Dificultades expandiendo la firma electrónica

26 de Agosto de 2010

Nosotros en isigma tenemos una meta muy clara: que todo el mundo pueda firmar electrónicamente. Lo podemos llamar “signature made easy”, “popularizando la firma electrónica” o como queramos, pero el objetivo es claro.

Logos de los navegadores más utilizadosPero con los navegadores hemos topado. Y no es que pongan dificultades porque sí. Generalmente están justificadas, lo que ocurre es que cada uno pone unas y dificultan mucho a los Prestadores de Servicios de Certificación (PSCs) definir unos perfiles de certificados y unos servicios de validación que funcionen correctamente con las soluciones de mercado, mayormente Microsoft (r) Internet Explorar y Firefox.

Desde isigma colaboramos con varios de estos PSCs en la inclusión de sus certificados en los

navegadores más extendidos (y otras aplicaciones.)

¿Y eso para qué sirve?

Básicamente para que cuando se trata de utilizar un certificado en una aplicación web no aparezca un aviso del navegador de que “no se confía en el certificado”, lo que produce pavor en los usuarios y directamente no utilizan la aplicación.

Mensaje de Firefox conforme no confía en el certificado

Internet Explorer

Hace unos años, para que Microsoft cargara el certificado raíz del PSC y tantos certificados subordinados como quisieses, “bastaba” con pasar una auditoríaWebTrust for CA. “bastaba” entrecomillado pues no es baladí pasar esta auditoría y además cuesta unos buenos dineros. Pero con esto bastaba.

En la actualidad, aunque no es un requisito, es recomendable tener vigente una auditoría WebTrust o una sobre la ETSI y Microsoft sólo carga certificados raíz.

¿Y eso qué implica?

La mayoría de los PSCs tienen al menos una jerarquía de certificación de dos niveles, esto es, hay un primer nivel llamado Autoridad (o entidad) de Certificación raíz – AC raíz – (cuyas claves están extremadamente protegidas y suelen ser servicios off-line), un segundo  o más niveles de Autoridades de Certificación subordinadas – AC sub -, que emiten los certificados de entidad final (mi certificado, el certificado de la web de Hacienda, el certificado con el que isigma firma sus desarrollos, etc.)

La jerarquía de certificación del DNIe tiene dos niveles, como se puede apreciar en la web de zonatic. En cambio la jerarquía de la Agència Catalana de Certificació – CATCert tiene tres.

Si el navegador tiene cargado el certificado de la AC raíz y mi certificado lo emite una AC sub (de cuyo certificado NO dispone el navegador), el navegador no puede construir la cadena de confianza (es decir, enlazar cada certificado con su “padre”) y nos da el mismo error (¡y eso que el PSC ha hecho los esfuerzos para que su certificado raíz esté en el navegador!)

Solución

Dos posibilidades. O cada usuario se instala a mano el certificado de la Autoridad de Certificación Subordinada en su navegador (para todo navegador y para toda AC sub de las que tenga certificados). Esto es inviable, el ciudadano no tiene conocimientos de certificación digital y además no tiene porqué tenerlos!

La otra posibilidad es usar una extensión de los certificados llamada Authority Information Access (AIA), que permite a la aplicaciones “buscar en la red” el certificado de la AC firmante (ya sea raíz o sub.) Esta solución también tiene sus pegas: primera, que todos los certificados emitidos hasta la fecha, no contarán con esta extensión (un certificado emitido no se puede modificar) y segunda que obliga a los PSCs a modificar los perfiles de sus certificados futuros. Pero es lo que hay.

Mozilla Firefox

Hace también unos años (los mismos), ayudamos a un PSC a que se cargasen sus certificados de AC en Mozilla Firefox y la cuestión se resolvió en tres meses escasos.

Hoy en día es necesario alrededor de cuatro o cinco veces más de tiempo para lograr lo mismo, entre otras razones porque Mozilla tarda muchísimo en poner en fase de discusión pública la inclusión de un certificado, porque cada vez son más exigentes con los procedimientos de los PSCs.

Además, igual que Microsoft, sólo cargan las AC raíz…¡¡y hacen caso omiso de la extensión AIA!!

Y para mayor dificultad de los PSCs, realizan una validación del estado de certificados mediante el protocolo OCSP un poco peculiar, que está obligando a los PSCs españoles que tiene varias AC sub a publicar tantos servicios OCSP como AC sub, cuando con uno podría bastar.

En fin que los PSCs están condenados a seguir invirtiendo recursos y tiempo en que los certificados que emiten trabajen de forma “transparente” con los navegadores, y los ciudadanos de a pie a aprender un poquito de certificación digital.

Quizá la interoperabilidad debería definirse desde el usuario final (ciudadano de a pie) hacia arriba, quizá no nos estaríamos preguntando porqué no se implanta la facturación electrónica en la PyMEs o porqué no se usa el DNI electrónico (como nos preguntamos nosotros aquíaquí, aquíaquíaquí, ¡uff!)

Se acabó el Fax, larga vida a la firma electrónica

17 de Agosto de 2010

fax

fax

“Envíame la autorización firmada por Fax”

Seguramente nos han pedido esto centenares de veces, y lo hemos hecho sin rechistar. Cuando recibe el Fax, el receptor se queda tranquilo. Ya puede proseguir con el proceso. ¿Pero que valor legal tiene ese fax? Vamos a analizarlo.

