Aspectos jurídicos de la firma electrónica: seguridad en la transmisión de datos
| Autor | Mabel López García |
| Cargo | Doctora en Derecho. Derecho Administrativo. Universidad de Málaga |
| Páginas | 45-59 |
Page 46
La aparición de Internet ha supuesto un cambio sustancial en las relaciones entre particulares, entre administraciones, y entre ambos: particulares y administración. Un cambio que sin duda abre nuevas posibilidades y por el que se apuesta decididamente desde la Unión Europea, es la nueva Sociedad de la Información. Sin embargo, existen muchas reticencias a estos cambios. Y es que, además de los riesgos e incertidumbres en los operadores económicos sobre cuestiones como la validez y eficacia de las transacciones, el perfeccionamiento del contrato o la delimitación de responsabilidades entre los sujetos intervinientes, existen importantes riesgos inherentes al propio uso de los sistemas electrónicos que se acentúan cuando se desarrollan en redes abiertas como es Internet. Por ejemplo, que el autor y fuente del mensaje haya sido suplantado; que el mensaje sea alterado, de forma accidental o maliciosa, durante la transmisión; que el emisor del mensaje niegue haberlo transmitido o el destinatario haberlo recibido, y que el contenido del mensaje sea leído por una persona no autorizada.
La seguridad de las comunicaciones a través de Internet es así una cuestión que afecta al comercio electrónico, entendido éste en su más amplia acepción, es decir, como todo intercambio de datos por medios electrónicos, esté relacionado o no con la actividad comercial; y que se halla necesitado de respuesta.
La búsqueda de la seguridad y consecuentemente de los niveles de confianza adecuados imprescindibles para el desarrollo de estas nuevas vías de comunicación, ha llevado al ordenamiento y a las diferentes Administraciones a intentar responder a los principales problemas que plantea la transmisión de información por Internet. Para ello se vale de los correspondientes instrumen-tos jurídicos, tanto de derecho privado como de derecho público: 1. La imposición de obligaciones civiles y mercantiles al prestador de los correspondientes servicios de la sociedad de la información y el reconocimiento de derechos al usuario 2. La instrumentación jurídica de las posibilidades que la tecnología ofrece para garantizar la confidencialidad de los mensajes, de modo que sólo se muestren al usuario autorizado para ello; su integridad, a fin de que no sufran modificaciones en la transmisión; y su no repudio, de modo que el emisor o el receptor no puedan desdecirse del propio mensaje. 3. El establecimiento de vías de control e inspección de las actividades jurídicas y técnicas que dan soporte a la transmisión de datos por medios electrónicos.
La primera de las vías se ha hecho efectiva en España a través de la adecuación de las normas civiles y mercantiles al respecto, principalmente mediante la regulación llevada a cabo por la Ley 34/2002, de 11 de julio de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI), en la que se concretan las obligaciones de los prestadores de servicios de comunicación. La segunda y tercera de las vías, que son las que aquí nos interesan, se hacen posibles hoy día a través del uso de tecnologías basadas en la criptografía (el certificado electrónico y la firma electrónica) y la ordenación del marco regulador e institucional en el que se apoyan.
La criptografía es la técnica utilizada en la actualidad para asegurar la confidencialidad, integridad y no repudio de la información transmitida a través de redes de comunicación abiertas como Internet. Pasemos revista brevemente a la aplicación de esta técnica a
Page 47
los mensajes comunicados en redes abiertas, a fin de precisar después su marco jurídico en el ámbito que nos ocupa.
La criptografía, se encarga de transfor-mar mensajes en forma aparentemente ininte-ligible (criptograma) y de devolverlos a su for-ma original. La transformación del mensaje original en criptograma es el cifrado y el paso del criptograma al mensaje original, el desci-frado. Para poder cifrar los datos y asegurar la integridad de los mensajes es necesario aplicar una función matemática sobre el mensaje (la función hash), conforme a lo cual se produce un resumen del mismo caracterizado por su irreversibilidad, de forma que cualquier cambio en el mensaje sería detectado al compararse con el resumen (hash) del mensaje inicial. A su vez es necesario utilizar la clave criptográfica, que puede ser una clave compartida (sistema de criptografía simétrica) o un par de claves asociadas: una clave privada, accesible en exclusiva para un sujeto; y una clave pública, relacionada con ella y accesible para cualquiera (sistema de criptografía asimétrica).
