Se ha cerrado sesión correctamente

Su sesión se ha finalizado de forma correcta.

logo_diputacion
Que és y para qué sirve un certificado electrónico

Un certificado electrónico emitido y firmado por una entidad con capacidad para ello y que sirve para identificar a una persona.

A esa entidad se le suele llamar de diferentes formas como: autoridad de certificación, prestador de servicios de certificación.

Tal documento, identifica a una persona física o jurídica y a una clave pública que se le ha asignado para poder realizar procesos de firma y/o cifrado. Cada certificado está identificado por un número de serie único y tiene un período de validez que está incluido en el certificado.

De un modo más formal, según la Ley de Firma Electrónica 59/2003, un certificado electrónico es un documento firmado electrónicamente por un prestador de servicios de certificación que vincula unos datos de verificación de firma (clave pública) a un firmante y confirma su identidad.

La tecnología actual usa, mayoritariamente, en los procesos de firmado y cifrado, lo que se llama criptográfica asimétrica. Esto quiere decir que a cada usuario que quiera firmar y/o cifrar se le asignan dos claves una pública y otra privada.

Es conveniente saber que la clave que aparece en el certificado electrónico es solo la clave pública. La clave privada no aparece en el certificado. Aunque dicha clave privada haya podido ser generada por la misma autoridad de certificación que expidió el certificado, y se corresponde solo con la clave pública que aparece en el certificado. La autoridad de certificación no puede almacenar en ningún momento la clave privada. Así pues cada certificado tiene asociada una clave privada, pero esta no aparece contenida en el certificado.

A veces por error, se piensa que la clave privada viene también en el certificado. Sobre todo en el caso de que el certificado esté en tarjetas. En la tarjeta suele venir tanto el certificado como la clave privada, pero se trata de ficheros electrónicos diferentes.

Se suelen usar de forma indistinta los términos firma electrónica y firma digital.

Asimismo, existen diferentes definiciones de firma electrónica. Atendiendo nuevamente a la normativa (Ley 59/2003 de Firma Electrónica), se habla de tres tipos de firma electrónica:

  • Firma electrónica es el conjunto de datos en forma electrónica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificación del firmante.
  • Firma electrónica avanzada es la firma electrónica que permite identificar al firmante y detectar cualquier cambio ulterior de los datos firmados, que está vinculada al firmante de manera única y a los datos a que se refiere y que ha sido creada por medios que el firmante puede mantener bajo su exclusivo control.
  • Firma electrónica reconocida es la firma electrónica avanzada basada en un certificado reconocido y generada mediante un dispositivo seguro de creación de firma.

Para más aclaraciones respecto de algunos de los conceptos empleados, se recomienda acudir a la citada ley.

La firma digital no implica que el mensaje está cifrado, esto es, un mensaje firmado será legible en función de que está o no cifrado.

En el caso de firma electrónica avanzada y reconocida el proceso suele ser el siguiente. El firmante generará mediante una función, un "resumen" o huella digital del mensaje. Este resumen o huella digital la cifrará con su clave privada y el resultado es lo que se denomina firma digital, que enviará adjunta al mensaje original.

Cualquier receptor del mensaje podrá comprobar que el mensaje no fue modificado desde su creación porque podrá generar el mismo resumen o misma huella digital aplicando la misma función al mensaje. Además podrá comprobar su autoría, descifrando la firma digital con la clave pública del firmante lo que dará como resultado de nuevo el resumen o huella digital del mensaje.

Además del tipo de soporte, la diferencia práctica reside en el lugar en el que se almacenará la clave privada.

Si el certificado se solicita en tarjeta, la clave privada no podrá exportarse por lo que se considera un medio más seguro pero con el inconveniente de que no se podrá crear una copia de seguridad.

Si se solicita un certificado software, el certificado queda en el navegador, y podrá exportarse junto con sus claves y por lo tanto se podrá realizar una copia de seguridad.