Cuando me lo piden a mi, como siempre trato de evitar impresiones innecesarias de papel, el procedimiento que sigo es el siguiente:

  • Elaboro el documento que me han pedido
  • Inserto  mi firma manuscrita, previamente escaneada, en la posición del documento que corresponda
  • Envío el documento a un “Fax virtual”, que lo hace llegar al destinatario con el mismo aspecto que si lo hubiera firmado a mano

Os aseguro que he hecho esto muchas veces (bancos, compañías de seguros, agencias de viajes, telecos, suministros,…)  y nunca me han rechazado la autorización.

Cuando alguien te pide que le  firmes una autorización, el objetivo que persigue es recoger una prueba que le cubra las espaldas en caso de que el proceso salga mal. Para que le cubra las espaldas, la prueba tiene que ser contundente. Debe demostrar sin ambigüedad que tu y solo tu le has autorizado a llevar a cabo el proceso.

¿Demuestra algo el Fax?

A la vista de como elaboro yo mis firmas para fax, es evidente que NO.  Cualquiera podría obtener una copia de mi firma escaneada e insertarla en cualquier documento. El riesgo para el firmante, es que cualquiera puede suplantarle y probablemente causarle un perjuicio. Para la entidad que lleva a cabo el proceso, el riesgo es que si no puede demostrar que fue autorizado por la persona correcta, será la responsable del perjuicio.

¿Existe una herramienta telemática alternativa?

Definitivamente SI. Más de 15 millones de ciudadanos ya cuentan con un DNI electrónico que les permite firmar electrónicamente documentos con la misma validez legal que la firma manuscrita (Ley 59/2003). El DNI-e es como una tarjeta bancaria: para firmar es necesario llevarlo encima, y además necesitamos conocer el PIN asociado. En este contexto, para que nos suplanten debemos haber sido muy descuidados.

¿Cómo enviar peticiones de firma online?

Cualquiera puede enviar una petición de firma de autorización a través de PortaSigma. Tan solo es necesario subir el documento y enviar la petición de autorización. La identidad de nuestro autorizador quedará perfectamente vinculada al documento, y se cubrirá el objetivo de cubrir las espaldas del autorizado.

Puedes obtener más información y probar gratis PortaSigma en: www.portasigma.com

Román de Blas / rdeblas@isigma.es /www.isigma.es

Muy pronto será posible firmar con PortaSigma desde el movil

2 de Agosto de 2010

Muy pronto PortaSigma permitirá la firma de documentos a través de dispositivos moviles.

Con esta nueva prestación, nos será posible firmar documentos desde cualquier ubicación, siempre que llevemos nuestro movil con nosotros.

Gracias a ello, médicos y veterinarios podrán firmar recetas electrónicas, los comerciales de las empresas podrán recoger pedidos firmados con certificado digital, o los directivos más itinerantes podrán autorizar procesos de la organización que requieran intervenciones ágiles.

PortaSigma seguirá creciendo adaptándose a las necesidades de sus usuarios, y prevé la incorporación en breve de otras nuevas funcionalidades, y el desarrollo de una API (Application Programming Interface) que habilite métodos sencillos para que nuestros clientes puedan incorporar toda la tecnología de firma electrónica en sus sistemas.

Román de Blas / rdeblas@isigma.es

Aprobada la “llei d’ús dels mitjans electrònics al sector públic de Catalunya”

29 de Julio de 2010

La llei d’ús dels mitjans electrònics al sector públic de Catalunya (LMESPC), es similar a la ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos al sector público (LAECSP).Los pueblos unidos por los medios electrónicos

Con otras palabras en algunos casos, pero comparten principios, finalidad…

Y si ya existía la LAECSP, ¿por qué era necesaria la LMESPC? El secreto no está en la masa, sino en los ámbitos de aplicación.

La LAECSP es aplicable a TODAS las adminisración púbicas del Estado; sin embargo, se trata de una ley muy conceptual, imprecisa o ambigua en algunos casos y necesitada de concreción. La concreción llegó con el Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, cuyo ámbito de aplicación no alcanza a todas las administraciones del Estado sino que aplica (artículo 1.2):

“a) A la actividad de la Administración General del Estado, así como de los organismos públicos vinculados o dependientes de la misma.

b) A los ciudadanos en sus relaciones con las entidades referidas en el párrafo anterior.

