-5%

Identificación, firma y otras pruebas electrónicas. La regulación jurídico-administrativa de la acreditación de las transacciones electrónicas

ISBN: 9788413099033

El precio original era: 89,47€.El precio actual es: 89,47€. 85,00 IVA incluido

Hay existencias

Peso 1238 g
Fecha de Edición 27/09/2019
Plazo de entrega

24 h

Número de Edición

1

Idioma

Español

Formato

Libro + e-Book

Páginas

754

Lugar de edición

PAMPLONA

Encuadernación

Cartoné

Colección

GRANDES TRATADOS ARANZADI

Nº de colección

1138

Editorial

ARANZADI THOMSON REUTERS

EAN

978-84-1309-903-3

Identificación, firma y otras pruebas electrónicas. La regulación jurídico-administrativa de la acreditación de las transacciones electrónicas

Prólogo.

Uno de los principales desafíos que plantean las tecnologías de la información y la comunicación en la actualidad es el relativo a la suplantación de la identidad en las relaciones telemáticas. A diferencia de lo que sucede cuando una actuación o un trámite se realiza de manera presencial, la mediación de la tecnología dificulta la comprobación de la identidad dado que no puede realizarse directamente. Este problema se ha resuelto mediante la intervención de terceras partes que, a partir de una comprobación inicial, prestan servicios de confianza. En consecuencia, la efectiva puesta en funcionamiento de tales garantías conlleva una mayor complejidad en el funcionamiento de las aplicaciones y los servicios, lo que viene a explicar que no siempre se adopten las medidas de seguridad adecuadas en función del riesgo tecnológico existente.

Precisamente, el robo de identidad es un problema de gran importancia en el ámbito europeo y en particular en España, razón por la cual la respuesta jurídica ante este desafío resulta de una especial trascendencia. Sin embargo, la solución del Derecho no puede basarse en parámetros tradicionales ya superados, sino que, por el contrario, precisa de una efectiva adaptación a la singularidad tecnológica en la que ha de proyectarse. Incluso –¡por qué renunciar a ello!–, se debería aprovechar el mayor potencial que en ocasiones ofrecen las herramientas tecnológicas para reforzar las garantías jurídicas, sobre todo si tenemos en cuenta que el mayor riesgo que, al menos potencialmente, supone su utilización para los derechos y bienes jurídicos en general.

Una aproximación a las implicaciones jurídicas de la identidad y la firma basada principalmente en parámetros obsoletos resulta especialmente problemática en un contexto donde la digitalización no sólo se plantea desde la superación de las relaciones humanas directas sino, además, a partir de unas crecientes claves de despersonalización. En efecto, si bien en un primer momento el enfoque jurídico se ha centrado sobre todo en la adaptación de las categorías tradicionales a esta nueva realidad de corte tecnológico –el concepto de firma de las personas jurídicas es, sin duda, bastante ilustrativo–, en la actualidad resulta imprescindible plantear respuestas que tengan en cuenta la automatización de las actuaciones y, por tanto, que las relaciones jurídicas se desenvuelvan con normalidad sin necesidad de intervención de las personas físicas. De lo contrario existe un riesgo cierto no ya de forzar conceptos cuyo significado y alcance pueda verse desnaturalizado hasta el extremo de difuminarse en un vano intento de adaptación sino, lo que incluso sería más grave, de que la respuesta jurídica sea inadecuada y, por tanto, el Derecho se perciba como una mera barrera formal cuya inobservancia resulte obligada desde la perspectiva de las exigencias y posibilidades de la innovación tecnológica. En otras palabras, si la garantía jurídica se percibe como una molestia irracional e incoherente, la brillante y cautivadora eficacia de la tecnología terminará por imponerse irremediablemente, de modo que la fricción latente entre las garantías jurídicas y la capacidad de transformación de aquella terminarán por desvanecerse a costa de las mismas.

La creciente e irreflexiva implantación de las cada vez más audaces y deslumbrantes tecnologías nos aboca a desafíos de un enorme calado, ya que valores esenciales como la seguridad jurídica y el respeto al Derecho se someten a tensiones hasta ahora desconocidas tanto por su intensidad como, sobre todo, por la irrefrenable apuesta por la innovación tecnológica en tanto que condición inexcusable para la competitividad en contextos sociales, políticos y económicos cada vez más frágiles e inestables. La trascendencia de este reto demanda una respuesta efectiva por parte del Derecho y, en particular, de quienes se dedican al análisis dogmático de las soluciones que pueden plantearse. En este sentido, sería irresponsable afrontarlo sin unas mínimas condiciones de posibilidad en cuanto a la cualificación de quienes han de realizar ese ejercicio teórico de reflexión; en concreto y por lo que ahora interesa, sin la adecuada cualificación del jurista llamado a asumir este compromiso.

No es precisamente esta una carencia que pueda constatarse en el caso de Ignacio Alamillo Domingo. Antes al contrario, su formación y experiencia profesional como jurista –licenciado y doctor en Derecho– quedaría en gran medida limitada para afrontar el desafío antes planteado si no fuera por su cualificación para abordar los aspectos tecnológicos –CISA, CISM, COBIT5-f, ITIL v3-f, entre otras acreditaciones que jalonan su currículo–, de manera que ese perfil híbrido le permite abordar con rigor y solvencia los entresijos que suscita la aplicación del Derecho en el contexto digital. Más aún, al margen de la especial cualificación que le otorga esta sólida perspectiva dual, ha sido uno de los pioneros que impulsaron en España el estudio y, sobre todo, el uso de la firma electrónica desde antes incluso de la regulación de 1999, pilotando numerosos proyectos de gran envergadura y participando, además, en diversos foros estatales y europeos relacionados con la estandarización y la definición de requisitos técnicos relacionados con la tecnología informática.

