A raíz de algunas de las informaciones que están haciendo públicas como consecuencia de la inminente introducción del Documento Nacional de Identidad Digital (DNIe), tales como ésta, no he podido resistir la tentación de hacer algunas reflexiones adicionales a las que ya expresé aquí.

Procedo a mostrar el texto original de algunas partes de la entrevista y, a continuación, mis propios comentarios:

Pregunta. Una vez el ciudadano ha acudido a la oficina de expedición y dispone de la tarjeta del DNI digital y del número de pin para usarlo ¿qué software y hardware necesita en su casa?

Respuesta. Un ordenador convencional conectado a Internet, un navegador (Explorer o cualquiera de uso libre), un sistema operativo Windows, Linux o Mac y descargarse desde la página web del DNIe un programa, sólo la primera vez, que facilita el entendimiento entre el sistema operativo y la tarjeta. Si el ordenador carece de lector de tarjetas deberá comprar uno.

Parece obvio que la introducción del DNIe va a suponer un gasto adicional para el usuario final. ¿Concederá el gobierno subvenciones, o bien permitirá la desgravación, por la compra de estos dispositivos?

P: ¿Cada cuánto habrá que renovar el DNIe?

R. La tarjeta física cada 5 ó 10 años, dependiendo del titular, los certificados digitales, cada 30 meses.

30 meses es mucho tiempo. Además, hay ciertos aspectos que no veo claramente delimitados, como el problema de la caducidad de las claves, la revocación, y el almacenamiento a largo plazo de dichas claves (comprobación de firmas realizadas con anterioridad, etc.).

P. ¿Cómo renovar el DNI?

R. Para renovar el DNIe, (tarjeta) no es necesario conocer el pin, pues la tarjeta es dada de baja, inutilizada. Y hay que hacerlo siempre en un proceso presencial, cada 5 ó 10 años. Para renovar los certificados, se puede hacer introduciendo el pin y haciendo uso de la biometría.

Demasiado vácuo. ¿Cómo se introduce el nuevo certificado y la clave privada en la tarjeta? ¿Quién lo hace? ¿Y cómo se firma? ¿Cuánto tiempo dura el proceso? Si durante la renovación de las claves y certificados no se genera una nueva tarjeta de plástico, entiendo que se ha de reprogramar el chip. Si el chip es reprogramable, es alterable, y por ello podría ser inseguro.

P. ¿Cómo cambiar el pin?

R. Cuando deseamos cambiar el pin de nuestro DNIe, pueden presentarse dos situaciones. Una, que no conozcamos el pin actual (o que el DNI esté bloqueado). En este caso, el titular debe acudir a un PAD. Estos PAD disponen de un lector de impresión dactilar, lo que permite comparar la impresión dactilar del titular con el patrón de la impresión dactilar almacenada en el DNIe. Cuando el reconocimiento es positivo, la aplicación permite al titular cambiar el pin de su DNIe.

Dos, que sepamos el pin actual. En este caso, el titular tiene dos alternativas: Acudir a un PAD, y cambiar su pin, bien indicando su pin actual, bien por lectura de su impresión dactilar, o hacerlo desde cualquier ordenador que disponga de un lector de tarjetas criptográficas y conexión a Internet. Al cambiar de pin se debe elegir uno de una longitud entre 8 y 16 caracteres alfanuméricos, ha de ser fácil de recordar, para no tener que escribirlo; no conviene usar como pin datos relacionados con uno que puedan obtenerse fácilmente y evitar secuencias repetidas de número o letras.

La mayoría de la gente no está preparada para elegir un PIN de 8 caracteres. O bien seleccionará uno que sea fácil de recordar pero no seguro, o bien elegirá uno que sea seguro pero no fácil de recordar por lo que terminará por escribirlo en algún sitio.

El proceso de cambio de PIN, ¿qué conlleva? ¿Qué implicaciones tiene? ¿Cómo funciona? Necesitamos más datos técnicos, más detalles, y menos literatura.