c) A las relaciones entre los órganos y organismos a los que se refiere el párrafo a).”
La LMESPC es mucho más precisa y su ámbito de actuación se circunscribe a las Adminisracione Públicas Catalanas.
Los distintos “objetos” de ambas leyes dan una idea clara de lo que se puede esperar de cada una de ellas:
  • LAECSP: “La presente Ley reconoce el derecho de los ciudadanos a relacionarse con las Administraciones Públicas por medios electrónicos y regula los aspectos básicos de la utilización de las tecnologías de la información en la actividad administrativa, en las relaciones entre las Administraciones Públicas, así como en las relaciones de los ciudadanos con las mismas con la finalidad de garantizar sus derechos, un tratamiento común ante ellas y la validez y eficacia de la actividad administrativa en condiciones de seguridad jurídica”, empezando por reconocer derechos de los ciudadanos.
  • LMESPC: “[...] la regulación del uso de los medios electrónicos por las entidades que integran el sector público de Cataluña y de los instrumentos de cooperación y colaboración interadministrativa para mejorar la transparencia, eficacia, eficiencia y calidad en las relaciones entre el sector público y con los ciudadanos y ciudadanas”, comenzando por regular el sector público.
Muestra del enfoque más práctico de la LMESPC son ejemplos como el Article 16. Criteris per a la incorporació de mitjans electrònics en l’actuació del sector públic, que regula cómo se han de incorporar los distintos medios electrónicos en las administraciones públicas (catalanas), o el Article 22. Catàleg de Dades i Documents Interoperables a Catalunya, definido como
la herramienta de que se dota el sector público de Cataluña para hacer efectivo el derecho de los ciudadanos y ciudadanas a no aportar los datos y documentos que estén en poder de las administraciones públicas“.
De hecho este catálogo ya existe (no he sido capaz de dar con el enlace a la información en castellano.)
Llega a detalle de mencionar cuestiones de facturación electrónica en la disposición adicional quinta Ús de la factura electrònica, con un plazo de sólo 6 meses (a partir de hoy) para que la AP catalana acepte las facturas electrónicas y promueva su uso entre sus proveedores.
Es muy de agradecer una ley que promueva el acercamiento entre administración pública y ciudadano, que pnga las medias efectivas para la reutilización de tecnologías, programas y aplicaciones con los consiguientes ahorros para los bolsillos de los contribuyentes y que dinamice la sociedad de la información.

Factura electrónica “low cost”

27 de Julio de 2010

Factura electrónica "low cost"Desde el 10 de abril de 2007, la orden EHA/962/2007, del Ministerio de Economía y Hacienda, establece un marco sobre el que implantar sistemas y desarrollar procedimientos sobre los que gestionar la facturación empresarial de forma telemática.

Gracias a esto, España presenta uno de los mejores ratios europeos de implantación de factura electrónica, con una penetración del 12% en 2010.

Sin embargo, esta penetración se ha desarrollado principalmente entre grandes y medianas empresas, mientras en este país, el tejido empresarial está formado mayoritariamente por micro y pequeñas empresas. Todo apunta hacia que las costosas soluciones existentes solo estaban al alcance de las medianas y grandes empresas. Afortunadamente parece que esto está cambiando.

Actualmente hay herramientas que permiten a cualquier empresa beneficiarse del ahorro generado por la facturación electrónica, sencillas y de bajo coste. No olvidemos que cada factura que pasemos de generar en papel a hacerlo en formato digital, nos generará un ahorro cercano a 1 €.

Cuando en isigma planteamos desarrollar una solución, que permitiera a las empresas enviar facturas electrónicas, quisimos cumplir las siguientes premisas:

  1. Que fuera un complemento a cualquier sistema de gestión, para no obligar a las empresas a  sustituir su sistema tradicional, para poder facturar electrónicamente
  2. Que tuviera un coste al alcance de cualquier “bolsillo empresarial”
  3. Que no requiriera desarrollo o integración adicional, y fuera muy fácil de configurar y utilizar

De acuerdo con el marco legal vigente, el eslabón a cubrir para convertir cualquier factura en formato digital, en una factura digital legal, es la firma electrónica. En este contexto, ClickSign Pro es la solución ideal para incorporar la facturación electrónica a cualquier sistema de gestión.

  • ClickSign Pro firma de forma automática todos los documentos que se depositen en una carpeta determinada, así que es un sistema complementario con cualquier sistema de gestión, sin necesidad de desarrollar ni una sola línea de código
  • Es capaz de firmar tanto documentos PDF como documentos XML, por lo que permite trabajar tanto con facturas en PDF, comprensibles para humanos, como con el estándard XML Facturae, procesable por las aplicaciones de gestión de nuestros clientes
  • Los 290 € que cuesta la licencia, lo convierten en una solución más que asequible para empresas de cualquier tamaño

Instalando ClickSign Pro, ya se podrá aplicar la firma electrónica a lotes de documentos de forma automática. ¿Qué hace falta para disponer de una solución completa?

  1. Un mecanismo para generar los documentos en formato PDF. Hay muchas herramientas gratuitas que ofrecen esta funcionalidad. Se integran con nuestro sistema operativo como una impresora más. Cuando elegimos imprimir con esta impresora, en lugar de imprimir un papel, generamos un archivo PDF en la carpeta de nuestro disco que decidamos. Estos son un par de ejemplos de “Impresoras PDF” gratuitas: PDF Creator, Primo PDF,
  2. Un certificado digital emitido por un prestador de servicios de certificación reconocido, que nos permita firmar facturas. Estos son algunos de los reconocidos en España: Firmaprofesional, Camerfirma, FNMT

Reumiendo, todo lo que necesitamos para desplegar una solución de facturación electrónica “low cost”, completamente legal es lo siguiente:

  • Instalar una impresora virtual de PDF
  • Obtener un certificado digital que nos permita firmar facturas
  • Instalar ClickSign Pro.
  • Configurar en ClickSign Pro, las carpetas de entrada y salida de firma, y el certificado digital para firmar

El funcionamiento será el siguiente:

  • Generamos la factura del mismo modo en que lo estamos haciendo ahora
  • En lugar de imprimir en papel lo imprimimos en PDF, y lo depositamos en la carpeta de entrada de ClickSign Pro
  • Recogemos las facturas ya firmadas digitalmente de la carpeta de salida de ClickSign Pro y se las enviamos a nuestros clientes

Vemos que para ser capaces de emitir facturas electrónicas, ya no necesitamos realizar grandes inversiones en desarrollo. Ni tampoco en formar a los usuarios de nuestros sistemas. Implantar la factura electrónica ya está al alcance de cualquiera, nos permitirá ahorrar en nuestros procesos, y la imagen de la empresa frente a nuestros clientes.

