Asociaci贸n de Internautas

Logo 1

El fracaso del DNI electr贸nico: caos, vulnerabilidades y todav铆a m谩s confusi贸n

El fracaso del DNI electr贸nico: caos, vulnerabilidades y todav铆a m谩s confusi贸n


Ha pasado una semana desde que el Ministerio del Interior tomara la decisi贸n de desactivar el certificado digital de parte de los actuales DNIe, pero estos d铆as lo 煤nico que ha crecido es la incertidumbre y las dudas sobre un problema que podr铆a ser mayor de lo que parec铆a en primera instancia.


Javier Pastor en Xataka .- Las informaciones que llegan en los 煤ltimos d铆as nos hablan de fallos a煤n m谩s graves, de una gesti贸n desastrosa de la crisis, de una comunicaci贸n muy mejorable y de una falta de transparencia importante. Todo ello se une a una realidad palpable: la de que el DNIe sigue fracasando como medio para autenticarnos y firmar digitalmente documentos electr贸nicos.

La vulnerabilidad sigue presente

La vulnerabilidad ROCA (CVE-2017-15361) que afecta a los chips inteligentes integrados en el Documento Nacional de Identidad electr贸nico (DNIe) de Espa帽a se detect贸 hace semanas, pero fue una investigaci贸n por parte de expertos de la Universidad Masaryk (en Brno, Rep煤blica Checa) la que confirm贸 la gravedad del problema.

Dnie1

Al conocerse el problema, el gobierno de Estonia desactiv贸 los certificados digitales de m谩s de 750.000 documentos de identidad del pa铆s, y pronto se supo que en Espa帽a el problema era esencialmente el mismo, lo que gener贸 la misma reacci贸n por parte del Ministerio del Interior, que tambi茅n anunci贸 la desactivaci贸n de tal funci贸n de los DNIe emitidos a partir de abril de 2015.

Durante la investigaci贸n, expertos de la empresa Enigma Bridge que participaron en el descubrimiento de la vulnerabilidad pusieron en marcha un sitio web informativo que adem谩s permit铆a a los afectados comprobar si estaban afectados por el problema. En Espa帽a precisamente es esa falta de informaci贸n la que est谩 siendo preocupante.

La informaci贸n oficial, pr谩cticamente inexistente en Espa帽a

Estonia es un pa铆s en el que el uso de este documento es de hecho cr铆tico para el funcionamiento de muchos de los servicios p煤blicos, algo que tambi茅n provoc贸 que los responsables de gobierno y de estas gestiones electr贸nicas hayan puesto en marcha diversas medidas para tratar de minimizar el problema.

Dnie4

Toomas Ilves, ex-presidente de Estonia, comentaba en ITPro las diferencias entre la gesti贸n que se ha hecho en su pa铆s y en Espa帽a. La 煤nica diferencia, explicaba, es que Estonia es transparente, mientras que "otros pa铆ses y organizaciones permanecen en silencio sobre el mismo problema".

Los investigadorez checos que descubrieron el problema informaron a las autoridades de Estonia en agosto, pero seg煤n Ilves Infineon, fabricante de los chips, ya sab铆a que exist铆a un problema desde febrero de 2017, y ni ellos ni Gemalto ?fabricante de las tarjetas en las que se integran esos chips? dijeron nada hasta hace poco.

En nuestro pa铆s la informaci贸n no ha pasado de un breve comunicado en el sitio web del DNI electr贸nico que no se ha actualizado desde que apareciera en la comunicaci贸n original del problema. Ni las cuentas en redes sociales de la Polic铆a ni otros 贸rganos p煤blicos han dado m谩s datos sobre el impacto de la vulnerabilidad y c贸mo actuar en caso de estar afectados.

Hay excepciones, no obstante, y existen empresas que han hecho uso de esta tecnolog铆a y est谩n reaccionando de forma mucho m谩s transparente a la hora de gestionar la crisis e informar sobre ella. La empresa vasca Izenpe, proveedora de servicios de certificaci贸n ha publicado informaci贸n detallada sobre el problema, indicando que ha revocado 30.000 certificados. Adem谩s permite comprobar si un usuario est谩 afectado a trav茅s de su web e indica los pasos para sustituir los certificados afectados.

Dni3

El impacto a nivel nacional podr铆a ser enorme a juzgar por diversos estudios preliminares. En El Correo de Andaluc铆a por ejemplo hablaban esta semana de c贸mo "alrededor de 400.000 sevillanos est谩n afectados por el fallo de seguridad detectado en el DNI".

