Kriptópolis

14 comentarios sobre Recogida de firmas en Internet: cómo

• 

  Firmas por email

  anónimo
  11 Mayo 2008 - 5:00pm

  Hace tiempo que recibo en mi correo los míticos emails de recogidas de firmas, siempre me pregunto si estos emails sirven realmente de algo o si detrás hay un interés comercial para recoger datos. Especificamente, es último que recibí pedía nombre completo y lugar de residencia.

  ¿Sabeis si esto sirve de algo?

  Gracias por adelantado

votenowar
anónimo
13 Mayo 2008 - 11:06pm
Te puedo asegurar que a día de hoy te va a resultar muy dificil rastrear con whoises¹ el sitio w3 votenowar 0rJ hacia sus propietarios, Inflow, Inc.
Hace casi cuatro años -cómo pasa el tiempo- yo lo hice. Admito que apencando como un pollino, tras haber ""votado"" en contra de la guerra de Irak. Todavía conservo algunos datos del rastreo. El susodicho sitio llevaba a pephost 0rJ y en solo otro paso se llegaba a Inflow. ¿Pero quién era y es Inflow, hoy poseída (o tapada) tras Sungard? Los que luego descubrí que también están detras de coremetrics, la que la conocida cadena nacional de apellido británico utiliza en sus sitios de internet para rastrear, perfilar y finalmente analizar las pautas de comportamiento de sus compradores. Aquellos cuyo origen está en Texas y que, seguramente no por casualidad, tanto medraron.
Detras de Inflow está Valdis Krebs, el desarrolador de un software capaz de ..., mejor véase 3w orjnet dot com (joojle diría que sigo teniendo problemas de spellinj). He de reconocer que yo mismo no sé a que se dedican exactamente. Pero me figuro cosas y si me preguntaran si creo que está a su alcance el mantener una base de datos con perfiles de todos los usuarios de internet, habría de responder que no lo sé, que lo dudo²; pero de lo que no me cabe duda es de que si pudieran hacerlo, lo harían.
Así que ¿quién creo yo que abrió el sitio votenowar? ¿Los democratas? ¿Activistas en contra de la guerra? No.
Lo abrió Inflow, probablemente por encargo del gobierno americano para medir el rechazo a la guerra de Irak. Un importante factor que habría de tomarse en cuenta a la hora de tomar decisiones.
Conclusión: Cómo díce el rico refranero español, no es oro todo lo que reluce. Y añado yo que en cosas de Internet ese refrán hay que elevarlo al cuadrado por lo menos.
(1) Mirando whoises antes de escribir esto he visto que han colocado una web con pinturas y dibujos de alguien que casualmente se llama igual que un político demócrata del siglo XIX. Si siempre digo yo que a Nixon lo pillaron porque estaban en los setentas.
(2) Más que nada, porque es muy dificil enlazar datos antiguos del rastreo de una máquina con los actuales tras haber combiado de SO o cambiado la máquina. Claro que si nos dedicamos a poner nuestros datos persistentes -personales o no, como pudiera ser una cuenta de correo- en cada sitio web que nos los pida, o navegamos con el navegador accediendo sin avisar por SSL a cada enlace offsite que se encuentra, o abrimos un blog, ponemos nuestra fotica y contamos nuestra vida con pelos y señales; al final va a ser que sí. Los pequeños, medianos y grandes hermanos están ahí fuera, esperando que nosotros les facilitemos el trabajo.
• 

  que se hace despues de recoger firmas?

  anónimo
  10 Abril 2008 - 2:48pm

  hola a todos he abierto una campaña para recoger firmas en http://www.firmasonline.com, pero mi pregunta es...que se hace luego con las firmas para que tengan validez? me refiero a donde se llevan para que sean legales y tenga validez? alguien lo sabe? cuantas firmas se necesitan?alguien sabe como va esto
  gracias
• 

  O, dicho de otra manera...