Pero por si no fuera suficiente la acreditación de los méritos profesionales, durante estos últimos años –y, en especial, durante la fase final de elaboración de la tesis doctoral que se encuentra en el origen último del libro que ahora se prologa– he tenido ocasión de confirmar de manera directa que el autor es una persona con el máximo nivel de autoexigencia en el desempeño de sus obligaciones profesionales e investigadoras. No en vano, con carácter previo al doctorado ha publicado numerosos trabajos de referencia en relación con las implicaciones jurídicas de la firma electrónica, los sistemas de identificación y autenticación en el sector público o, entre otros temas destacados, la automatización de la actividad administrativa. Sólo desde estas claves puede entenderse que su desmesurada inquietud intelectual le llevase a embarcarse en la aventura académica, profesional, personal y familiar que supone realizar una tesis doctoral, asumiendo y compartiendo sacrificios y renuncias desde todas esas perspectivas, tal y como puede si quiera intuirse leyendo la dedicatoria de este libro.

El entusiasmo y la implicación con que el doctor Alamillo Domingo asumió el proceso del doctorado se vieron también reflejados durante la defensa de la tesis que tuvo lugar en la Universidad de Murcia el día 7 de septiembre de 2018. El tribunal estuvo presidido por la Dra. Apol·lònia Martínez Nadal, catedrática de Derecho Mercantil en la Universidad de las Islas Baleares y, sin duda, una pionera en la investigación de los aspectos jurídicos de la firma electrónica. También formaron parte del mismo el Dr. Eduardo Gamero Casado, catedrático de Derecho Administrativo en la Universidad Pablo de Olavide de Sevilla, y el Dr. Isaac Martín Delgado, profesor titular de Derecho Administrativo en la Universidad de Castilla-La Mancha, ambos sin duda dos de los más destacados estudiosos de las implicaciones del uso de medios electrónicos en la actividad de las Administraciones Públicas y del sector público en general. El trabajo recibió la calificación de sobresaliente cum laude por unanimidad previa la oportuna exposición de las principales conclusiones del trabajo realizado y el correspondiente debate. Este fue, sin duda, el momento procedimental adecuado para que tuviera lugar un fructífero debate académico que sirvió para constatar el ejercicio de contención que, por imposición de quien escribe estas líneas, debió hacer el entonces doctorando para encauzar la memoria del trabajo doctoral y reconducirlo a una extensión razonable. Puedo afirmar con total rotundidad que el acto público de defensa de la tesis doctoral fue una ocasión inmejorable para volver a reafirmar el auténtico sentido de mi vocación universitaria, esto es: poder trabajar en un entorno institucional que ofrece la oportunidad de debatir con total libertad sobre aspectos ciertamente relevantes para nuestra sociedad en la convicción de que, sólo a partir la confrontación de tus propias ideas y argumentos con personas más experimentadas, puede avanzarse en el auténtico conocimiento.

Este libro es, en definitiva, resultado de una actividad investigadora sustentada en el sólido conocimiento y la experiencia práctica de su autor pero, sobre todo, en un importante esfuerzo de estudio y reflexión. También de comunicación, ya que es preciso reconocer al autor la preocupación por hacer comprensibles sus reflexiones no sólo a quien comparte su doble perfil técnico-jurídico sino, asimismo, a quienes carezcan de alguna de ambas formaciones. Y, por supuesto, de documentación, de manera que no se limita únicamente a estudiar las normas estatales y de la Unión Europea sino que, antes al contrario, el análisis se sustenta en numerosas referencias normativas y doctrinales de otros Estados, pero únicamente cuando dicha aportación resulta relevante y no como un mero ejercicio retórico de erudición.

Ahora bien, en aras de una mayor claridad expositiva, la estructura del trabajo se ha concebido desde la articulación lógica que cabe esperar de quien, como el Dr. Alamillo Domingo, se ha exigido un esfuerzo adicional por exponer con la máxima coherencia interna su pensamiento. Tras un primer capítulo explicatorio de la tecnología en la que se proyecta su reflexión, y sólo desde esta premisa, se adentra sucesivamente en el análisis de las instituciones jurídicas de acreditación de la actuación electrónica y los servicios que las sustentan, así como en los propios servicios y su regulación europea que, como bien explica, el autor suscita un efecto jurídico principal que no siempre se tiene en cuenta: el reconocimiento mutuo por los Estados en el ámbito del sector público.

Pudiera pensarse que el hecho de adoptar una perspectiva jurídico-administrativa en su análisis tendría que haber llevado al autor a examinar con anterioridad la aplicación de la tecnología en el ámbito de la Administración Pública; sin embargo, esta proyección no tiene lugar hasta el capítulo 6, una vez sentadas las bases conceptuales y la configuración institucional de los servicios. Y es ahí, singularmente, donde se encuentra a mi juicio la principal aportación de la obra que ahora se prologa, en el cambio de perspectiva sobre el papel que corresponde jugar al Derecho Administrativo, no tanto concebido como un sector del ordenamiento jurídico que regula la actividad propia de las entidades públicas sino, por lo que ahora nos interesa, como el instrumento que recibe y dota de determinados efectos a las herramientas tecnológicas. Precisamente por esta razón, el libro finaliza con dos capítulos dedicados a analizar el régimen jurídico de los prestadores de servicios de confianza y, a continuación, la supervisión administrativa sobre dichos servicios; que por tanto se convierte en la premisa inexcusable para que estén dotados de una determinada eficacia especialmente cualificada.

Aquí reside el cambio de paradigma que el autor ha sabido captar con singular perspicacia y que, sin duda, dota a este libro de un indiscutible valor añadido. En efecto, hasta ahora la acreditación fehaciente de los hechos se había sustentado en previsiones normativas que, por lo que se refiere al sector público, se articulaban a partir de declaraciones unilaterales de personas investidas de una cierta potestad, como sucede singularmente con la normativa sobre el servicio postal. Sin embargo, la tecnología disponible debiera obligar a reconducir este modelo regulatorio que, en definitiva, ha de incidir necesariamente en la configuración de las reglas probatorias tradicionales y, por tanto, sustentarse en las garantías que aquella ofrece, por tanto objetivas –la calidad del servicio– y no meramente subjetivas –la naturaleza de la entidad que lo presta–; y es precisamente en su fortaleza donde hay que reforzar el efectivo cumplimiento de las normas y estándares técnicos.