驴Cu谩l es el alcance a nivel nacional? El anuario estad铆stico del Ministerio del Interior revela que en 2016 se produjeron 6.009.848 DNI en toda Espa帽a, y aunque no se tienen datos cerrados de 2017, las previsiones que la Direcci贸n General de la Polic铆a ha facilitado a Comisiones Obreras se estima que se har谩n unos 7 millones de documentos. Esos datos permiten deducir que la vulnerabilidad "podr铆a afectar a m谩s de 17 millones de DNI a nivel nacional".

Desactivaci贸n masiva de los PADs para actualizar el DNIe

Otro de los errores a la hora de gestionar el problema lo ha cometido la Direcci贸n General de la Polic铆a, que como revelan en ElDiario.es apag贸 todos los Puestos de Actualizaci贸n del DNI electr贸nico (PADs) que est谩n presentes en la mayor铆a de Oficinas de Documentaci贸n de Espa帽a.

Pads1

Este organismo emiti贸 un comunicado que ordenaba a los empleados de esas oficinas a apagar los PADs a partir de las 8 de la ma帽ana del 6 de noviembre, adem谩s de no entregar el "sobre ciego que contiene el n煤mero secreto o PIN", y tampoco realizar duplicados de los documentos de ciudadanos que acudan alegando que el chip no funciona o que tiene un error.

Pads2

El problema es que esa desconexi贸n de los PADs afectaba a todos los ciudadanos, tuviesen o no el problema en sus DNIe. Para corregir el problema, la DGP envi贸 un nuevo comunicado el pasado 10 de noviembre para tratar de solventar el desastre.

Pads3

En dicho comunicado se explicaba que s铆 se permitir铆a cambiar el PIN o clave secreta del DNI y la renovaci贸n de sus certificados a aquellos ciudadanos con un DNIe anterior a abril de 2015. Son los funcionarios de estas oficinas los que deben comprobar si dichos DNIs est谩n o no afectados, en funci贸n de lo cual podr谩n usar esos terminales para actualizar esos datos sin problemas.

驴De verdad se han revocado los certificados digitales?

La gesti贸n de esta vulnerabilidad parec铆a en parte resuelta con la decisi贸n del Ministerio del Interior de deshabilitar la funci贸n de certificados digitales de los DNI electr贸nicos afectados, pero lo cierto es que dicha desactivaci贸n no parece haberse realizado de forma completa.

As铆 lo revelan mensajes en Twitter de ciudadanos que confirman que han podido seguir utilizando su DNIe para firmar documentos digitalmente y seguir realizando gestiones en la administraci贸n p煤blica como hasta ahora.

Esos datos se confirmar con investigaciones como la que han realizado en la Universidad de Zaragoza, donde el autor, Juan Arana, explicaba c贸mo hab铆an comprobado con un DNIe posterior a abril de 2015 que se puede entrar en la Carpeta del Ciudadano a trav茅s de Cl@ve y tambi茅n en la DGT para consultar los puntos con certificado digital.

Esas operaciones son de autenticaci贸n y no requieren clave privada, destacaba en su estudio Arana, pero a帽ad铆a algo m谩s preocupante: la prueba para firmar digitalmente documentos tambi茅n funcionaba. "Hemos firmado con la aplicaci贸n Cliente @Firma del Ministerio de Hacienda y Funci贸n P煤blica (隆vale!, esa aplicaci贸n no comprueba si el certificado est谩 revocado) y a continuaci贸n hemos comprobado que esa firma es correcta en valide.redsara.es, servicio de MINHAFP que si que comprueba que el certificado no est谩 revocado."

Eso parece revelar que la DGP, como conclu铆a este estudio, no ha revocado los certificados de momento de forma completa, y no hay ninguna comunicaci贸n oficial que permita obtener detalles espec铆ficos sobre esa revocaci贸n (o ausencia de ella) en los canales oficiales.

Se pueden seguir falseando firmas

El problema de hecho se ha agravado con un descubrimiento que va m谩s all谩 de la vulnerabilidad original. El pasado fin de semana se publicaba en VozPopuli otra informaci贸n seg煤n la cual la brecha de seguridad del DNIe era m谩s amplia de lo que se pensaba.

