Firma Digital

En los últimos meses, me ha tocado enfrentarme a varios proyectos que usan firma digital en diversas formas.

Primero fueron web services cuya invocación y respuesta debía ser firmada digitalmente utilizando certificados X.509 en el lado del cliente y del servidor. Esto lo programamos con Windows Cominucation Fundation que viene con el .NET Framework 3.5 y lo integramos a Genexus a traves de web services.

Despues aparecio otro proyecto para enviar y recibir Certificados de Origen, en formato digital, que son archivos XML que vienen firmados por exportadores y entidades emisoras de certificados. La diferencia con el anterior, era que si bien las firmas vienen en un XML la misma no tiene formato SOAP y hay que programar bastante para poder firmar y verificar que la firma es valida.

El tercer proyecto es de sustituir documentos que hoy se emiten en papel (Certificados de Importación de Automotores, que son necesarios para anotar el auto/moto/camion en los registros oficiales), por documentos electrónicos. En este caso, deben ser documentos que puedan ser verificados por todas las oficinas encargadas de empadronamiento en el Uruguay y deberían poder ser verificados por personas. Para este caso usamos PDF firmados digitalmente por una aplicación, con certificados X.509 y se redactará un instructivo para que sepan distinguir cuando un certificado es válido o no.

Que tienen de comun estos proyectos?

Ademas del uso de firma digital y certificados X.509, estos proyectos tienen en comun que chocan contra una realidad dificil de cambiar, como son los temas legales y de confianza.

Abogados, jueces y demas participantes de los tramites a veces se encuentran reacios a aceptar los nuevos tramites. Si bien todos coinciden que la firma escrita (a mano, normal) puede ser falsificada, existen los mecanismos de control ya establecidos para su detección y castigo.

No está tan claro cuales son los problemas que van a empezar a aparecer con la firma digital y menos como se iran solucionando.

Hoy los jueces llaman a perítos calígrafos cuando tienen dudas sobre si una firma es real y no es claro quien va a controlar cuando tengamos los primeros problemas con certificados con firmas que no puedan ser verificadas o que sean firmadas, cuando el certificado fue revocado por algun motivo.

En el año 2000, participe en un proyecto para agregar firma digital a un intercambio entre organismos estatales, y el mismo fracasó cuando el mismo llego a los abogados que no lograron ponerse de acuerdo en lo que se necesitaba para que dicho tramite tuviera validez legal.

Desde esa fecha a ahora, han habido muchisimos cambios en el campo técnico. Antes programabamos en C++ y con la CryptoAPI, que era bastante primitivo. Ahora las herramientas han mejorado notoriamente, pues hay programas de mayor nivel de abstraccion para el manejo de certificados y la generacion /verificacion de la firma.

En donde no se ve mucho avance, es en la creación de la infraestructura necesaria para que este tipo de proyectos sean viables. Estamos en un circulo vicioso, donde no se pueden poner en practica procedimientos porque es difícil que la gente tenga certificados digitales para firmar, y por otro lado, las entidades certificadoras (por ejemplo, El Correo) no se desarrollan y no mejoran sus procedimientos porque emiten muy pocos certificados.

Este gobierno puso en sus objetivos el promover la firma digital, pero siempre estamos a la espera la próxima ley en donde se van a solucionar los problemas que tuvo la ley anterior.

Creo que la legislación actual es suficientemente buena como para permitir avanzar mas rápido.

Como informáticos, podemos colaborar para bajar la burocracia y acelerar tramites para lograr ser un poco mas competitivos.