornada del Seminario versó sobre la regulación normativa de la facturación electrónica en España y en las oportunidades de esta nueva herramienta para todas las empresas.

La segunda jornada del Seminario Documento Electrónico y Factura Electrónica se inició con una explicación, realizada por Julián Inza, sobre la Facturación, como justificante de las operaciones que se realizan. Durante su exposición, el experto en certificación digital, indicó que aunque su formato habitual es el de papel, cada vez más se está utilizando el formato electrónico. Sin embargo, su aceptación total vendrá determinada por el receptor de la misma.

Julián Inza realizó un breve repaso de la normativa sobre facturación destacando la Directiva 115/2001, por la que a partir del 1 de enero de 2004 todas las facturas electrónicas emitidas debían estar armonizadas con el resto de Europa. Esta Directiva establece unos requisitos mínimos que los países no pueden exceder. En esta misma Directiva, se señala, según expuso Julián Inza, que las facturas electrónicas irán con una firma electrónica avanzada, pudiendo ser exigible la cualificada. Por ello, es aconsejable que se incluya directamente la cualificada, como se exige en España, para evitar posibles devoluciones.

En el ámbito empresarial, todos los empresarios y profesionales están obligados a expedir facturas electrónicas, cuando el destinatario sea otro que así lo solicite y cuando el importe sea superior a 3.000 euros. Sin embargo, están exentas de expedición de factura electrónica las operaciones autorizadas por el Departamento de Gestión AEAT, cuando el destinatario sea un particular o en regímenes especiales.

En el caso de delegación a la hora de expedir una factura electrónica, ésta se realiza de igual manera que una factura en papel. Sin embargo, una que de las condiciones que existen es que haya un acuerdo firmado entre la parte que emite y la que recibe la factura para que esto se realice así.

A lo largo del seminario, se hizo un repaso a todos los requisitos que tiene que cumplir una factura, tanto electrónica como papel. En esencia, se trata de que lleven el número y la serie, -pudiendo darse la situación de que haya series separadas (operaciones de diferente naturaleza)-, fecha de expedición, la denominación social completa aunque algunas aplicaciones informáticas no permiten demasiados caracteres-, el NIF, el domicilio societario -no el del centro de trabajo-, la descripción de las operaciones, el tipo o tipos impositivos aplicables, la cuota tributaria y los pagos anticipados, si los hubiera. Además de todos estos datos, también se hará constar si se trata de una copia, de operaciones triangulares

Durante su alocución, Julián Inza también explicó la existencia de documentos sustitutivos, válidos para operaciones inferiores a 3.000 euros. Estos documentos, al no incluir todos los requisitos de las facturas, no tienen derecho a deducción. En este caso, el emisor sólo podía emitir una factura electrónica, si así lo aceptaba el receptor. Sin embargo, ahora bastará con que el emisor diga que si no está de acuerdo con la recepción de facturas electrónicas, lo diga.

En su intervención, Julián Inza hizo referencia a las facturas recapitulativas y rectificativas. Respecto a las primeras, son aquellas que se expiden a final de mes dando fe de las emitidas electrónicamente. En cuanto a las segundas, es preciso señalar cuál es la rectificación, aunque también puede realizarse en la siguiente factura que se emita. Este tipo de facturas han venido a sustituir a las antiguas notas de abono.

Además señaló cuáles son los requisitos que acreditan la autenticidad e integridad de una factura electrónica: la existencia de una firma electrónica avanzada, el intercambio electrónico de datos (EDI) o cualquiera de los elementos propuestos por interesados y autorizados por la AEAT.

Tras la explicación conceptual de la factura electrónica, Julián Inza mostró un ejemplo práctico de la misma. Posteriormente incidió en las ventajas que supone el empleo de este proyecto para las empresas del municipio. En este sentido señaló: los menores costes derivados del ahorro de papel, gastos de envío y gastos de almacenamiento, la agilidad en la tramitación, el ahorro en espacio, un procedimiento más seguro, el ahorro en la recepción de facturas, y la mejora en el control de los procedimientos de las facturas.

Para evidenciar estas ventajas, Julián Inza, presentó un cálculo orientativo de costes del proyecto de lo que supone el envío por correo ordinario frente al empleo de la factura electrónica. En su opinión, es fundamental analizar todos los pasos que influyen en el proceso para poder extraer una conclusión. Un análisis pormenorizado de distintos conceptos para poder establecer un coste total.

Una vez explicadas estas consideraciones, Julián Inza destacó los objetivos del proyecto de facturación, basados en la búsqueda de reducción de costes directos a través de la eliminación de impresión, gestión manual de la factura y correos, y las fases que lo integran. A continuación expuso los distintos formatos que pueden emplearse: tanto los recomendados como los existentes, así como las ventajas que aportan cada uno de ellos.

La fase final del Seminario se dedicó a la exposición de las obligaciones del Emisor, al proceso de Remisión, a las obligaciones del Receptor, como parte determinante del proceso, y a los pasos a seguir en la Recepción.

El Emisor tiene la responsabilidad de conservar los datos de la factura, la responsabilidad de asegurar la legibilidad en formato original, la garantía de acceso a las facturas y, en caso de la factura electrónica, la firma o la delegación en un tercero de esta acción o en el Receptor. Por su parte, al Receptor le corresponde conservar las facturas recibidas en su formato original, opcionalmente puede conservar la factura impresa con marcas gráficas PDF-417, asegurar la legibilidad en formato original, garantizar el acceso completo a las facturas y la disposición del software, que permita verificar la firma y la identidad el Emisor así como la vigencia del certificado.

Julián Inza concluyó el Seminario con un breve resumen de los conceptos tratados durante esta segunda Jornada del que pueden extraerse las siguientes conclusiones:

  • La normativa de factura electrónica tiene alcance europeo.
  • Cualquier formato de factura es válido, aunque cada uno implica su propio formato de firma.
  • Formatos recomendados: PDF (tagged form), XML (UBL 2.0), EDIFACT, UNeDocs.
  • Otros formatos posibles: PKCS#7 y firma de mensajes de Correo (S/MIME).
  • La firma de Ficheros PDF es fácil de entender y permite conversión a XML.
  • La firma de Ficheros EDIFACT y XML es más adecuada para sistemas automatizados.

    Links de interés:
    www.albalia.com