De esta manera, las más de 800 aplicaciones de administración electrónica de la AGE, CCAA y EELL que se conectan con @firma tienen la posibilidad de admitir en sus servicios públicos por Internet los DNIe electrónicos de otros países para que los ciudadanos extranjeros que residen o trabajan en nuestro país puedan acceder a la administración electrónica española, todo ello en cumplimiento de la Directiva de firma electrónica, el artículo 21.3 de la Ley 11/ 2007 y del 25.1 del RD 1671/ 2009.

Además y de momento en fase piloto, ya se ofrecen servicios de identificación electrónica de ciudadanos de 15 países europeos a través del proyecto STORK. STORK proporciona a las AAPP europeas un servicio transfronterizo seguro de identificación electrónica de ciudadanos comunitarios, y es capaz de manejar más de 100 tipos distintos de identidades electrónica que existen en 15 países Europeos”

Una de las perspectivas que se abre es el acceso a aplicaciones corporativas en las que sea necesaria la identificación y la firma electrónica. En este caso la seguridad si cabe tiene una importancia mayor, y los certificados digitales pueden aportar ventajas bien conocidas en este apartado.

Las operadoras de telecomunicaciones están trabajando en la incorporación de certificados digitales dentro de sus tarjetas SIM. La ventaja de esta solución es la independencia de los diversos dispositivos y las multiplicidad de SO o navegadores, aunque implica pasar por el servidor de la operadora y modificar las aplicaciones de administración electrónica que ya se tenga implementadas.

Cuando se trata de dar la posibilidad a los empleados de utilizar la  firmar en las aplicaciones corporativas, pueden implementarse distintas soluciones, además del certificado en SIM. Por ejemplo la firma en dos fases. El sistema debe permitir trabajar y dar el visto bueno legal a documentos mediante su firma a través de una pequeña  aplicación instalada en el dispositivo móvil, revisar los documentos , usar la clave privada asociada a su certificado digital. Será muy útil disponer de una aplicación de portafirmas que ponga a disposición  todos los documentos a firmar y que puede adaptarse a los diversos dispositivos. Parte de la firma la gestiona la aplicación cliente y las operaciones más pesadas se completan en el portafirmas.   Un ejemplo de una solución similar es la que aplica viafirma o isigma.

También se puede optar por realizar a firma completamente en el servidor, instalando un HSM ,  ”Hardware Security Module” (Módulo de Seguridad Hardware). Los certificados se custodian en el HSM y se pueden activar por una clave más o menos compleja y segura.

En el lado contrario se puede realizar la firma completa en el dispositivo siendo necesario un cliente de firma especifico. La ventaja es que no seria necesario modificar las aplicaciones y la seguridad está garantizada, el inconveniente es la falta de estandarización en los SO y navegadores en los móviles, además de la variabilidad de las versiones de las aplicaciones. 

Son soluciones factibles para colectivos gestionado por la organización o para extenderlo al ciudadano en general y sin duda un línea de futuro.

STORK es un proyecto co-financiado por la Unión Europea del Programa de Apoyo a Políticas TIC, dentro del programa marco para la competitividad e innovación (CIP), que implementa una plataforma para la interoperabilidad de identificadores electrónicos en la UE.

El 25 de cotubre se pusieron en marcha 6 pilotos:

• ‘Cross border Authentication for Electronic Services’ (Autenticación transfronteriza para servicios electrónicos);
• ‘Safer Chat’ (Chat más seguro); ‘Student Mobility’ (Movilidad de estudiantes)
• ‘Cross Border eDelivery’ (entrega electrónica transfronteriza);
•  ‘Change of Address’ (Cambio de Domicilio) y
•  ‘Commission Services’ (Servicios de la Comisión)

Los pilotos demuestran que la interoperabilidad de identidades electrónicas (DNIe de los paises Europeos)  es factible en servicios de administración electrónica. O lo que es lo mismo que un ciudadano español puede usar su DNI electrónico en un país europeo y cualquier ciudadano de los paises que participan en el piloto pueden usar su identidad electrónica en España.

