Conceptes bàsics

• Seguretat

  La seguretat és un dels conceptes clau als quals l'Administració, en el terreny de les Tecnologies de la Informació i les Comunicacions (TIC), ha de prestar la màxima atenció.

  L'Administració ha d'estendre les garanties jurídiques que ofereix als ciutadans i empreses a les gestions que es realitzen de forma electrònica.

  Els documents que es generen electrònicament porten associats tres conceptes que cal salvaguardar i que són: la confidencialitat, la integritat i l'autenticitat.

  • La confidencialitat fa referència a la capacitat de mantenir un document electrònic inaccessible a tots, excepte a una llista determinada de persones.
  • La integritat garanteix que el document rebut coincideix amb el document emès sense cap possibilitat de canvi.
  • L'autenticitat fa referència a la capacitat de determinar si una llista determinada de persones ha establert el seu reconeixement i/o compromís sobre el contingut del document electrònic. El problema de l'autenticitat en un document tradicional se soluciona mitjançant la signatura autògrafa. Mitjançant la seva signatura autògrafa, un individu, o diversos, manifesten la seva voluntat de reconèixer el contingut d'un document i, si és el cas, de complir amb els compromisos que el document estableixi envers l'individu.

  Aquests problemes, confidencialitat, integritat i autenticitat (els processos definits de signatura i xifrat) es resolen mitjançant la tecnologia anomenada criptografia. La criptografia és una branca de les matemàtiques que, en l'aplicar-se a missatges digitals, proporciona les eines idònies per solucionar els problemes abans esmentats. Al problema de la confidencialitat se'l relaciona comunament amb tècniques anomenades de xifrat i als problemes de la integritat i l'autenticitat amb tècniques anomenades de signatura digital, encara que tots dos en realitat es redueixen a procediments criptogràfics de xifrat i desxifrat.

• Què és criptografia asimètrica?

  La criptografia asimètrica és el mètode criptogràfic que utilitza un parell de claus complementàries, la pública i la privada, per xifrar documents o missatges. El que està codificat amb una clau privada necessita la seva clau pública corresponent per ser descodificat. I viceversa, allò codificat amb una clau pública només pot ser descodificat amb la seva clau privada. La clau privada ha de ser coneguda únicament pel seu propietari, mentre que la clau pública corresponent es pot donar a conèixer públicament.

  El fet que la clau privada només sigui coneguda pel seu propietari ens permet aconseguir dues coses importants:

  • Qualsevol document generat a partir d'aquesta clau necessàriament ha d'haver estat generat pel propietari de la clau (signatura electrònica).
  • Un document a què s'aplica la clau pública només podrà ser obert pel propietari de la clau privada corresponent (xifrat electrònic).
• Què és un certificat electrònic?

  Un certificat electrònic és un document emès i signat per una autoritat de certificació que identifica una persona (física o jurídica) amb un parell de claus. Un certificat conté la informació següent:

  • Identificació de titular del certificat (nom de titular, NIF, correu electrònic, etc.).
  • Distintius del certificat: número de sèrie, entitat que el va emetre, data d'emissió, període de validesa del'certificat, etc.
  • Una parella de claus: pública i privada.
  • La signatura electrònica del certificat amb la clau privada de l'autoritat de certificació (AC) que el va emetre.

  Tota aquesta informació pot dividir-se en dues parts:

  • Part privada del certificat: clau privada.
  • Part pública del certificat: resta de dades del certificat, inclosa la signatura electrònica de l'autoritat de certificació que el va emetre.

  La part privada mai és cedida pel seu propietari. Aquesta és la base de la seguretat. Amb la parella de claus es poden realitzar funcions de xifrat, amb la peculiaritat que el que es xifra amb la clau privada només es pot desxifrar amb la clau pública i viceversa.

• Què és una signatura electrònica?

  Una signatura electrònica és una empremta digital d'un document xifrat amb una clau. L'empremta digital s'obté aplicant un algoritme matemàtic a un missatge. Aquest algoritme té dues característiques fonamentals:

  • No hi ha la possibilitat de tornar a obtenir el missatge partint de l'empremta digital generada.
  • Si es canvia el missatge, l'empremta digital que s'obté és diferent.

  Aquestes dues característiques garanteixen la integritat del missatge. Si es canvia el contingut del missatge, el que verifica la signatura ho sabrà.

  L'empremta digital es xifra amb la clau privada del certificat de la persona que signa. Aplicant els mecanismes de verificació, el receptor coneixerà qui va signar i aquesta persona no pot repudiar l'autoria del missatge.

• Com es genera una signatura electrònica?
  1. S'obté una empremta digital del document digital que es vol signar. Aquesta empremta digital garanteix que dos documents diferents generen diferents empremtes digitals i dos documents iguals sempre generen la mateixa empremta digital.
  2. Es realitza el xifrat (mitjançant algoritmes matemàtics) de l'empremta digital amb la clau privada del certificat. D'aquesta manera es garanteix l'autenticitat, ja que és el propietari del certificat l'únic que ha pogut realitzar aquest xifrat.
  3. S'encapsula tota la documentació en un document signat que inclou:
     1. Document original.
     2. Huella digital xifrada amb la clau privada.
     3. Part pública del certificat.
• Com es verifica una signatura electrònica?
  1. Es desxifra l'empremta digital, xifrada amb la clau privada, mitjançant la clau pública del certificat.
  2. S'obté l'empremta digital del document original.
  3. Es comparen les dues empremtes digitals. Si coincideixen, la signatura és correcta (hi ha integritat, el document no ha estat modificat).
  4. Es consulta a l'autoritat de certificació emissora per la validesa del certificat i, si és vàlid, la signatura a més de correcta és vàlida (queda garantida l'autenticitat de l'origen de la signatura).