Por mi parte sería injusto dejar de explicar al lector que durante el proceso de elaboración de la tesis doctoral el autor se ha implicado con la Universidad de Murcia mucho más allá de sus estrictas obligaciones como un estudiante de doctorado al uso. Su colaboración con iDerTec –nuestro grupo de investigación sobre Innovación, Derecho y Tecnología–, se ha materializado en varios seminarios impartidos, la elaboración de trabajos doctrinales publicados en editoriales de relevancia en el ámbito jurídico y, sobre todo, su generosa participación en varios proyectos de investigación. En concreto, me parece imprescindible destacar el proyecto ARIES (ReliAble euRopean Identity EcoSystem), financiado por la Unión Europea en el marco del H2020, que ha servido para que la investigación doctoral se viera enriquecida con la experiencia de participar en una iniciativa realmente innovadora de proyección internacional. Y, en sentido inverso: ha sido precisamente la intensa actividad desarrollada en el doctorado la que ha facilitado, entre otras razones, la participación del doctor Alamillo Domingo en diversas actividades de difusión tanto en Europa como en Latinoamérica, así como su implicación en algunas iniciativas de relevancia internacional que está poniendo en marcha la Unión Europea.

En definitiva, uno de los principales problemas que plantea los modelos más generalizados de acreditación de la identidad y las transacciones que se realizan por medios electrónicos es el relativo a los riesgos de privacidad de que adolecen, tal y como se demuestra en los sistemas federados. Sin embargo, las soluciones que aportan las tecnologías más disruptivas –caso de blockchain, por ejemplo– permitirían apostar por un diseño más respetuoso con el derecho a la protección de los datos personales, pero para ello resulta imprescindible establecer previamente unos fundamentos conceptuales y regulatorios adecuados. Y a este respecto, el libro del doctor Alamillo Domingo es una obra de lectura obligatoria no sólo para comprender en clave jurídica el funcionamiento de las herramientas tecnologías sino, sobre todo, para impulsar una respuesta más efectiva por parte del Derecho ante los desafíos que plantea para las garantías jurídicas el proceso de transformación digital que estamos viviendo desde la innovación tecnológica.

Murcia, 15 de julio de 2019

LIBROS DE IGNACIO ALAMILLO DOMINGO 

IGNACIO ALAMILLO DOMINGO 

Introducción.

Este trabajo surge de la hipótesis de que existe una relación entre la intervención del derecho público y el valor jurídico de los instrumentos que empleamos, en el entorno digital, para generar prueba de la actuación de las personas y otros hechos jurídicamente relevantes.

La digitalización de la sociedad, mediante la adopción de las tecnologías de la información y las comunicaciones –las cuales han sido frecuentemente denominadas “nuevas”, con respecto a las tecnologías “viejas” del soporte papel– conduce de forma inevitable a la adaptación de las instituciones jurídicas preexistentes, de modo que se mantenga su función social en el nuevo escenario; o, alternativamente, a su sustitución por instituciones jurídicas nuevas, impulsadas por la aparición de innovaciones tecnológicas que permiten, en el espacio digital, actuaciones que eran impensables en el mundo físico, conduciendo a una mayor transformación de los procesos.

La institucionalización de la firma electrónica de documentos es buena muestra de la primera posibilidad, en que se adopta una tecnología que ofrece una funcionalidad equivalente a la firma manuscrita, aunque lógicamente las tecnologías de ambas en nada se parezcan, para su uso en aquellos documentos electrónicos o comunicaciones electrónicas en que se hubiese requerido, de ser sustanciados en soporte físico, una firma manuscrita.

Respecto a la segunda posibilidad indicada, la amortización de la tarjeta postal de acuse de recibo propia del envío postal y, por tanto, también de la notificación administrativa o judicial en soporte papel, firmada manuscritamente por el receptor de dicho envío constituye un excelente ejemplo de innovación sustitutiva. En efecto, cuando trasladamos el envío postal al entorno electrónico no será preciso mantener esta tarjeta con firma manuscrita, sino que será prueba suficiente el registro de acceso del destinatario de dicha comunicación, debidamente identificado electrónicamente; posibilidad ya acogida en nuestro ordenamiento, tanto en las notificaciones administrativas como en sus equivalentes privados, que se sustancian mediante la entrega electrónica certificada.

El objeto de interés en este trabajo orbita, pues, alrededor de las instituciones jurídicas que sirven para la acreditación de la actuación electrónica de las personas, incluyendo su régimen jurídico propio (definiciones, requisitos de validez y efectos jurídicos sustantivos y, en su caso, procesales), su régimen de utilización sectorial y, lo que es más importante, el modelo regulatorio diseñado por el legislador en orden a establecer un valor reforzado para estas instituciones, que incluye el régimen jurídico de los prestadores, eminentemente privados, que con sus servicios y productos ofrecen soporte a estas instituciones.

En un primer momento, que puede situarse en el decenio de 1995 a 2005, la firma electrónica fue objeto de estudio principalmente por parte de la doctrina mercantilista y procesalista, seguramente por sus orígenes ligados al comercio electrónico, tanto en el nivel internacional, donde son referencia ineludible los trabajos de la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional, como en el de la, entonces, Comunidad Europea. Estas reflexiones iniciales también se extendieron a otras tecnologías que no habían sido aún institucionalizadas jurídicamente, al menos en España, como el sello de tiempo electrónico o los servicios que permitían la acreditación de la remisión y recepción de las comunicaciones.

Se trata de un periodo que coincide con la recepción jurídica de las tecnologías de autenticación de datos, sustrato tecnológico de la institución en que la firma electrónica consiste, y el inicio de su uso en el comercio electrónico –caracterizado por un fuerte rechazo al uso de la firma electrónica avanzada basada en certificado electrónico reconocido e, incluso en mayor medida, a la firma electrónica reconocida, y la aparición de instituciones complementarias, como la del tercero de confianza–, y, de forma más tímida, también en el procedimiento administrativo electrónico.