España participa en dos pilotos:

el de  ”cambio de domicilio”  que permite a ciudadanos extranjeros notificar su cambio de domicilio. Contiene dos escenarios: el cambio de domicilio en su país nuevo, y el mismo cambio de domicilio en su país de origen, mediante la notificación generado por el primer país.  El portal del ciudadano Portugués admite DNIe  el  servicio de comunicación de cambio de domicilio en el 060 español admite otras identidades.

el de mobilidad de estudiantes, La Univesidad Jaume I admite certificados de varios paises participantes.

En la llamada “Declaración de Granada” hay dos referencias a la identidad digital (e ID) La primera en el apartado de uso avanzado de internet, seguridad y confianza, al hablar de acciones concertadas para promover la protección de los datos, seguridad y confianza en autenticación electrónica. Copio el texto original:

Promote data protection, network and information security and trust through concerted EU actions on e-authentication for consumers and businesses online, especially on e-signatures, e-ID cards, e-payments, and internet safety.

y la segunda en el apartado de los servicios digitales electrónicos para asegurar la implementación de estrategias en administración electrónica a nivel técnico y legal incluyendo identidad digital y firma electrónica: Ensure the implementation of eGovernment strategies at an organisational, legal and technical level including e-ID and e-signatures.

Y digo sorprendente. Conozco la iniciativa de la Comisión europea para intercambiar las TSL (lista de confianza de los prestadores de certificados)  entre los Estados Miembros. Esta acción se enmarca dentro de la implantación de la Directiva de Servicios del Mercado Interior.  

Otra iniciativa es la del reconocimiento mútuo de identidades digitales. Pero lo que propone no es la creación de un ID único sino el reconocimiento de los existentes.

Puede que la Comisión haya cambiado de idea y lanzado una nueva inicitiva o que Alemania, UK, y otros van a cambiar su legislación para permitir un identificador único o …bien puede ser que el Ministro de Industria  ha interpretado ampliamente las iniciativas de la Comisión, o  …..  

Dudo de que la mejor solución sea la implantación de un ID europeo e incluso de que sea una propuesta consensuada entre los EEMM. El tema es complicado pero la solución debe ser simple.

Tengo que decir sinceramente que, aunque el concepto de sede me parece útil, algunas de  las características de la sede descritas en el RD 1671/2009  las encuentro contraproducentes. Al margen de esto comentaré la utilidad de cada uno de los certificados.

El certificado de SEDE.

La Ley dice que las sedes electrónicas, cuando sea necesario, dispondrán de sistemas que permitan el establecimiento de comunicaciones seguras.  Además las sedes electrónicas utilizarán, para identificarse y la comunicación segura , sistemas de firma basados en certificados de dispositivo seguro o medio equivalente.

Se deduce que el certificado de SEDE pretende únicamente la identificación de establecimiento de una conexión del tipo SSL entre el cliente y el servidor web (puede haber otras conexiones seguras).

El certificado de SEDE no se usa para firmar en ningún caso.  

La comunicación segura no es obligatoria.

El certificado se instala en el servidor y autentica al servidor. SSL establece una canal seguro entre el cliente web y el servidor y no todos son ventajas: El SSL disminuye el rendimiento de la aplicación y hay que tenerlo encuenta cuando en eldiseño y la programación.  

Por otro lado, la autenticación sólo es del servidor  y, en general, podría ser sólo en la página de inicio de sesión. No es necesario solicitar la identificación del cliente que además también penaliza al rendimiento. 

La identificación de la sede puede ser útil para casos de hosting pero problemático para el cloud computing, sobre todo la bligatoriedad a tener el dominio .gob.es.

El ciudadano debe poder verificar el certificado de SEDE. Para ello los organismos tienen que publicar en su sede un sistema de verificación. Pueden utilizar  VALIDE.

El certificado de SELLO.