Román de Blas

rdeblas@isigma.es / 932387108

Nueva versión de los perfiles de la Ley 11/2007 (LAECSP)

21 de Julio de 2010

perfil de certificadoLa Ley 11/2007, de 22 de junio, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos (LAECSP), define, entre otras muchas cosas, tres tipos básicos de certificados, sobre los que no profundizaremos hoy:

  • Sede electrónica, simplificando, para identificar los sitios web de las administraciones públicas
  • Sello electrónico (o de órgano), para la actualización administrativa automatizada
  • De empleado al servicio de la administración pública, para la identificación y firma de personas físicas al servicio de la administración pública

Desde el 26 de diciembre del 2007, que viera la luz la versión 1 del Esquema de identificación y firma electrónica de las Administraciones públicas Bloque I: Perfiles de certificados electrónicos, que define los perfiles de los certificados anteriores, ha llovido mucho.

Hoy mismo aparece la versión 1.7.6 de este referente para prestadores de servicios de certificación y desarrolladores de aplicaciones que usen los certificados recogidos por la citada LAECSP.

En otra ocasión comentaremos la idoneidad de usar las extensiones qcStatements (qualified certificate statemenst, o declaraciones de certificado reconocido) en certificados que no pueden ser reconocidos (en los términos de la Ley de Firma Electrónica) ni qualified (en los términos de la directiva europea que define el marco de referencia de la firma electrónica)  ya que no incorporan datos de persona física alguna (SEDE y, opcionalmente SELLO.)

También cabe discutir la utilidad versus el coste de incorporar las extensiones de identidad administrativa.

No obstante hoy realizaremos un somero repaso a los cambios entre la nueva versión y la versión 1.7.3, que probablemente haya sido la más maneja por los profesionales de firma electrónica, dado lo “de moda” que se han puesto desde finales de 2.009 los certificados de la LAECSP.

Lo primero que cambia es el nombre, pasando de “Esquema de identificación y firma electrónica de las Administraciones públicas, Bloque I: Perfiles de certificados electrónicos” a “Perfiles de certificados electrónicos” a secas, quizá para evitar referencias a la palabra “Esquema” y reservarla para identificar al Esquema Nacional de Interoperabilidad y al Esquema Nacional de Seguridad.

Se pretende sustituir el concepto de certificado Raíz por el de SubCA o CA subordinada, mucho más acorde con la realidad del mercado. (los prestadores de servicios de certificación -PSCs- no crearán una una CA raíz para emitir certificados de la LAECSP, sino una CA subordinada dentro de su jerarquía establecida.) No se consigue. Siguen apareciendo decenas de referencias a raíz, subraíz y otrasvariantes y sólo se deja claro en la sección”7 Certificado de SubCA

Por otro lado, requisitos como que la duración de este certificado fuera de 12 años, cuando los PSCs podrían haberse sentido más cómodos con plazos mayores, ahora pasa a ser una recomendación (¿y ahora qué hago yo con este certificado de CA subordinada de 12 años?)

También cambian los requisitos respecto del DN (distinguished name) del issuer (emisor) del certificado SubCA, flexibilizándolo. Esto es algo que el mercado pedía a gritos y muy de agradecer. En general este issuer sí es una CA raíz, con caducidades de hasta 30 años en algunos casos (ahora, tratando de no pasar del año 2031 por recomendaciones de  Microsoft(R)) y creados con pompa y circunstancia: altos cargos, notarios, grabaciones de vídeo y toda una parafernalia necesaria para garantizar que el certificado generado es ése  y no otro. Tener que cambiar un certificado de CA raíz tiene un impacto brutal no sólo por la ceremonia, sino también por los reconocimientos, la inclusión en programas y aplicaciones, etc…

Esta flexibilización permite que los actuales certificados raíz de los distintos PSCs del panorama estatal cumplan con el perfil (¿todos?)

Para acabar este breve análisis superficial (ya lo digo yo antes de que me lo eche en cara alguien) notar que aparece referenciado el Esquema Nacional de Interoperabilidad (en la versión 1.7.3 no podía aparecer porque no existía):

De acuerdo al artículo 18.1 del Real Decreto 4/2010 por el que se regula el EsquemaNacional de Interoperabilidad, la Administración General del Estado definirá una política defirma electrónica y de certificados que servirá de marco general de interoperabilidad para laautenticación y el reconocimiento mutuo de firmas electrónicas dentro de su ámbito deactuación. No obstante, dicha política podrá ser utilizada como referencia por otrasAdministraciones públicas para definir las políticas de certificados y firmas a reconocer dentrode sus ámbitos competenciales.
Según el artículo 18.4, los perfiles comunes de los campos de los certificados definidos por lapolítica de firma electrónica y de certificados posibilitarán la interoperabilidad entre lasaplicaciones usuarias, de manera que tanto la identificación como la firma electrónicagenerada a partir de estos perfiles comunes puedan ser reconocidos por las aplicaciones sinningún tipo de restricción técnica, semántica u organizativa. Dichos certificados serán los definidos en la Ley 11/2007, de 22 de junio, la Ley 59/2003, de 19 de diciembre, de firma electrónica y sus desarrollos normativos. Estos perfiles habrán de conjugarse con las Políticas de certificación y Declaración de Políticas de certificación para completar el marco de servicios en torno a los certificados.