Dicha recepción jurídica se produce de forma algo peculiar, al aprobarse en España el Real Decreto-Ley 14/1999, de 17 de septiembre, sobre firma electrónica (en adelante, RDLFE), en base a la posición común relativa a la Propuesta de Directiva del Parlamento Europeo y del Consejo por la que se establece un marco común para la firma electrónica, norma que se aprueba sólo tres meses después –Directiva 1999/93/CE del Parlamento Europeo y del Consejo, de 13 de diciembre de 1999, por la que se establece un marco comunitario para la firma electrónica (en adelante, DFE)– incluyendo diferencias significativas en relación al RDLFE que no serán resueltas (y no todas) hasta la aprobación de la Ley 59/2003, de 19 de diciembre, de firma electrónica (en adelante, LFE).

Las contribuciones académicas de esta primera etapa no prestaron, en mi opinión, la suficiente atención al modelo de supervisión y control de los prestadores. Aunque en la mayoría de casos se analizaron los diferentes modelos regulatorios previstos por el legislador, de configuración diversa en el RDLFE y la LFE, así como el estatuto de obligaciones de los prestadores de servicios de certificación, en dichas contribuciones no se profundizó suficientemente, a mi juicio, sobre la propia justificación de la existencia de un sistema público de supervisión y control (el porqué es preciso un régimen administrativo a estos efectos), menos aún sobre la relación que pueda presentar la existencia de este sistema en relación con el valor reforzado de la firma electrónica (qué aporta la existencia de este régimen a la prueba).

Con algo de posterioridad, motivada por la progresiva adopción de estos mecanismos y servicios en el ámbito del sector público, una parte de la doctrina administrativa que, con gran visión de futuro, decidió abordar los retos del que se convertiría en el único procedimiento administrativo, aportó una segunda gran oleada de contribuciones alrededor de las instituciones de acreditación electrónica de la actuación, estudiando la problemática que genera su uso para la actividad administrativa.

Esta reflexión se intensifica con la aprobación de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos (en adelante, LAE) y su normativa de desarrollo, tanto en el ámbito de la Administración General del Estado cuanto en diversas Comunidades Autónomas y en la Administración Local, todas ellas en el marco de la importantísima normativa común de interoperabilidad y seguridad dictada al albur de la LAE.

Se trata de una reflexión que ha resultado de extraordinaria relevancia, dado que, a diferencia del sector privado, la firma electrónica avanzada basada en certificado reconocido iba a constituir un verdadero derecho de los ciudadanos en sus relaciones con el sector público, tanto en el ámbito administrativo, como en el judicial, derecho que se iba a ejercer de forma correlativa a la obligación de relacionarse de forma exclusivamente electrónica con dichas entidades que progresivamente se ha extendido a gran parte de ciudadanos, en especial personas jurídicas y profesionales.

Por ello, no es arriesgado afirmar que la administración electrónica ha sido el sector en que se ha realizado un mayor grado de uso de los certificados electrónicos, incluso cuando la reforma del sector público, sustanciada por la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPAC) y Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, LRJSP), ha apostado por una mayor neutralidad y flexibilidad en el uso de estas instituciones en la actividad administrativa.

Estas contribuciones, enfocadas en las complejas particularidades que presentan las instituciones de acreditación electrónica de la actuación por parte de los interesados, de los órganos administrativos y del personal al servicio de la Administración, que plantean retos de extraordinario interés para la transformación de la actividad administrativa y el modelo de relación interadministrativa, no han abordado, tampoco, el estudio del papel que juega el Derecho administrativo en relación con la eficacia jurídica de estas instituciones.

Con la aparición del Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE (en adelante, Reglamento eIDAS), se ha ampliado el número de instituciones jurídicas para la acreditación de la actuación que, además de la firma electrónica de persona física, ahora incluye el sello electrónico de persona jurídica, el sello de tiempo electrónico, la entrega electrónica y la autenticación de sitio web.

El Reglamento eIDAS ha adoptado un enfoque de armonización, al objeto de eliminar las numerosas disfunciones identificadas en relación con la DFE, principalmente producidas por la trasposición en sede nacional, en especial en el ámbito de la Administración electrónica y su dimensión transfronteriza, pero también para crear un marco jurídico común a todos los servicios que aportan confianza a las transacciones, algo que resulta imprescindible para lograr un Mercado Único Digital que funcione correctamente.

En el Reglamento eIDAS se apuesta, en reacción al marco anterior, por un régimen de control previo y reforzado en relación con las modalidades “cualificadas” de la mayoría de instituciones jurídicas de acreditación de la actuación electrónica, que constituye una base fundamental para la confianza que en los mismos depositan ciudadanos e instituciones, creando un segundo régimen jurídico específicamente diseñado para el reconocimiento transfronterizo de los sistemas de identificación electrónica utilizados por los Estados miembros.

De todo ello nace un reduplicado interés por el estudio de las estructuras jurídicas reguladoras de las instituciones jurídicas de acreditación de la actuación electrónica, incluyendo las actualmente previstas pero también aquéllas que en el futuro puedan aparecer, posiblemente en los Estados miembros, y que con una elevada probabilidad acabarán por incorporarse al acervo de la Unión, siguiendo la misma lógica de reconocimiento transfronterizo interoperable que actualmente informa el Reglamento eIDAS.

Una lectura inicial de la normativa, que vamos a analizar en este trabajo, ya genera la intuición de que existe una conexión profunda entre los efectos jurídicos de las instituciones jurídicas de acreditación de la actuación electrónica y la intervención del Estado mediante un régimen de supervisión y control; como si, de algún modo, este régimen de Derecho administrativo fuera consustancial al otorgamiento de una cierta fehaciencia probatoria de dicha actuación, establecida por vía de presunción legal, sea en el Derecho de la Unión o en las legislaciones nacionales.

Si ello es así, podríamos afirmar que la eficacia de estas pruebas tecnológicas depende del correcto funcionamiento de estas estructuras normativas, pero también debería preocuparnos que las presunciones que se puedan establecer sean apropiadas, dado que podrían eventualmente afectar al derecho constitucionalmente garantizado a la tutela judicial efectiva.