Actualmente al procedimiento que se sigue para dotar de seguridad a la firma electrónica es el basado en el sistema de criptografía asimétrica. Así, como veremos, la legislación sólo reconoce efectos jurídicos a la firma realizada conforme a este sistema, siendo para ello necesario tener un certificado digital, un documento electrónico expedido por un prestador de servicios de certificación que contiene diversos datos, entre ellos el nombre de usuario y su clave pública.
Sintéticamente el procedimiento y requisitos necesarios en el sistema de criptografía asimétrica para poder firmar electrónicamente y leer el documento firmado son los siguientes: El usuario-emisor debe tener expedido por un prestador de servicios de certificación un certificado digital con el que podrá enviar un mensaje cifrado mediante clave privada (el mensaje íntegro inicial y su hash) a un usuario-receptor. El usuario-emisor se autentifica ante él usuario-receptor por la clave pública firmada por el prestador de servicios de certificación. Una vez que el mensaje cifrado es recibido por el receptor-usuario se debe proceder a la verificación de la firma, que supone el mismo procedimiento seguido en la emisión pero en sentido inverso: el receptor descifrará el mensaje mediante la clave pública y aplicará la función hash sobre el mensaje completo utilizando la clave privada. Si el hash recibido y el segundo hash coinciden el mensaje será legible.
De esta forma personas que no se conocen previamente pueden intercambiar mensajes cifrados, quedando asegurada la confidencialidad y autenticidad de los destinatarios. Si el mensaje recibido es legible se tiene la seguridad de que el mensaje ha sido enviado por el titular de la clave privada correspondiente a la clave pública; que el mensaje no ha sido modificado con posterioridad a su emisión; y que el emisor no puede negar ser autor del mismo.
Hay que precisar que la firma electrónica no es una firma en sentido literal sino un procedimiento electrónico que puede cumplir una función equivalente. Como precisa COUTO CALVIÑO, "nunca puede ser un acto personalísimo e inmediato, sino que más bien un acto artificial y mediato que no se puede efectuar personalmente... lo que exige también superar la clásica configuración de sujetos intervinientes en el proceso de firma". Pero no cabe duda de que constituye un instrumento técnico para la garantía de la seguridad en la transmisión de datos por Internet en la medida que permita solucionar los problemas de autenticidad, integridad, no rechazo e incluso confidencialidad. Sin embargo la eficacia real de la firma electrónica pasa por la necesidad de establecer un marco jurídico apropiado.
Precisamente por cuanto la firma
Page 48
electrónica no es una firma en sentido literal sino un procedimiento electrónico que requiere para su efectividad de la intervención de terceros y de los instrumentos técnicos que son los que efectivamente permiten la firma, se hace necesaria la intervención pública mediante la adecuada regulación sobre los requisitos que deben cumplir los instrumentos técnicos y las obligaciones de quienes actúan como terceras partes en la firma; así como las necesarias previsiones sobre responsabilidad y procedimiento sancionador.
Como respuesta a las primeras iniciativas legislativas en materia de firma electrónica realizadas en Europa por parte de Italia y Alemania, y ante la posibilidad de una dispersión normativa, en 1997 se planteó en la Unión Europea la necesidad de una norma armonizadora en la materia. Así, el 13 de diciembre de 1999 se aprobó la Directiva 1999/93/CE, por la que se establece un marco comunitario para la firma electrónica.
La normativa comunitaria adopta como punto de partida la neutralidad tecnológica, de manera que en principio la existencia de la firma electrónica no se vincula a una tecnología concreta, sin embargo se refiere de forma expresa a los códigos o claves criptográficas como datos de creación y verificación de firmas, y reconoce a la Comisión la competencia para determinar y publicar, en el Diario Oficial de la Unión Europea (DOUE), los números de referencia de las normas de reconocimiento general para productos de firma electrónica, de modo que sirvan de guia a los Estados miembros para conocer que sistemas y productos fiables están protegidos...
Para continuar leyendo
Solicita tu prueba