Engranajes "interoperando"

No me gustaría concluir sin remarcar el carácter constructivo que subyace en este post y también la gran utilidad del documento analizado, para los profesionales de la consultoría y aplicaciones de firma electrónica. Aún no estando de acuerdo en algunos de los criterios para definir los perfiles es de gran ayuda tener una referencia común que facilita la definición de los perfiles a consultores y la reutilización e interoperabilidad de aplicaciones de firma electrónica.

Usos de PortaSigma: firma de contratos laborales

17 de Julio de 2010

Contrato laboralMuchos de nuestros clientes han descubierto en PortaSigma una herramienta excelente para firmar los contratos laborales con sus empleados.

Para la empresa, los beneficios son indiscutibles. Por un lado, el proceso de firma es mucho más sencillo, puesto que puede llegar a completarse rapidamente, sin que nadie tenga que desplazarse. Por otro,  y esto es lo más importante, para las personas responsables dentro de RRHH, será mucho más fácil archivar los contratos en formato digital que en papel. Desarrollar un archivo digital implica, liberar espacio físico, y facilitar la localización de documentos gracias a procesos informáticos de búsqueda.

También es cierto que, a pesar de los más de 15 Millones de DNI electrónicos distribuidos, la mayoría de poseedores siguen sin saber utilizarlo, no conocen el PIN, o no disponen del lector de tarjetas necesario.

Sin embargo, las empresas tienen una gran oportunidad de tutelar a sus empleados en este proceso, mediante la firma con DNI electrónico del contrato laboral.

  • La firma puede realizarse en el mismo entorno laboral, donde el empleado va a tener que desplazarse de todas formas. Por tanto, no es necesario que el empleado disponga de lector de tarjetas, salvo que prefiera firmar desde su casa
  • El estado de motivación del empleado será óptimo, y en su afán de demostrar su valía, su disposición a utilizar su DNI electrónico será alta. Probablemente se preocupará de hacerselo, o de descubrir su PIN en caso de no conocerlo

Firmar contratos laborales con PortaSigma es muy sencillo.

  • La empresa tendrá que crear una cuenta
  • Dentro de su cuenta, podrá subir el contrato laboral en PDF, firmarlo, e indicar el e-mail y DNI del empleado
  • PortaSigma enviará la petición de firma por mail al empleado, con en enlace al documento
  • El DNI electrónico, le sirve al empleado como herramienta de autenticación, por lo que la confidencialidad estará garantizada. El empleado no tendrá que registrarse en PortaSigma. Con una sola cuenta, se puede dar servicio a todos los empleados
  • Una vez dentro del sistema, el empleado podrá leer el documento, firmarlo con su DNI electrónico, y descargarse su copia.

En cuanto al acto de firma electrónica, es una operativa equivalente a la de sacar dinero de un cajero. Metemos la tarjeta en el lector, el software nos indica lo que hacer, y como confirmación de seguridad, se nos pide el PIN vinculado al dispsitivo.

Descúbralo en www.portasigma.com

Román de Blas / 93.238 71 08

Los formatos de firma no existen, son los PAdES

6 de Julio de 2010

Hablemos un poco de los formatos de firma digital y electrónica, sin profundizar en los entresijos técnicos.

Grosso modo, para guardar el resultado de una operación de firma digital (hacer hash, cifrado del hash con la correspondiente clave privada y algoritmo, padding y tal) tenemos tres grandes familias de formatos:

  1. CMS (evolución del estándar de facto PKCS#7)
  2. XML DSig
  3. PDF” incrustado

Además de guardar el resultado de la operación de firma digital y asociar estos datos de una forma u otra al documento firmado (attached o detached, enveloped o enveloping), quizá queramos añadir más información que complete el valor probatorio de esta firma como evidencia electrónica. En el pasado ya colaboramos con CATCert, la Agència Catalana de Certificació, a definir su modelo conceptual de evidencias electónicas.

Basándose en los formatos anteriores, se definen otros formatos que añaden información, como sellos de tiempo (timestamps), referencias al estado de revocación de los certificados o a políticas de firma, etc… Siguiendo el mismo orden que la lista anterior, tenemos los formatos:

  1. CAdES: CMS Advanced Electronic Signature
  2. XAdES: XML Advanced Electronic Signature
  3. PAdES: PDF Advanced Electronic Signature

Todos los formatos anteriores tienen pros y contras. Desde mi punto de vista, los más destacables son:

Finalmente, si partimos de la base de que el desarrollo legislativo de la firma electrónica tiene por fin que humanos firmen documentos electrónicos con las mismas garantías que en el mundo papel (y alguna más, como por ejemplo, la integridad), en los casos más potentes para expresar una voluntad, ¿qué formato es el más adecuado? me parece evidente que, para transacciones entre humanos, el formato ideal, desde nuestro punto de vista es PAdES.

Para empezar, la visualización es prácticamente universal y gratuita. En la mayoría de sistemas operativos y por supuesto en los más habituales hay visores de PDF que además comprueban la validez de la firma.

Para continuar está orientado a lectura por parte de humanos y no a interpretación automática por parte de programas y aplicaciones.