Ello es así porque estas instituciones jurídicas se corresponden con fuentes de prueba electrónica –no con los medios de prueba previstos en la legislación procesal– que van a producir una especial eficacia, invirtiendo la carga de la prueba en cuanto a las actuaciones y hechos que acrediten. De lo cual se deduce, incluso de forma intuitiva, que esa inversión de la carga de la prueba, ese efecto procesal de la institución, sólo debe producirse cuando existen garantías objetivas que lo justifiquen, y no en caso contrario.

También podemos intuir que no es ésta la única justificación para la existencia de las actuales estructuras normativas de las instituciones de acreditación de la actuación electrónica, sino que también presenta una gran importancia la protección de los usuarios de los servicios sin cualificación y, también, garantizar un nivel adecuado de interoperabilidad de dichas instituciones en el territorio de la Unión.

Por tanto, y sin perjuicio del indudable interés que presenta conocer el elenco de instituciones jurídicas empleadas para la acreditación de la actuación electrónica, será objeto de especial interés caracterizar el papel específico que cumplen las diferentes modalidades de intervención administrativa, en orden a poder realizar una valoración global crítica sobre la adecuación de este modelo a las premisas anteriormente expuestas y, en su caso, realizar propuestas.

Dado que este trabajo es resultado principalmente de mi tesis doctoral, no puedo acabar esta breve introducción sin el obligado, y en mi caso realmente sentido, capítulo de agradecimientos. En primer lugar, debo dar las gracias a mi familia –Roser, Laia, Albert y Carolina–, que han sufrido las consecuencias más gravosas del esfuerzo que supone abordar un doctorado dedicando horas extra, todas ellas robadas a quienes la merecían más. Su apoyo y comprensión han sido indudables en todo momento, aunque quizá no siempre lo he sabido valorar como era merecido, y mi deuda con ellos es infinita. Sin ellos en mi vida, nada de esto tendría sentido alguno.

En segundo lugar, a lo largo del largo camino que implica la realización de una tesis a tiempo parcial, he encontrado personas de ineludible recuerdo, sin demérito de todas las otras personas que me han ayudado y apoyado también, y que no puedo mencionar, por evidentes razones de espacio. En este sentido, merece una mención especial el Dr. Ramón Moles i Plaza, quien me permitió iniciar el camino del doctorado, en la Universitat Autònoma de Barcelona, así como colaborar en el interesantísimo grupo de investigación que lideraba junto a la destacable Dra. Anna Garcia Hom, dedicado a la gobernanza del riesgo (GRISC), en el marco de la Escuela de Prevención y Seguridad Integral (EPSI). Su amistad y guía enriquecieron de forma importante mi interés por la investigación, hasta el triste momento de la inaceptable extinción de tan notable iniciativa por parte de la citada Universidad, que tuvo también como consecuencia mi desvinculación de la misma, y mi grata incorporación a la Universidad de Murcia.

Es también merecedor de una especial referencia D. José Manuel Oliva Mesonero, líder de uno de los proyectos de prueba electrónica más relevantes de nuestro país, quien que durante todo este proceso me ha brindado un apoyo y un acompañamiento que han resultado más que necesarios. Su visión acerca de la aplicación práctica de las materias objeto de esta tesis ha sido, en cierto modo, un faro que me ha guiado para mantener la conexión con la praxis del mundo real.

En el ámbito académico, mi deuda es enorme con los pioneros de la denominada “Administración electrónica”, especialmente con el Dr. Eduardo Gamero Casado, el Dr. Isaac Martín Delgado (ambos miembros del Tribunal que valoró este trabajo, junto a la Dra. Apol·lònia Martínez Nadal), el Dr. Rubén Martínez Gutiérrez, el Dr. Ricard Martínez Martínez o el Dr. Lorenzo Cotino Hueso. He tenido la inmensa suerte de poder coincidir y colaborar con ellos en seminarios, proyectos de investigación, congresos y publicaciones, y me han animado y aconsejado en todo momento, sin duda debido a su vocación académica y su generosidad personal. Me honra considerarlos compañeros de buena lid y amigos sinceros, y su presencia en la Universidad me parece signo de esperanza en dicho ámbito.

Sin perjuicio de cuanto acabo de decir, sin embargo, es el Dr. Julián Valero Torrijos quien merece mi mayor gratitud, por cuanto asumió la ingrata labor de ayudarme a conducir lo que en realidad era poco más que una colección inconexa de ideas, intuiciones y experiencias previas, hasta convertirlas en algo coherente. Bajo su magisterio he podido iniciarme en el método, el foco, el orden y el discurso, pero también los valores académicos, herramientas todas ellas imprescindibles para intentar realizar una contribución novedosa a la sociedad, si quiera sea a través de sus operadores jurídicos.

El profesor Valero Torrijos no sólo me ha acogido en su magisterio, sino que también me ha animado a integrarme como colaborador en el Grupo de Investigación iDerTec que dirige desde la Universidad de Murcia, ahora también mi Universidad, y desde donde confío poder continuar realizando aportaciones al incipiente mundo de la prueba electrónica, eso sí, vista desde la óptica del Derecho Administrativo.