Las personas físicas solamente podrán tener un certificado en vigor emitido a su nombre y NIF, excepto si los certificados son de distintas entidades emisoras. Si solicita uno nuevo con los mismos datos, el certificado que tenía anteriormente quedará revocado y no podrá operar con él. Las personas jurídicas podrán tener emitidos y en vigor, tantos certificados como representantes legales tengan.

Un certificado tiene el siguiente ciclo de vida:

Obtención del certificado: en primer lugar hay que pedir el certificado a una Autoridad de Certificación (AC). Normalmente, en la obtención se distinguen tres pasos. Un primer paso, que suele ser vía Internet desde la página web de la Autoridad de Certificación, de solicitud. Un segundo paso donde es necesaria la presencia física del solicitante ante alguna de las Oficinas de Registro, o también llamadas Autoridades de Registro, habilitadas por la AC. Por último la descarga del certificado, vía Internet normalmente.

Instalación del certificado: una vez que una Autoridad de Certificación nos ha emitido un certificado, y lo hemos descargado hay que instalarlo en el navegador de nuestro ordenador. Realmente esto consiste en importarlo. Lo anterior es cuando el certificado es sólo software. Cuando el certificado es de tarjeta no es necesario instalar el certificado en el navegador. Se hará uso de él insertando la tarjeta en el lector de tarjetas.

Importar un certificado: cuando tenemos un certificado en algún medio de almacenamiento, ya sea éste interno o externo a nuestro equipo y queremos llevarlo al navegador decimos que se va a importar un certificado. También es posible importar un certificado a una tarjeta.

Exportar un certificado: los certificados pueden residir en una tarjeta criptográfica, o bien en el navegador del usuario (soporte software). En este caso, el certificado de usuario se debe exportar a un dispositivo USB u otro medio de almacenamiento, para tener una copia de seguridad, ya que la reinstalación de sistema operativo o de navegadores puede llevar a su pérdida.

Período de validez del certificado: es el tiempo durante el cual un certificado se puede emplear. Este período de validez no puede ser superior a cinco años y puede variar dependiendo del tipo de certificado, del ámbito de su uso e incluso de la Autoridad de Certificación que lo emita. Así, un certificado de representante de persona jurídica emitido por la FNMT clase 2 tiene un período de validez de dos años. Por su parte un certificado de persona física emitido por FNMT clase 2 tiene un período de validez de cuatro años.

Caducidad de un certificado: una vez expirado el período de validez que se refleja en el certificado, el certificado se dice que está caducado y deja de estar operativo.

Renovar un certificado: cuando un certificado está cerca de su fecha de caducidad, si queremos volver a utilizarlo, hay que realizar la renovación del certificado antes de llegar a la fecha límite. Es renovable sin necesidad de realizar de nuevo todos los pasos anteriores.

Dependiendo de la Autoridad de Certificación y del tipo de certificado, este podrá o no ser renovado telemáticamente. Así, la FNMT solo permite la renovación de los certificados de persona física, de modo que podrá solicitarse la renovación telemática de este tipo de certificados usando el mismo certificado electrónico que se quiere renovar siempre que la solicitud se efectúe durante los 60 días anteriores a su caducidad y siempre que además, el certificado que va a utilizarse en la renovación hubiese sido obtenido mediante acreditación presencial en un plazo inferior a 5 años.

Suspensión de un certificado: la suspensión deja sin efectos el certificado durante un período de tiempo y en unas condiciones determinadas.

La posibilidad de suspensión de un certificado así como el procedimiento establecido en su caso para la misma dependen de la Autoridad de Certificación que lo haya emitido (puede consultar la página Web de la Autoridad de Certificación correspondiente).

Revocar un certificado: en caso de pérdida, o sospecha que el certificado haya sido copiado por personas extrañas, es posible la revocación, que consiste en anular la validez del certificado antes de su fecha de caducidad que consta en el mismo.

Eliminar un certificado: es la operación de quitar el certificado del navegador o de una tarjeta criptográfica. Realizada esta operación no se podrá usar más salvo que se haya hecho copia de seguridad. Recuerde que no se puede hacer copia de seguridad de un certificado en tarjeta, por lo que en este caso lo eliminaría definitivamente. Se suele hacer una vez el certificado ha caducado.