El pasado mes de septiembre fue autorizado mediante acuerdo del Consejo de Ministros, la puesta en marcha de Cl@ve, la plataforma común del Sector Público Administrativo Estatal para la identificación, autenticación y firma electrónica mediante el uso de claves concertadas (https://www.boe.es/diario_boe/txt.php?id=BOE-A-2014-10264).
El sistema Cl@ve se presentó la semana pasada en sociedad y ya puede verse en funcionamiento (http://clave.gob.es) a través del uso de sus dos primeros proveedores de identidad: el PIN24H de la Agencia Tributaria (al cual ha pasado a substituir completamente) y el password de la Seguridad Social, también ya completamente integrado con Cl@ve-Permanente (http://clave.gob.es/clave_Home/Clave-Permanente.html).
Creemos que es un gran proyecto de innovación para la administración electrónica española, entre otras razones por estas:
- El ciudadano puede disponer de un sistema de autenticación multinivel: para las transacciones expuestas a un menor riesgo de seguridad, se pueden usar sistemas alternativos de menor coste operativo y de usabilidad. Hasta ahora se aplicaba en la práctica únicamente el certificado digital.
- Se aporta una identidad digital basada en el móvil: parece que el móvil es «aquello que se tiene» y que da garantías de estar en posesión de la persona que se pretende autenticar. Máxime si junto al dispositivo se debe usar una línea telefónica para la que previamente te has tenido que identificar.
- Por fin un sistema cooperativo de identidad digital: para sorpresa de muchos, hemos podido comprobar (http://administracionelectronica.gob.es/ctt/clave/infoadicional#.VHJUOb7ClnJ) que Cl@ve realmente pretende ser un broker de identidades, garante de su federación, y que incluye en su ámbito a las plataformas intermediarias de identidad digital como son la plataforma de validación @firma (http://administracionelectronica.gob.es/es/ctt/afirma) y la europea de STORK (https://www.eid-stork2.eu).
Pero también nos acuden algunas dudas sobre el sistema, no menores a nuestro entender:
- Curiosamente, no se puede producir firma electrónica avanzada con Cl@ve. Si bien la AEAT y la Seguridad Social pueden garantizar ciertos niveles de integridad y de vinculación de los documentos con la identidad, estas garantías no estarán a disposición de cualquier administración pública ya que ello requiere de sistemas internos de producción y gestión de evidencias electrónicas que tienen costes importantes. Por otro lado, el funcionamiento anunciado de Cl@ve no admite garantías de no-repudio, excepto para la futura funcionalidad de vincular la autenticación de Cl@ve con el acceso a un DNIe en la nube. Pero esta funcionalidad tiene muchas dudas de sostenibilidad a tenor de los elevados costes que tendría un sistema tal que estuviese a disposición de todos los ciudadanos.
- Más sorprendente todavía es que en ninguna de sus modalidades se use una App como elemento activo de seguridad, siendo este un mecanismo nativo y natural para las interacciones desde el móvil. Se entiende que se persiga garantizar la universalidad del sistema utilizando OTP/SMS, pero este mecanismo penaliza innecesariamente la usabilidad para la ya mayoritaria gran masa de españoles que utilizan un smartphone con línea de datos. Además, el uso de un SMS para cada transacción tiene unos costes que se deberán asumir por alguien en el sistema y difícilmente lo serán por parte del usuario final. Si que es verdad que acaba de salir la App de AEAT para la gestión del PIN24H adaptada a Cl@ve PIN24H (https://bartolomeborrego.wordpress.com/2014/11/25/la-aeat-publica-una-nueva-app-para-el-sistema-clve-pin/), pero es esta una mera traslación de la operativa del OTP/SMS sin introducir ningún elemento nativo de seguridad ni de usabilidad y estrictamente adaptada a ahorrar el coste del SMS para la administración emisora.
A favor del uso de una App cabe mencionar que ya están apareciendo iniciativas como el mobileID (http://www.mobileid.cat/es) del Ayuntamiento de Barcelona, que compaginan la identidad en el móvil con el uso de certificados digitales o un par de claves criptográficas, los cuales son invisibles para el usuario final, y ofrecen cuanto menos garantías de integridad. - Y una duda de gran interés para los prestadores de servicios de certificación: ¿será Cl@ve una federación de identidades abierta o solo aceptará sistemas estatales de provisión de identidades? Podremos ofrecer servicios los proveedores de identidades privados a una plataforma, como Cl@ve, que pretende convertirse en el gran sistema estatal de identificación y autenticación para los ciudadanos?
Cl@ve se define entonces como un gran actor dentro del nuevo ecosistema de identidades digitales que dibuja el eIDAS (Reglamento relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior; https://ec.europa.eu/digital-agenda/en/trust-services-and-eid), aunque como hemos visto no se presenta exento de importantes dudas.
Autor:
Xavier Tarrés
DG de Firmaprofesional, S.A.