 

  • Prólogo
  • Introducción
  • Capítulo 1. Los mecanismos y servicios de seguridad de las TIC para la acreditación de la actuación electrónica (IGNACIO ALAMILLO DOMINGO)
  • Capítulo 1

    Los mecanismos y servicios de seguridad de las TIC para la acreditación de la actuación electrónica

    IGNACIO ALAMILLO DOMINGO

    Sumario:

    • I.La criptografía como base tecnológica de los mecanismos y servicios de seguridad
      • 1.Los algoritmos criptográficos
        • 1.1.Los algoritmos de resumen
        • 1.2.Los algoritmos de código de autenticación de mensaje
        • 1.3.Los algoritmos de firma digital
      • 2.Las claves criptográficas
        • 2.1.Las parejas de claves criptográficas
        • 2.2.La correlación entre las claves criptográficas
        • 2.3.La longitud de las claves criptográficas
        • 2.4.La gestión de las claves criptográficas
        • 2.5.La distribución de claves públicas, en general
      • 3.Los certificados de clave pública
        • 3.1.Tipos de certificados, en función del objeto
        • 3.2.Tipos de certificados, en función de la finalidad de uso
        • 3.3.Tipos de certificados, en función de la entidad cuya clave se certifica
    • II.La autenticación
      • 1.Concepto
      • 2.Un marco de trabajo autorregulado para la autenticación
      • 3.La autenticación en la práctica autorregulada de la seguridad de la información
      • 4.La delegación de la autenticación a terceros, en especial en la Web Social
      • 5.Blockchain y la identidad auto-soberana de Alastria
      • 6.De la autenticación a la gestión de la identidad digital
      • 7.La garantía de la autenticación de entidades
    • III.La integridad de datos
      • 1.Concepto
      • 2.La integridad en la práctica autorregulada de la seguridad de la información
    • IV.El no rechazo
      • 1.Concepto
      • 2.El no rechazo en la práctica autorregulada de la seguridad de la información

    En este primer Capítulo presentamos unas nociones básicas en relación con los mecanismos y servicios de seguridad de las TIC que se emplean para la acreditación electrónica. Se trata del sustrato preexistente a la normativa jurídica, y que es objeto de institucionalización por parte de la misma, en un proceso que estudiaremos en el Capítulo 2, al que puede acudir directamente el lector familiarizado con estas tecnologías.

    En primer lugar, nos referimos a la criptografía, que es la base tecnológica común a todos los mecanismos y servicios de seguridad que permiten la acreditación electrónica de la actuación electrónica.

    Posteriormente, presentamos una panorámica general de los principales servicios de seguridad que nos interesan, incluyendo la autenticación (de entidades y de datos), la integridad de datos y el no rechazo.

     

    I. LA CRIPTOGRAFÍA COMO BASE TECNOLÓGICA DE LOS MECANISMOS Y SERVICIOS DE SEGURIDAD

    La criptografía es la base tecnológica que fundamenta los mecanismos y servicios de las TIC empleados para la acreditación de la actuación, de modo análogo a cómo la tecnología de la tinta y el papel sustenta la prueba en que consiste una firma manuscrita, en relación con un texto escrito.

    Por esta simple razón, la mayoría de pruebas electrónicas se basan en la criptografía, de modo que la normativa sobre el uso de algoritmos criptográficos tiene un reflejo jurídico en la legislación reguladora de las instituciones reguladoras de estas pruebas de la actuación electrónica, que lógicamente se traslada a los prestadores de servicios de confianza que las sustentan.

    En el ámbito de la interconexión de los sistemas y, por tanto, con un enfoque orientado a la seguridad de las comunicaciones electrónicas1), la norma internacional ISO 7498-2:1989 (1.ª ed.)2) define el servicio de seguridad como aquel prestado por una capa de un sistema abierto de comunicación, que garantiza la seguridad adecuada de los sistemas o de las transferencias de datos3).

    Los servicios de seguridad existen para satisfacer los requisitos de las políticas de seguridad y los requerimientos de los usuarios; en ambos casos, la finalidad última consiste en proteger los activos de la organización de los peligros de todo tipo a que se puedan enfrentar4).

    Los servicios de seguridad que, de uno u otro modo, sustentan la confianza en los procesos electrónicos incluyen la autenticación, la integridad de datos y el no rechazo; conformando la base tecnológica de las garantías de la actuación electrónica.

    Los citados servicios se basan en técnicas de seguridad, incluyendo de forma particularmente relevante el uso de la criptografía como mecanismo técnico, a la que introduciremos en este capítulo, y en el establecimiento de entornos de confianza, en especial en atención a la existencia de los denominados terceros de confianza.

    Hay que notar que algunos de estos servicios de seguridad son también denominados objetivos de seguridad, como sucede, en concreto, con los tres servicios que presentamos en este anexo técnico, por su importancia. Además de la autenticación, de la integridad/autenticidad y del no rechazo, se suele incluir entre los objetivos de seguridad a la confidencialidad5), que también se basa en mecanismos técnicos eminentemente criptográficos.

    La criptografía es una disciplina que incluye los principios, medios y métodos para la transformación de los datos con el fin de ocultar su contenido semántico, prevenir su uso no autorizado, o impedir su modificación no detectada6). En general, nos referiremos a técnicas de protección de la información mediante el desorden de los elementos que la conforman, como la transposición o sustitución (cryptós) de las letras (graphós) de un documento, con el objetivo de hacerlo confidencial7). La criptografía se diferencia de la esteganografía, que tiene por objetivo esconder la información (esteganós) entre las letras (graphós) de un documento8).

    La aplicación de la criptografía a las tecnologías de la información y la comunicación se basa en algoritmos y claves correspondientes a las diferentes cifras, simétricas y asimétricas, que se utilizan como mecanismos de seguridad, para el cifrado, resumen, comprobación de mensaje o firma digital.

    Una cifra9) es un algoritmo diseñado para proteger una información (sea una comunicación en tránsito o un documento más o menos perdurable) de forma que los terceros no autorizados no puedan acceder. Las cifras se basan en el uso de claves para transponer10) o sustituir11) la posición de los signos alfabéticos y numéricos que componen el documento, operación que se denomina “cifrar”12), y que se define, en términos generales, como la transformación criptográfica de datos13).

    La clave aporta la información necesaria para devolver el documento, ahora desordenado y por tanto ininteligible, a su estado original, operación que se denomina “descifrar”14).

    Las cifras pueden ser simétricas o asimétricas:

    – La cifra simétrica15) utiliza una sola clave para cifrar y para descifrar y, en consecuencia, esta clave ha de ser conocida por el originador y por el destinatario de la transmisión o del documento confidencial.

    Las cifras simétricas son muy eficientes y permiten ejecutar operaciones con mucha velocidad, pero el descubrimiento de la clave (o del libro de claves, en su versión más sofisticada) compromete la seguridad de todas las informaciones protegidas con esta cifra.