Certificado3

Un experto en seguridad espa帽ol llamado H茅ctor M. ha descubierto que adem谩s de la vulnerabilidad ROCA existe otra en la emisi贸n de la firma digital. Seg煤n sus investigaciones, explicaba este experto:

Todo contrato que se haya formalizado con esas firmas que se acaban de anular no tiene garant铆a. No vale solo con anular la firma, porque tal y como est谩 dise帽ado el DNI 3.0 no se puede saber cu谩ndo han sido firmados esos documentos. Al no haber una fecha de firma en el sistema dise帽ado por la DGP no se sabe en el momento en el que algo ha sido firmado o no. Para descubrirlo habr铆a que acudir a la tercera parte implicada, el banco con el que se ha utilizado la firma o el organismo p煤blico, que tendr谩n que estudiar cada caso para saber el momento en el que se formaliz贸 el certificado.

Eso significa que como explicaba H茅ctor M., un ciberdelincuente "podr铆a firmar un contrato haci茅ndose pasar por otra persona, con una firma falsa y con fecha en el pasado o el futuro, y no habr铆a forma de saber si la firma es falsa o no". De hecho aunque la DGP marque esos certificados como no v谩lidos, no pueden bloquear su uso.

La soluci贸n al problema existe ?茅l mismo apuntaba a mecanismos como el llamado 'sellado de tiempo'?, pero esa opci贸n no est谩 integrada en el sistema utilizado en el DNIe 3.0 puesto que "cada prestador de servicios decide tener una tercera parte que certifique la fecha de las firmas, y no todos lo hacen"

Las buenas noticias: casi nadie usa el DNIe porque es una pesadilla

Ir贸nicamente el alcance del problema podr铆a minimizarse gracias a una realidad palpable: la de que el uso pr谩ctico del DNI electr贸nico es muy reducido. En Cinco D铆as por ejemplo indicaban que seg煤n datos de 2014 (los m谩s recientes que existen, aqu铆 la transparencia vuelve a ser un problema) estos documentos solo se hab铆an utilizado para un 0,02% de los tr谩mites p煤blicos.

Certificado1

Ese reducid铆simo uso del DNIe con la funci贸n con la que naci贸 es como decimos lo 煤nico "bueno" de esta crisis: los certificados digitales integrados en los DNIe emitidos a partir de abril de 2015 son vulnerables, pero dado que la inmensa mayor铆a de la poblaci贸n no los utiliza, el impacto del problema es muy diferente al de Estonia, donde estos documentos son b谩sicos para realizar todo tipo de gestiones p煤blicas.

El fracaso de este sistema de identificaci贸n y realizaci贸n de gestiones digitales era ya patente en 2013, tal y como revelaban en ElDiario.es. Entonces se hab铆an emitido 36 millones de unidades, pero indicaban que tras esos m谩s de siete a帽os y medio de funcionamiento, el certificado digital era "un fracaso generalizado en su falta de adopci贸n".

Eso, argumentaban entonces, llev贸 a la DGP a crear el DNIe 3.0, un documento que precisamente se present贸 en enero de 2015 con novedades como algunos elementos adicionales de seguridad o el soporte de NFC.

Aquella propuesta parece haberse convertido en otra oportunidad perdida, y hay algunos relatos de terror sobre experiencias de uso que parecen la norma. En El Diario de Navarra ya nos hablaban de los numerosos problemas que conllevaba hacer cualquier gesti贸n con un DNI electr贸nico: desde la propia obtenci贸n del certificado digital hasta su uso. Los lectores de DNI, navegadores compatibles y servicios que funcionan hac铆an el funcionamiento err谩tico en el mejor de los casos.

Certificado2 La usabilidad del DNIe es una de las grandes barreras para su adopci贸n masiva. Fuente: Asociaci贸n de Internautas

Esas experiencias no parecen haber cambiado tras la aparici贸n del DNIe 3.0, y en la Asociaci贸n de Internautas tambi茅n hablaban de los numerosos problemas con controladores de dispositivos, las versiones de los navegadores adecuados y sus opciones o la usabilidad de un sistema que no est谩 pensado para el ciudadano de a pie.

Eso es en s铆 un buen resumen de la realidad del DNIe en Espa帽a. Infrautilizado y con una gesti贸n y transparencia por parte de los organismos oficiales que no facilitan las cosas. Para muchos la alternativa, obtener un certificado de la F谩brica Nacional de Moneda y Timbre, acaba resultando mucho m谩s f谩cil y no suele dar ni mucho menos tantos problemas.

En Xataka | El DNI electr贸nico, uno de los grandes fiascos de los 煤ltimos a帽os