P. ¿Cuándo conviene introducir el pin en nuestro ordenador, al encenderlo o al iniciar un trámite telemático?

R. Hay que entrar el pin cuando se esté seguro de que quién está al otro lado de la conexión es quién quiero y es fiable. No al encender el ordenador. Las páginas para interactuar con el DNIe han de establecer un canal de conexión segura. Ello se aprecia visualmente porque el inicio de la dirección en Internet no es un http sino un https y porque aparece el icono de un candado o una llave.

No basta con buscar “https”. Existen otros muchos factores que deben tenerse en cuenta, independientemente del nivel de cifrado, el algoritmo de cifrado, la longitud de su clave, como la dirección URL, la posibilidad de que la página contenga marcos y alguno de ellos no utilice SSL, etc.

Además, puesto que el PIN se introduce desde nuestro ordenador, existen diversidad de formas de obtenerlo, desde sniffers de teclado, pasando por viruses, gusanos, troyanos y spyware, hasta la ingeniería social.

P. ¿Puede ser pirateado?

R. Sólo cabe esta posibilidad si el ordenador desde el que se trabaja no es seguro y un tercero, por ejemplo, le ha colocado un troyano (programa intruso que informa a un tercero de lo que alberga o se hace en él) o le espía físicamente a la hora de teclearlo. Es decir, el único peligro posible está en el propio ordenador. No puede captarse el pin interfiriendo la conexión.

Estos casos excepcionales son tan habituales, que me parece que leer entre líneas que la respuesta directa a la pregunta es “Sí”.

¿Cuántos PCs con Windows conoce Vd. que sean, según algunas estádisticas, cerca del 90% de los equipos de sobremesa, seguros? ¿Cuántos de ellos son utilizados de manera correcta? El problema es que ya no existe un único eslabón débil, sin dos: el usuario y el ordenador desde el que utiliza el eDNI.

P. Para que trabajen los certificados se precisan claves. ¿Cuántas, de qué tipo y cómo funcionan?.

R. El DNIe tiene los certificados de autenticación y el de firma digital, cada uno de ellos con un par de claves (una pública y otra privada). Estas claves se generan en el DNI automáticamente y ni tan siquiera el titular del mismo las conoce. Cuando inicie una sesión para un trámite en que necesita demostrar su identidad, el DNI envía su clave pública al peticionario. Si necesita firmar electrónicamente el trámite, el peticionario se lo enviará con la clave pública del ciudadano de tal manera que sólo el certificado, el del titular del DNI, que tenga la clave privada aparejada a la pública podrá firmarlo. La clave privada nunca abandona la tarjeta. Hay otra cautela de seguridad. Si necesita firmar electrónicamente un trámite o documento, antes de hacerlo, aparecerá una ventana que advierte del inicio del proceso y pide nuevamente el pin. El pin no se puede cachear (almacenarlo en el ordenador para no tener que teclearlo nuevamente). Hay que tener claro que todo ello funciona para asegurar la identidad y el trámite. El DNI no cifra el contenido de los mensajes. Si alguien quiere enviar documentos cifrados debe acudir a los programas ya existentes.

Dice que “La clave privada nunca abandona la tarjeta”, lo cual me reconforta. También dice que “El PIN no se puede cachear”. ¿Por qué no se puede? El usuario lo introducirá en el teclado de un ordenador, por lo que es posible que el propio ordenador lo almacene, bien temporalmente en memoria, bien a largo plazo en almacenamiento persistente. ¿Qué o quién garantiza que el PIN no se cachea? ¿El software? ¿Y si el usuario utiliza su DNIe desde un terminal con un sniffer hardware de teclado? ¿O un sniffer software de teclado? ¿O los dos?

P. Qué grado de claves emplea?

R. En la tarjeta el ciudadano, 2.048 bits.

La dureza de un sistema criptográfico no depende exclusivamente de la longitud de clave, sino de muchos otros factores, como la implementación y su utilización.