Además, no se pueden modificar accidentalmente, cosa que provocaría que la firma dejara de tener validez si no somos capaces de deshacer el cambio (o incluso aunque lo seamos)

Finalmente, no tenemos que andar cuidando de que cada fichero firmado y su correspondiente fichero de firma están “juntitos” para no perder la firma.

Por todo lo anterior, si me vas a enviar un documento firmado a mi (no a un programa), que sea PDF firmado, por favor.

Todo por las PyMEs, pero sin las PyMEs

30 de Junio de 2010

NOTA: Este post apareció en nuestro anterior blog, el pasado Abril 30, 2010. Por coherencia y para mantener todas nuestras entradas en un único lugar, lo re-publicamos aquí.

El titular es exagerado, lo reconozco, pero en estas Conferencias llegué a oir decir a un ponente: “A las PyMEs hay que darles soluciones fáciles, no hacerlas participar en el proceso”.

A pesar de que era con toda la buena intención del mundo, aduciendo a que las PyMEs bastante tienen con lo suyo como para dedicar tiempo y recursos a estos procesos de desarrollo de la factura electrónica, si no nos preguntan a las PyMEs qué necesitamos ¿cómo piensan averiguarlo? De hecho también se denunció que la representación de las PyMEs en el grupo de expertos era muy pequeña. ¡Y eso que el factor clave de éxito de la factura electrónica!

Por no aburrir al personal, sólo comentaré lo que realmente pareció relevante de aquellos ponentes, en mi criterio, claves.

Bo Harald (para saber quién es quién, ver la lista de participantes) nos indica que se trata de la conferencian sobre factura electrónica más importante del año. ¡Qué suerte poder asistir!
Entre los datos, 250 bn € de mercado para los proveedores de servicios. Parece que se va a crear (se está creando) un nuevo segmenteo de mercado, y no es un nicho, precisamente.

La digitalización es clave para lograr la automatización.

Uno de los grandes problemas de Europa es su descenso de la población activa a la vez que crece la inactiva, en concreto, la de los mayores. Esto urge a que la poblacoón activa sea mucho más productiva y se eliminen trabajos de bajo valor, como el procesamiento y manipulación manual de las facturas (y otros documentos de negocio.)

El informe del grupo de expertos recomienda el uso de UN/CEFACT CII2, mientras los trabajos para crear un estándar ISO “compatible” “progresan adecuadamante”

El gran reto, las PyMEs (las SMEs - Small and Medium Enterprise -, como las llaman los anglófonos) Para ello sugiere que el coste de adopción (más bien la inversión inicial) ha de ser cero y posiciona a los proveedores de servicios (portales y soluciones web de pago por uso) como la solución. Pero, ¿estarán las PyMEs de acuerdo en poner toda esa información en manos de terceros, en vez de tenerla en casita como hasta ahora? ¿de qué tipo de PyMEs hablamos? Los datos de adopción de la tecnología de las PyMEs en España son bastante desalentadores.

También hace bastante énfasis en que los verdaderos beneficios se encuentran cuando las facturas electrónicas son documentos estructurados.

Acaba con tres grandes temas para la reflexión:

  1. ¿Estamos ayudando a las empresas … de una manera suficientemente agresiva?
  2. ¿Están siendo las adminisraciones públicas un modelo a seguir?
  3. ¿No debería ser éste (la adopción de la factura electrónica a nivel europeo) el próximo hito hacia un mercado único? (dardo a la Comisión Europea)

Alessandro Perego propone un cambio de enfoque a la hora de afrontar el reto, y pasar del “reglas y regulaciones, leyes, tecnología, gestióna del cambio, …” como obstáculos para llegar a la implantación de la factura electrónica al “ventajas, beneficios, productividad, …” como motivadores para encontrar soluciones al reto.

A partir de un modelo matemático del Politenico de Milano, que ayuda a calcular los ahorros de costes, presenta tres modelos, de menos a más ventajoso:

  1. Factura electrónica (más bien en formato electrónico) sólo para su almacenamiento. Lo que en España sería la digitalización certificada de facturas. Ahorros de 2 a 3 € por factura.
  2. Factura electrónica en su generación, envío, recepción y almacenamiento, como documento aislado en la cadena de la transacción. Ahorros de 3 a 5 € si la factura electrónica no es un documento estructurado, por ejemplo, factura en PDF, y de 9 a 12 si es estructurado.
  3. Full trade process integration. Que todo el proceso sea electrónico (pedido, oferta, albaranes, facturas, etc….) ahorro de 25 a 65 € por ciclo.

Los beneficios no sólo dependen del modelo, sino también del sector, siendo el de bienes de consumo el más favorecido.

Annika Fritsch recuerda que el 99% de la empresas Europeas son PyMEs. (más adelante veríamos que son el 99,8% (lo que me lleva a pensar si Europa puede ser competitiva en una economía global.)

Se posiciona claramente en contra de imponer necesidad de firma electrónica en aras de garantizar la autenticidad y la integridad de los documentos. Son los propios procesos de negocio en emisión y recepción los que garantizarán esto.

Más adeltante J.D. Rouvinez también apoyaba esta tesis.

Christian Luyten. Más sensibilizado con la cuestión de la inegridad y la autenticidad, además postula sobra la vinculación transparente de los diferentes documentos de negocio como facturas, pedidos, extractos bancarios, etc.