    – La cifra asimétrica16) utiliza dos claves, una para cifrar y otra para descifrar, de forma que ya no es necesario que el originador y el destinatario de la transmisión o del documento confidencial compartan ninguna clave.

    Las cifras asimétricas son muy seguras, pero no son tan eficientes computacionalmente como las cifras simétricas, y además incrementan de forma muy importante el volumen del objeto firmado.

     

    1. LOS ALGORITMOS CRIPTOGRÁFICOS

    Los algoritmos que tienen por finalidad el tratamiento del secreto de la información se denominan criptográficos, e implementan el uso de cifras seguras en los servicios de seguridad de la TIC. Un algoritmo criptográfico es una secuencia finita de reglas bien definidas para la solución de un problema, en este caso, orientado a la garantía de la seguridad de la TIC; conjuntamente con los datos, es la base del producto informático, formado habitualmente por un bien de equipo (hardware) y una aplicación o programa (software).

    Los algoritmos criptográficos constituyen los mecanismos más importantes de los servicios de seguridad de las TIC y, por tanto, los mismos, y sus implementaciones en forma de programas, deben resultar confiables.

    Uno de los principales inconvenientes de todos los algoritmos de cifrado es que, debido al tipo de problema matemático en el que se basan, cuya dificultad de resolución es precisamente lo que lo hace seguro –propiedad que se denomina “inviabilidad computacional”–, cuanto más tiempo transcurre desde su aplicación, mayor es la posibilidad de encontrar un algoritmo que produzca resultados fraudulentos, en especial debido al incremento progresivo de la capacidad de cálculo.

    Por ejemplo, si nuestra clave secreta simétrica tiene 128 bits, existen aproximadamente 340 billones de cuatrillones de posibles claves17), por lo que en un ataque por fuerza bruta el número de intentos que se debe realizar para descubrir la clave se considera computacionalmente inviable con la tecnología actual18).

    En definitiva, ello implica que, por ejemplo, una firma digital creada hoy sea sólo segura mientras tanto el algoritmo como la clave empleada no hayan sido superados por la capacidad de cálculo de un atacante, entre otros retos; por lo que, en términos prácticos, se suelen marcar periodos de tiempo durante los cuales se considera seguro el empleo de una cifra, y transcurridos los mismos, resulta necesario aplicar medidas adicionales de protección a un testimonio de seguridad basado en criptografía, como una firma digital o un código de autenticación de mensaje.

    No cabe decir que la seguridad de los algoritmos criptográficos es una de las principales preocupaciones del sector, por lo que la autorregulación establece normas muy concretas referidas al uso de los concretos algoritmos en cada protocolo y en cada momento del tiempo.

    Por ejemplo, la especificación técnica IETF RFC 6151:2011 prohíbe el empleo del algoritmo de resumen MD5 en relación con la creación de firmas digitales, aunque no en otros mecanismos de seguridad. Por su parte, la especificación técnica IETF RFC 6194:2011 prohíbe el empleo del algoritmo de resumen SHA-0 en los protocolos de Internet, mientras que recomienda la sustitución del algoritmo de resumen SHA-1 por otros más robustos, como SHA-256, aunque no prohíbe el uso de SHA-1 debido al impacto que ello tendría en las infraestructuras de clave pública, empleadas en casi todos los protocolos de seguridad de Internet.

    Finalmente, y sin ánimo alguno de exhaustividad, la especificación técnica IETF RFC 7465:2015 prohíbe el uso del algoritmo simétrico RC4 en todas las versiones de TLS, debido a la existencia de debilidades demostradas académicamente que lo hacen vulnerable.

    En todos estos casos, el autorregulador correspondiente19) toma una decisión indudablemente reguladora, con base en los descubrimientos publicados en instancias académicas o en otras instancias de autorregulación20), lo que aporta a dicha decisión una fuerte legitimación, así como un estándar aceptado que informa la actuación de todas las partes involucradas.

    Veamos, a continuación, algunos de los algoritmos que se emplean en los servicios de seguridad de la TIC, dentro del ámbito de nuestro estudio21): se trata de los algoritmos de resumen, de código de autenticación de mensaje y de firma digital.

     

    1.1. Los algoritmos de resumen

    El algoritmo de resumen permite obtener una versión reducida de un conjunto de datos, como por ejemplo un documento que hay que firmar digitalmente. De acuerdo con la norma internacional ISO/IEC 10118-1:2000 (2.ª ed.)22), los algoritmos de resumen resultan aplicables a los servicios de autenticación, integridad y no rechazo23).

    Este sistema se aplica de forma independiente o en combinación con otros algoritmos criptográficos, como los códigos de autenticación de mensaje o la firma digital, por razones de eficacia24), compatibilidad e integridad.

    También en la generación de sellos de tiempo electrónicos se emplean resúmenes criptográficos, en concreto sobre los objetos digitales a proteger mediante los sellos de tiempo, de forma que estos resúmenes se incorporan a los sellos de tiempo electrónico, que se firman digitalmente para su seguridad.

    Otras aplicaciones que requieren autenticación y/o integridad, pero no rechazo, también utilizan estos algoritmos de resumen. Por ejemplo, para la transmisión segura de una contraseña se envía el resumen criptográfico de la misma, en lugar de la contraseña en claro, permitiendo la autenticación sin revelar el secreto en cuestión.

    El algoritmo de resumen perfecto debe garantizar una serie de condiciones25):

    – Debe ser unidireccional; esto es, dado un conjunto de datos, la posibilidad de encontrar un segundo conjunto de datos con el mismo hash debe requerir operaciones, donde L es el número de bits del resumen.

    – Debe ser resistente a colisiones; esto es, la posibilidad de encontrar dos conjuntos de datos diferentes con el mismo resumen criptográfico debe requerir operaciones, donde L es el número de bits del algoritmo.

    Es importante reseñar que existen diversos algoritmos de resumen criptográfico, incluyendo algoritmos de resumen basados en bloques de n-bits26), en funciones dedicadas27) y en aritmética modular28); de entre los cuales se debe emplear el que corresponda en función de las necesidades, y dentro del marco de la autorregulación o legislativo que corresponda en cada caso.