Para la identificación y la autenticación del ejercicio de la competencia en la actuación administrativa automatizada se puede utilizar el sello electrónico. El certificado de sello permite la firma de documentos, pero no se ha creado para establecer la comunicación segura.

Por tanto un organismo deberá disponer, por ejemplo en un registro electrónico, de un certificado de sede y otro de sello. El segundo deberá contener el dato del organismo responsable de la aplicación. 

El uso del sello y los supuestos en los que se usa debe determinarlo cada Departamento que además debe facilitar los medios para facilitar la comprobación de su sello.

¿Qué supuestos? Un caso es la firma de los “acuses de recibo” o “acreditaciones”. Si se firman podrá hacerse con el certificado de sello. Otros casos son las compulsas, los intercambios de datos entre administraciones, las copias electrónicas,  las autorizaciones electrónicas, etc.

En cuanto a la comprobación hay dos posibilidades o bien el organismo pone a disposición la parte pública del certificado o el ciudadano dispone de un medio para comprobar la firma del documento que se le entrega.

Por ultimo voy a hacer una lista de reflexiones:

•  A qué se refiere la Ley cuando habla de es un certificado de dispositivo seguro para identificar al sede? Es de imaginar que se refiere a un CDS (certificado de dispositivo servidor seguro) y no a un dispositivo seguro de creación de firma.
• El certificado de sello hay que publicarlo mediante resolución de la Subsecretaría del Ministerio o titular del organismo público competente. No he encontrado ninguna publicada.
• Es, para el ciudadnao, el nombre de sede más fácil de entender y encontrar que el de oficina virtual ?
• Las características de la sede resultarán un corsé en el futuro para la evolución. 

Tecleó la dirección del Registro del MITYC  y realizó todo el proceso:  entró en un formulario genérico, rellenó los campos obligatorios y en el asunto escribió “abrazos para Felix”,  se descargó un cliente de firma y autorizó la firma del formulario. A continuación en otra página se le ofreció un fichero que descargó en la carpeta “prueba firma” de su PC.

Quince minutos después tecleaba la dirección del regitro del MEH y procedió del mismo modo: tuvo que descargarse otro cliente de firma, rellenar otro formulario genérico, poner en el asunto “abrazos para Felix“,  hasta descargarse el fichero en la misma carpeta. Intentó realizar la consulta de lo registrado pero falló.  Los datos que suministraba la página no era suficiente para  extraer conclusiones por lo que decidió mirarlo más tarde. Este registro le pareció más sencillo de utilizar y con mejor distribución de la información, le gustó.

La tercera dirección fue la del REC del 060.  Le extrañó que se estableciera el canal seguro SSL con identificación de servidor y cliente por lo que no seleccionó ningún certificado. Antes de entrar en el formulario se descargó un tercer cliente de firma después de esperar unos segundos en los que no sabría decir qué estaba sucediendo. Rellenó el formulario anotó en el asunto “abrazos para Felix“,  y falló.  Paloma se dió cuenta que en el proceso de firma  al intentar  validar el certificado había fallado al no haber seleccionado ningún certificado.  Cerró el navegador y empezó de nuevo.  Iba despacio estudiando cada punto del proceso.  No hizo más nada diferente excepto el de seleccionar el certificado. Firmó el formulario y descargó el fichero. Intentó realizar la consulta pero obtuvo un mensaje de error. La causa parecía ser la misma que antes. No tenía mucha información pero sí que el certificado había sido anteriormente validado.

Le vinieron a la memoria esas noches en las que se pasaba probando las aplicaciones que desarrollaba.

Dedicó la siguiente media hora a validar la firma de los ficheros que se había descargado en la carpeta del PC. Pudo validar la fima del acuse del MEH en la aplicación VALIDE: fue correcta. La aplicación Ecofirma consideró que la firma no  tenía un formato correcto.  Realizó la misma operación con el acuse del MITYC con el resultado contrario. Los dos ficheros estaban firmados con formato XADES BES.