Propone a los bancos como esos proveedores de servicio que pueden recoger/generar la factura electrónica, enviársela al banco del cliente que la almacenará o enviará a su cliente. Es un camino a priori más fácil dado el conocimiento y la información que los bancos tienen de sus clientes, pero daría demasiado control a los bancos y no permitiría el florecimiento de ese nuevo sector propuesto por Bo.

Según Chris “los grandes piensan en el corto plazo, por lo que pasan de la factura en papel a la factura en PDF enviada por e-mail y con ello trasladan los costes a los pequeños”. No creo que la cosa vaya así exactamente pero comparto la idea subyacente de que los agentes con gran poder de negociación imponen soluciones adecuadas a ellos (quizá no tanto a sus clientes o proveedores) y en ocasiones, también los costes asociados.

También propone un concepto interesante: “si se ha creado el SEPA (Single Euro Payments Area), ¿por qué no crear el SEIA (Single European Invoicing Area)?”

Salvador Soriano resume lo más destacabla del panel de expertos, a saber:

  1. El máximo beneficio se obtiene cuando la factura forma parte de un proceso automatizado
  2. Aunque diferentes fuentes muestran distintos datos de ahorro asociados al uso de la facturación electrónica, todos ellos son muy significativos.
  3. La necesidad de herramientas, y para el caso de las PyMEs, muy fáciles de adoptar técnica y económicamente.
  4. La creación de un eventual espació único europe de factura electrónica

Gerhard Huemer nos recuerda que ¡¡el 82% de las PyMEs en Europa tiene menos de 10 trabajadores!! Y por ello insiste en enfocar las soluciones hacia las PyMEs.  No en vano es la recomendación número 1 del informe de expertos

Recommendation 1:
The EG recommends meeting the needs of SMEs as a priority focus, by concentrating on a number of specific business requirements

Carlos Maza indica que en tiempos de crisis o el retorno de inversión es inferior a dos meses o no se invierte, lo que refuerza las tesis de que, al menos para las micro-empresas el coste de entrada debe ser cero.

Professor Robin Jarvis recuerda que uno de las grandes preocupaciones de las PyMEs es el flujo de caja y se pregunta hasta qué punto la factura electrónica ayuda en este punto.

Por otro lado, si las administraciones públicas pretenden fomentar el uso de la factura electrónica obligando a su uso a sus proveedores a su uso, dificultan todavía más a las PyMEs el acceso a las licitaciones, lo que provoca justo el efecto contrario al deseado. Claramente se muestra en contra de una postura de obligación del uso, al menos a las PyMEs.

Nos premió además con unas reflexiones finales, de las que destacaría:

  1. Primero, pensar en pequeño (refiriéndose a pensar en las micro empresas)
  2. Seguir un enfoque de abajo hacia arriba
  3. Tener en consideración las necesidades del consumidor (personalmente opino que al consumidor no se le puede enviar una factura electrónica en formato estructurado. Para consumidor final, para el ciudadano de a pie, veo mucho más práctico y fácil de introducir el PDF firmado)
  4. ¿Los bancos podrían hacer más? Quizá se debería pensar en los contables (gestores administrativos) como grandes prescriptores del uso y la implantación de la factura electrónica. Al fin y al cabo, están más cerca de las PyMEs y están mejor considerados.

Y por no extenderme demasiado, gloso:

  1. Los esfuerzos deben centrarse en ayudar a las PyMEs a la adopción de la factura electrónica (ya hemos citado la primera recomendación del grupo de expertos.)
  2. Una reglamentación del IVA paneuropea es condición necesaria. En breve será aprobada una directiva europea del IVA. La Comisión Europea velará porque haya una implantación homogénea de la directiva en los distintos países miembros.

Recommendation 2:
The EG recommends the harmonisation of and the provision of clarity for the legal and VAT framework across the EU on the basis of equal treatment between paper and e-invoices and supported by a Code of Practice prepared by the Expert Group

  1. Los mayores beneficios, con formatos de factura estructurados. Lo comparto al 100×100 para el B2B, pero no para el B2C, como ya he dicho.
  2. Dos claras posturas frente a autenticación e integración. Por una parte la que se basa en el uso de firma electrónica (¿reconocida? ¿es necesario? ¿estamos firmando una factura o un testamento vital?). Por otra, la que defiende que los propios procesos de negocio se encargan de eso (¿pagaré una factura por el solo hecho de que venga firmada? ¿no tendré que verificar el importe, a qué pedido se refiere, si ya se me ha servido el producto o servicio, si la forma de pago es la pactada…?)
  3. Estándar propuesto UN/CEFACT CII 2. Ventaja, estándar global (mundial, no sólo europeo) y ya se está trabajando con ISO. Mayores críticas, no está suficientemente probado. Es más, hay dudas más que razonables de que dos implementaciones del mismo estándar puedan ser incompatibles entre sí.

Recommendation 4:
The EG recommends that all actors within both the private and public sector adopt
a common invoice content standard and data model – the UNCEFACT Cross-Industry
Invoice (CII) v.2

Y eso, es todo, que no es poco.

Bueno, todo no. Todo está en esta web de la comisión europea, en la que se puede ver el material de soporte a las presentaciones.

Cómo superar barreras para usar del DNI electrónico

22 de Junio de 2010

isigma está en primera línea de fuego en proyectos de firma electrónica. Esto nos da la oportunidad de conocer los motivos que hacen que el DNI electrónico, a pesar de su extendida difusión, siga sin utilizarse. En esta entrada quiero identificar y proponer soluciones para superar las 7 barreras con las que el mercado nos  ha dicho que está topando.