     

     

     


     

    1

    Que ciertamente presenta necesidades y requisitos que pueden ser diferentes a los de la autenticación de documentos.

    2

    El título de la norma es Sistemas de procesamiento de la información –Interconexión de sistemas abiertos– Modelo básico de referencia –Parte 2: Arquitectura de seguridad–. Se trata de una norma idéntica a la Recomendación X.800 (1991) de la ITU-T.

    3

    ISO 7498-2:1989, sección 3.3.51. También es frecuente referirse a procesos de seguridad, como término intercambiable con el de servicio de seguridad (por ejemplo, cfr. ISO 16609:2012, Servicios financieros –Requisitos para la autenticación de mensajes empleando técnicas simétricas–.

    4

    Normalmente se va a hablar de amenazas, para mitigar las cuales existen controles, entre los cuales, los servicios de seguridad de las tecnologías de la información y la comunicación.

    5

    Un ejemplo de servicio de seguridad de las TIC sería el control de acceso, que apoya el objetivo de seguridad de la confidencialidad.

    6

    Cfr. definición 2126278 de la norma ISO/IEC 2382:2015.

    7

    La criptografía se ha empleado desde tiempos remotos, siendo una de las primeras referencias bien conocidas la “clave del César”.

    8

    Generalmente con el objetivo de poder trazar la autenticidad de la información, se incluye información oculta en la misma, a modos de marcas de agua.

    9

    El Diccionario de la Real Academia de la Lengua la define como la “escritura en que se usan signos, guarismos o letras convencionales, y que solo puede comprenderse conociendo la clave”.

    10

    Cfr. definición 2126292 de la norma ISO/IEC 2382:2015.

    11

    Cfr. definición 2126293 de la norma ISO/IEC 2382:2015.

    12

    Atención al uso del incorrecto término “encriptar”, muy generalizado, pero no recogido en el Diccionario de la Real Academia de la Lengua Española.

    13

    Definición 2126279 de la norma ISO/IEC 2382:2015.

    14

    Cfr. definición 2126281 de la norma ISO/IEC 2382:2015, y atención al uso del también incorrecto término “desencriptar”, igualmente generalizado, y tampoco recogido en el Diccionario de la Real Academia de la Lengua Española.

    15

    Cfr. la definición 2126290 de la norma ISO/IEC 2382:2015.

    16

    También denominada “de clave pública”. Cfr. la definición 2126289 de la norma ISO/IEC 2382:2015.

    17

    340.282.366.920.938.463.463.374.607.431.768.211.456 claves. Esto sería lo que habitualmente se conoce como “sixtillón”, término que no aparece en el Diccionario de la Real Academia de la Lengua.

    18

    Como indica Mateti (2013), el número de intentos para una clave de 128 bits sería aproximadamente de 170 billones de cuatrillones; sin embargo, recuerda que inviabilidad computacional no significa no computable, en el sentido de la teoría de la computabilidad, ni que no resulte posible diseñar ataques que encuentren la clave en un tiempo breve, empleando diversos tipos de técnicas, como, por ejemplo, de tipo heurístico.

    19

    En relación con los protocolos y aplicaciones de Internet, nos referimos en gran medida al IETF, así como al W3C.

    20

    Como el NIST de los EEUU, que desde luego tiene un papel absolutamente relevante en materia de algoritmos criptográficos de amplia utilización.

    21

    No vamos a ver, en concreto, los algoritmos de cifrado, ya que los mismo se emplean para la confidencialidad.

    22

    El título de la norma es Tecnología de la información –Técnicas de seguridad– Funciones de resumen –Parte 1: General, y se encuentra actualmente en revisión. La primera edición es de 1994–.

    23

    Cfr. sección 1 de la norma.

    24

    La firma digital creada a partir de un mensaje breve es más corta que sobre un mensaje largo, y lógicamente requiere menor capacidad de cómputo.

    25

    Cfr. sección 3.5 de la norma internacional ISO/IEC 10118-1:2000, así como Hoffman & Schneier (2005).

    26

    Cfr. la norma internacional ISO/IEC 10118-2:2010 (3.º ed.)

    27

    Cfr. la norma internacional ISO/IEC 10118-3:2004 (3.ª ed.), modificada en 2006, que normaliza algoritmos como RIPEMD, SHA y WHIRLPOOL.

    28

    Cfr. la norma internacional ISO/IEC 10118-4:1998 (1.ª ed.), que normaliza los algoritmos MASH. Existen correcciones y modificaciones en 2014.

     

  • Capítulo 2. Las instituciones jurídicas de acreditación de la actuación electrónica y los servicios que las sustentan (IGNACIO ALAMILLO DOMINGO)
  • Capítulo 3. Los servicios de identificación y autenticación electrónica (IGNACIO ALAMILLO DOMINGO)
  • Capítulo 4. El uso de los medios de identificación electrónica personal para la autenticación transfronteriza en la UE (IGNACIO ALAMILLO DOMINGO)
  • Capítulo 5. La firma electrónica, el sello electrónico, y los servicios de confianza que los sustentan (IGNACIO ALAMILLO DOMINGO)
  • Capítulo 6. La regulación del uso de la firma electrónica y del sello electrónico en relaciones jurídicas concretas (IGNACIO ALAMILLO DOMINGO)
  • Capítulo 7. Otras pruebas electrónicas sustentadas por servicios de confianza (IGNACIO ALAMILLO DOMINGO)
  • Capítulo 8. El estatuto de los prestadores de servicios de confianza para las transacciones electrónicas (IGNACIO ALAMILLO DOMINGO)
  • Capítulo 9. El régimen administrativo de supervisión y control aplicable a los servicios de confianza (IGNACIO ALAMILLO DOMINGO)
  • Acrónimos. Acrónimos
  • Normativa citada. Normativa citada
  • Bibliografía

(Autor)

Ignacio Alamillo Domingo

(Prólogo)

Julián Valero Torrijos