Mmm – murmuró- No tengo suficientes conocimientos como para dar respuesta.  Al día siguiente consultó con Sonia al parecer el problema residía en la versión del formato de firma.

Pensó que sería más fácil para el ciudadano si sólo tuviera que descargar un cliente de firma y si todos los organismos proporcionaran los ficheros firmados con el mismo formato para facilitar la interoperabilidad. Al menos   debería existir una aplicación que pudiera validar estos formatos. Habrá que trabajar en ello.

Será un beso electrónico y a distancia,  pero no volado. Cuando lo recibas no olvides enviarme el acuse electrónico con tu firma electrónica y tu beso electrónico.

¿Cómo firmar electrónicamente mi beso, cómo verificar que tu beso electrónico es tuyo?

Entro en  VALIDE del Ministerio de la Presidencia y juego. Mientras juego he verificado el certificado de sede del Ministerio de Economía y Hacienda. No sé para que necesito un certificado de sede que me diga que es la página del MEC pero no me seduce la sede.

Con VALIDE  he verificado el certificado de mi eDNI, después he firmado mi carta y mi beso. La dejo en tu mesa junto con el beso.

Esperaré mañana tu acuse de recibo electrónico y verificaré tu firma con VALIDE . Hoy a pesar de todo, me siento bien.

La semana que viene os mandaré un abrazo electrónico  firmado con ecofirma .

Cuando hay 10 millones de DNI emitidos (11 millones a finales en julio) y  aproximadamente  el 1,4 % de las identificaciones digitales en los servicios de Administración electrónica son con DNIe, es evidente que algo falta. El ciudadano no conoce el uso que tiene los certificados incluidos en el DNIe y cuando lo conoce no lo utiliza en las relaciones con la Administración.

Hoy he asistido a un foro reunión del DNI electrónico organizadas por plataforma eSEC. El interés del Foro es que reunía en la sala a todos los organismos de la Administración que están relacionados con el DNIe y a la industria.  Tengo curiosidad  por conocer cuáles son los servicios que las entidades privadas piensan para utilizar con el DNIe, pero el Foro no ha dado respuestas.  Es una pena que el debate se haya centrado excesivamente en la petición de quitar el pin para acceder a la información del certificado. Este tema que no me parece que sea la principal barrera para usar el DNIe ni tampoco que su eliminación vaya a disparar el uso.

La información, los servicios privados y el  lector es la principal barrera. Repartir lectores es fácil, se podría llegar a un acuerdo con un periódico para repartirlos con los puntos que se obtienen con la compra del diario. Seria una buena forma de medir el grado de interés del ciudadano.  Informar y formar se puede hacer a través de múltiples canales y no estaría de más poner un curso on line. Pero los servicios ¿dónde están los servicios privados?.

También en este blog publicamos el uso del DNIe en Sanitas. Caja Madrid ya dispone de cajeros automáticos con doble lector de tarjeta (uno para el DNIe) y los pondrá a disposición el primer trimestre de 2010. El DNI-e permitirá a los clientes de la caja madrileña comprobar el estado de los productos que hayan formalizado con la entidad, como cuentas remuneradas, cuentas nómina, depósitos, fondos de inversión, etc

El trámite es sencillo: bastará con introducir el documento en una ranura específica y teclear el código PIN asociado. El cliente ya no necesitará ninguna otra tarjeta específica de la caja. Caja Madrid también podrá ofrecer servicios de Administración Electrónica a través de sus cajeros como el pago de la renta o el pago de tasas, vida laboral,etc.

Este si es un impulso.

Buenas prácticas de uso del DNI electrónico.

El usuario de Sanitas puede registrarse o acceder al Área de clientes a través de su DNIe.  No sólo es una buena práctica de uso  del DNI electrónico, es además un buen ejemplo de explicación y facilidad.

