Por Adrián Yanes

En el documento "Proyecto de declaración de prácticas y políticas de certificación", publicado por el Ministerio del Interior y en el cual se explican las políticas utilizadas en nuestra querida firma electrónica, podemos encontrar un párrafo que toca revisar:

(*) El certificado con algoritmo de firma pkcs1-sha1WithRSAEncryption se publica por razones de interoperabilidad, para facilitar a aquellos sistemas y aplicaciones que no soporten pkcs1-sha256WithRSAEncryption, construir la cadena de confianza en los procesos de validación de certificados y firma. Estos sistemas y aplicaciones tienen un plazo máximo de dos años para realizar las adaptaciones que sean necesarias para soportar dicho algoritmo. A partir de esa fecha la DPC se revisará para indicar de forma expresa que dicho certificado deja de tener efecto.

Como muchos sabéis, el DNI-E implementa tanto SHA-1 como SHA-256.

El motivo de la implementación de ambos es sencillo: cuando se pusieron a diseñar la firma electrónica el flamante Windows XP y antecesores sólo soportaban SHA-1. Ni qué decir tiene lo controvertido que puede resultar utilizar este algoritmo para algo tan importante como la firma electrónica de todos los ciudadanos de un país; y más si añadimos los avances que se están produciendo. No obstante, y siguiendo esa costumbre tan buena que tenemos en España en materia de seguridad, se hizo oídos sordos y SHA-1 pasó a formar parte de la firma electrónica...

Pero no vamos a desviarnos del tema; a fecha de hoy nos daremos cuenta de que, no sólo han pasado dos años desde que el documento que incluye el citado párrafo se creó, sino que vamos camino de tres años (el documento tiene fecha 02/02/2006), y que por tanto dicha revisión ha tenido que ser realizada.

Recordemos que el algoritmo SHA-256 (que se pretende sea el usado por defecto en la firma electrónica) es soportado en Windows XP desde Abril del 2008 (fecha de publicación del SP3) y para ello hace falta el Service Pack 3.

Así que hagámonos algunas preguntas:

• ¿Cómo se ha actuado respecto al párrafo anterior?
• ¿Tienen todas las administraciones y todos los usuarios españoles de Windows XP instalado el Service Pack 3 o en su defecto usan Windows Vista (el cual incluye soporte de serie para SHA-256)?
• ¿Por qué si se tenía pensado retirar el soporte a SHA-1, el certificado tiene fecha de expiración en el 2021?
• ¿Realmente merece la pena comprometer la firma electrónica de un país porque Microsoft no hizo los deberes hace dos años?
• ¿Se ha indicado a los ciudadanos del estado que la firma que venían utilizando va en contra de lo que dicen las políticas de certificación desde hace diez meses?

He aquí mis dudas.

"Copyleft 2008 Adrián Yanes. Verbatim copying, translation and distribution of this entire article is permitted in any digital medium, provided this notice is preserved".