No disponer de lector de tarjetas

El primer problema con el que topa un usuario medio cuando se le ofrece la posibilidad de utilizar su flamante DNI es ver que su ordenador no dispone del lector de tarjeta correspondiente. Desgraciadamente este no es un periférico corriente en los ordenadores, como pueda serlo un lector de DVD o incluso de tarjetas SD.

La buena noticia es que es muy fácil adquirir uno a un precio muy razonable en cualquier tienda de informática, o directamente en la web de algún fabricante como C3PO. Además, desde la administración se han desplegado diversas campañas de distribución gratuita.

Desconocimiento del PIN

Superada la primera barrera, el usuario ya es capaz de introducir su DNI electrónico en un periférico cuando necesita hacerlo. El problema se produce cuando la aplicación  le solicita el PIN. Cuando se le entregó el DNI electrónico, no se le ofreció ningún uso práctico, por lo que se despreocupó del PIN entregado pensando que no sería útil.

La solución en este caso es dirigirse a una comisaría de policía y desboquear el DNI con nuestra huella digital, que hace la misma función que el PUK de los móviles. En el siguiente video se explica el proceso correctamente.

Impotencia ante las trabas tecnológicas

En general, los ciudadanos que se animan a utilizar el DNI electrónico, suelen desesperarse ante la dificultad para lograr que funcione. Al final, se encuentran ante la disyuntiva de tener que decidir entre un proceso tormentoso que conocen (colas y papeleo) y otro que no conocen (drivers y reinicios). Ya sabemos que en esta situación lo “malo conocido” suele vencer a “lo bueno por conocer”.

Nosotros recomendamos atravesar el proceso de dificultades técnicas, puesto que solo se producirá la primera vez, mientras que las colas se darán de forma recurrente.

Catálogo de trámites escaso

Si bien esto es clarísimo en el sector privado, el sector público, especialmente a raíz del impulso provocado por la Ley 11/2007, si se ha preocupado de ofrecer trámites completamente digitales a los ciudadanos. Sin embargo las relaciones de los ciudadanos con las administraciones suelen ser esporádicas, por lo que normalmente el esfuerzo necesario para configurar y aprender a utilizar el DNI electrónico no compensa al de desplazarse y hacer la cola pertinente.

Algunos de los trámites que destacan en el sector público son:

  • Consulta de la vida laboral
  • Consulta de puntos de carné de conducir
  • Declaración de la renta
  • Pago de impuestos
  • Búsqueda de empleo
  • Presentación de desempleo

En el sector privado, pocos usos prácticos ofrecen las empresas más alla de la autenticación en los portales de “Home Banking”. Esperamos que con nuestros aplicaciones las empresas empiecen a ofrecer la firma electrónica de facturas, contratos y autorizaciones a sus clientes con DNI electrónico.

  • Con ClickSign, es posible firmar cualquier documento, por ejemplo facturas  digitales
  • A través de PortaSigma podemos enviar peticiones de firma de contratos, autorizaciones y otros documentos en PDF a nuestros clientes

Sensación de ser controlados

Incluso con todas las trabas tecnológicas superadas, hay un recelo general a utilizar el DNI electrónico, porque mucha gente cree que es una herramienta de la administración para controlarnos. Son sin duda secuelas del concepto de Gran Hermano, ideado por George Orwell.

En este sentido, debemos confiar en las funciones de la Agencia de Protección de Datos personales, que debe velar por nuestra privacidad.

De burocracia física a burocracia digital

Otra de las opiniones que nos dejan los usuarios de DNI electrónico, es que la aplicación práctica de los trámites digitales no sirve para abandonar el círculo vicioso de la reconocida burocracia española. En general, se percibe que el proceso digital está tan lleno de trabas como el proceso físico. La solicitud redundante de datos es un caso muy habitual.

Aquí solo nos queda recomendar a las entidades que despliegan las aplicaciones, que no pierdan de vista el objetivo final de todo esto: hacer la tramitación más eficiente. En cuanto a nosotros, debemos ser pacientes. Siempre es mejor un trámite digital ineficiente, que uno que además nos obligue a realizar diversos desplazamientos y colas.

Aplicaciones basadas en Active X que solo funcionan con Internet Explorer

Algunos usuarios más avanzados, han reclamado también que al implementar los sistemas, se tenga en cuenta el funcionamiento con otros navegadores. Las comunidades de usuarios que navegan habitualmente con Mozilla Firefox, o incluso con Google Chrome, está lo bastante desarrollada como para que los sistemas funcionen en cualquier navegador.

Cuando un usuario habitual de Firefox trata de hacer un trámite con su DNIe y no le funciona, no suele probar con Internet Explorer. Simplemente asume que no funciona y si no está muy interesado, no buscará alternativas.

Falta de incentivo comercial

La tramitación digital es un mecanismo claro para el ahorro de costes. A pesar de ello, en el sector privado no se ha apostado por ofrecer incentivos comerciales como descuentos o promociones, a los clientes que contraten con el DNI electrónico.

Con un incentivo comercial atractivo, no me cabe la menor duda de que muchos usuarios se armarían de valor para superar las 7 barreras de los 110 m DNI electrónico. Este es el camino que debe seguir el sector privado.