  Helena (no verificado)
  10 Diciembre 2004 - 10:43pm

  PGP es bueno para construirse una red de confianza independiente, descentralizada, para pequeñas organizaciones donde todos se conocen. Pero si hablamos de cientos, miles, decenas de miles de usuarios que no se conocen, es nevesario que una "autoridad" centralizada certifique sus identidades.

  Y no hay nada mágico en ser "autoridad". Cualquiera puede serlo sin más que instalarse un programita, y podría empezar a extender certificados (de claves), pero ¿quién confiaría en tus certificados? De ahí que la FNMT tenga todas las papeletas para ser esa "autoridad" reconocida por millones de españoles.
• 

  Firmas.

  willy
  10 Diciembre 2004 - 9:34pm

  Disculpen las molestias, este es mi primer post, y en el caso de las firmas, no sería recomendable utilizar algun sistema como gpg , pgp , sks .... a demas, estos sistemas, estan soportados en todas las plataformas y sin problemas .

  No se, yo escribo desde mi punto de vista, lo mismo estoy diciendo una burrada o no.

  Saludos.
  Hasta pronto.

PGP no es PKIX, es PKI.
Enriquez
10 Diciembre 2004 - 9:59pm
En PKI se utilizan parejas de claves (claves asimétricas, pública y privada), pero no hay nadie que se responsabilice de la identidad de un usuario delante de un juez, por eso se utilizan los anillos de claves. En PKIX hay un certificado asociado a la pareja de claves, firmado por una Autoridad Certificadora, que es la que garantiza que esas claves son de una persona en concreto. Cualquiera puede generarse una pareja de claves y seguir en el mas absoluto de los anonimatos.
• 

  Mira Bill Gates a donde ha llegado :-)

  modn
  10 Diciembre 2004 - 7:15pm

  Efectivamente con Mozilla y Linux malamente se podrá firmar, pero es que en ese aspecto MS le da mil vueltas a Linux. A ver si en un futuro se igualan.
  Además, si no se pudiera firmar con IE pero si con Mozilla, entonces si que esto no llegaría nada lejos.

  Por lo demás me parece la leche el sistema este.
  Creo recordar que la constitución establece la iniciativa popular para la representación de proposiciones de ley en un mínimo de 500.000 votos. Hay unos dos millones de certificados de la FNMT emitidos, y ya mismo empiezan a darnos nuestro DNI Digital. Os imaginais? Podríamos solicitar referendums y demás en unas pocas horas :D

  Suerte con esto.
• 

  PKIX y Linux

  Enriquez
  10 Diciembre 2004 - 1:29pm

  Desgraciadamente Linux no tiene Almacen de certificados y una CriptoAPI para poder interactuar con certificados que tampoco se pueden instalar en el sistema operativo. En Linux cada programa tiene que tener su propio CSP (Proveedor de servicios criptográficos). Por ese motivo no puedo crear un objeto COM para cada programa y versión de Linux.
  A mi me encanta Linux, pero tengo que reconocer que en PKIX está en pañales si lo comparas con lo de Bill.

  La criptografía es independiente de los programas y de los sistemas operativos, es igual de complicado descifrar una información cifrada con una algoritmo simetrico de 128 bits ya esté almacenado en un W98 o en un Redhat.

Tengo certificados instalados
Shevek
11 Diciembre 2004 - 3:31am
Bueno, reconozco tu superioridad técnica, pero aún así tengo que decir que yo he instalado el certificado de la FNMT en Mozilla, Firefox y Konkeror, todo ello en Linux.
En todos estos navegadores hay siempre una forma de rastrear los certificados instalados (para eliminarlo, exportarlos, etc). Por lo que eso de que no hay "almacen de certificados" en Linux no lo entiendo; bueno, sí, si a lo que quieres te refieres es que Linux en crudo no tiene tal objeto definido.
Pero es suficiente con que Gnome, KDE o incluso los navegadores sí contemplen un almacen de certificados. ¿No?
Lo que ya no sé es si el otro requerimiento (el "ejecutable") está disponible ya sea via CriptoAPI, via GPG, via algún "demonio" del sistema, etc.