¿Cómo registrarse?:  Si no estás registrado en el Portal de Clientes y deseas hacerlo con tu DNIe, sólo tienes que introducir tu DNIe en el lector o periférico correspondiente, teclear el PIN e indicar el e-mail y el móvil. El DNIe será tu usuario, lo que hace más seguro el proceso, y Sanitas asigna de manera aleatoria una contraseña. En el Portal de Clientes, se puede cambiar la contraseña, además de establecer una pregunta para comprobar la identidad en caso de olvido de la contraseña.

Si ya se dispone de usuario y contraseña, pueden combinar las dos formas de acceso.  Para combinar las dos formas de acceso (DNIe y usuario con contraseña tradicional) al darse de alta con DNIe se muestra el usuario y se debe introducir la contraseña a modo de confirmación. En las siguientes ocasiones para acceder al Portal de Clientes sólo se necesita el DNIe y el PIN.

Ya se han emitido 9.000.000 millones de DNI electrónicos, pero parece que no se ha disparado, como se esperaba,  el uso del mismo en las relaciones con la administración. Probablemente sea el momento de hacer una campaña de información pero antes deberían resolver algunas cuestiones alrededor del DNI electronico. 

Por ejemplo, ¿dónde se pueden renovar los certificados del DNIe que caducan a los dos años?   “Para proceder a la renovación deberá mediar la presencia física del titular en una Oficina de expedición”   rebuscada frase para decir que hay que ir a una comisaría (yo acabo de renovar el mio al renovar mi DNIe).  Sin embargo en la página de la FNMT podemos encontrar la información de cómo colicitar el certificado a través de internet.  Además ofrece una información confusa acerca de la copia de seguridad que el ciudadano debe hacer de su certificado en el DNI electrónico. ¿ de qué certificado está hablando del DNI o de CERES? .

¿Dónde se puede encontrar información de “para qué” se puede utilizar? En las comisarías, cuando se emite el DNIe, se informa de su uso y se entrega un folleto informativo. ¿cuántos de estos folletos acaban inmediatamente en la papelera? ¿es una información suficiente para mover a la mayor parte de los ciudadanos a su utilización?. El único sitio de la Administración en la que podemos encontrar información los servicios en los que el DNI e puede utilizarse es en la propia página web del DNIe.  En algunas páginas ministeriales hay que bucear bastante hasta encontrar alguna información del DNIe.

¿Dónde se puede comprar un lector de DNIe? Para el ciudadano medio no resulta fácil encontrar un lector del tarjetas inteligentes (con chip), que lea el DNIe ya que no se distribuye en las grandes superficies ni en las grandes tiendas especializadas. A esto se añade la complejidad de instalar el driver y una librearía criptográfica que se descarga únicamente desde la página del DNIe.

La utilización de los certificados incluidos en el DNIe es más incómoda que la utilización de otros certificados: el acceso a la tarjeta es más lento y se pide el pin un número mayor de veces.

Así que para su promoción de su uso podrían abordarse una serie de iniciativas:

• Fomentar la comercialización de teclados con lector o sólo el lector de tarjeta o acordar con un periódico de tirada nacional la promoción del DNIe y la adquisición del lector con la compra del periódico.
• Habilitar una instalación “plug and play.
• Promocionar los casos de uso en Youtube
• Acordar su utilización con grupos de usuarios avanzados y que puedan ser grupos de opinión (estudiantes universitarios, AUI, AI, AUTELSI, etc.)
• Poner un banner publicitario durante un tiempo en las webs públicas, prensa digital y buscadores.
• Desarrollar un gadget o widget para google para informar de los servicios en los que puede utilizarse el DNIe.
• Facilitar firmar el correo electrónico con el DNIe para autenticar las relaciones dentro de la Administración.
• Activismo digital con gente participando en blogs

Y finalmente se puede lanzar una campaña en radio o TV  como campañas de apoyo al resto ya que son caras, destinadas a público genérico. Por ello es mejor hacerlas con un terreno ya abonado.

Si tienes alguna sugerencia para promocionar el uso DNI electrónico o detectas alguna barrera para su uso, escribe un comentario.