CSP propios
Enriquez
11 Diciembre 2004 - 12:47pm
Los programas que mencionas tienen su propio CSP, como te comente anteriormente, por eso, si instalas o importas un certificado en uno, no quiere decir que lo puedas utilizar ya en todos, sino que tienes un certificado instalado en el almacén de ese programa en concreto. En Windows los certificados se suelen instalar en el sistema operativo (menos con algunos programas con CSP propio como The Bat), y están disponibles para todos los programas gracias a la CriptoAPI.
Para poder firmar un texto en un navegador el usuario tiene que cifrar un hash con su clave privada. Es decir que tiene que existir un medio de comunicar al navegador del usuario con su certificado, esté donde esté.
En mi web se instala un ActiveX que llama a la CriptoAPI de win que es la que maneja los CSP's del sistema operativo que son los que acceden a los almacenes y a los certificados y los que tienen sus funciones de cifrado, generación de hash, etc. En Linux habría que acceder directamente al CSP del navegador he implementar una función de cifrado (al no existir CriptoAPI), uno por fabricante, versión y compilación de Linux.
Además para poder importar un certificado es necesario primero exportarlo a un archivo CON su clave privada, y esto no suele ser posible ya que los certificados se marcan con las claves NO exportables por defecto, por motivos de política de certificación, seguridad, que nadie se pueda llevar tu certificado en un disquete mientras vas al baño vamos. La FNMT por ejemplo si que lo hace para poder hacer un backup del certificado, pero normalmente hay que solicitar el certificado desde el propio programa para que la clave privada permanezca en el almacén de su CSP. En el almacen de certificados raices de estos programas solo estan la Autoridades Certificadoras que a tenido a bien incluir el fabricante del software por lo que tambien es necesario instalar en ocasiones los raices, y las consultas en tiempo real a las listas de certificados revocados suelen fallar mucho.
Y todo esto para que, ¿para que puedan firmar un 1% mas de usuarios?. A mi me gustaría hacer mi declaración de hacienda desde mi PDA pero desgraciadamente no se puede, y es Windows, me tengo que conformar con lo que han podido hacer los chicos de hacienda.
Lo que si se puede hacer es una recogida de firmas para que nos hagan el favor de pagar a mas gente en I+D que nos solucione estos caprichos. Lo malo es que tendrá que ser una recojida de firmas sin certificado.;)
• 

  Certificación cruzada.

  Enriquez
  10 Noviembre 2004 - 8:39pm

  Si que podrías, lo único que tienes que hacer es montar un servidor web que admita los certificados de la FNMT e implementar una página para que la gente pueda firmar. En la actualidad hay mas de 2 millones de usuarios que tienen un certificado para la declaración de hacienda, y todas las firmas serían equiparables a la manuscrita.
  Un saludo.

Firmas Online
Enriquez
10 Diciembre 2004 - 11:28am
Mira, al final me he animado yo, y ya casi la he terminado:
http://www.firmasonline.com
A ver si alguien se anima y me hace de betatester, se lo agradecería mucho.
Un saludo

Yo he firmado y funciona
Kandpalleiro
12 Diciembre 2004 - 9:09pm
Hola: Ya he probado uno de los test y funciona. Como sólo tengo certificado para ese navegador pues eso.
Sólo el que pregunta tiene esperanza de aprender...

Con IE y Activex no llegarás muy lejos :-(
Shevek
10 Diciembre 2004 - 1:18pm
En la primera prueba que he hecho me advierte que tengo que tener IE 6.0 y que me instalará un Activex.
Pues bien, estoy con Mozilla en Linux. Malamente voy a poder firmar.