Entre ellos encontramos firma digital, firma electrónica y certificado digital. Pero ¿exactamente a qué se refieren? ¿Qué diferencias existen entre cada uno?

En este artículo los definiremos.

¿Qué ventajas confiere la ley a la firma electrónica avanzada? Te platicamos en el webinar Entendiendo la Firma Electrónica Avanzada.

1. Firma digital o firma electrónica

En México, firma digital y firma electrónica son términos sinónimos, por ello los usamos de manera indistinta en nuestro contexto.

El principal término legalmente reconocido es firma electrónica, y el Código de Comercio menciona a la firma digital como una especie de firma electrónica. Nuestra legislación distingue entre dos tipos de firma electrónica: la simple, con presunción de atribución, y la avanzada, que tiene además garantía de no repudio.

Mifiel ofrece ambos tipos de firmas según la necesidad de cada cliente: la firma electrónica avanzada mediante la e.firma del SAT, y la firma electrónica simple mediante la verificación de biometría del firmante y la generación e intercambio de claves privadas de un solo uso.

Una firma electrónica avanzada se refiere al producto de haber generado una firma (expresado voluntad) utilizando la llave privada correspondiente a un certificado digital emitido por un prestador de servicios de certificación (PSC).

Generarla requiere un proceso, el cual implica cifrar el hash de un mensaje de datos (documento electrónico) con nuestra llave privada (*.key) y su comprobación descifrándolo con nuestra llave pública incluida en el certificado digital (*.cer).

La firma electrónica simple conlleva un proceso criptográfico similar, pero no implica la participación de una autoridad certificadora o PSC como el SAT para generar los certificados.

¿La FIEL es una firma electrónica?

No. Aunque coloquialmente se le llama firma electrónica avanzada a los archivos que componen la FIEL o e.firma, en realidad el término se refiere a la cadena de caracteres que se produce al usar la llave privada para firmar un documento electrónico, como puede visualizarse en una hoja de firmas de Mifiel.

En el siguiente video explicamos esto a detalle.

¿Y que es un certificado digital?

2. Certificado digital

Es un archivo electrónico emitido por una autoridad certificadora, que funciona como una identificación personal para el mundo digital. En el caso de México, el SAT, acreditado por el Banco de México, y los PSCs privados, acreditados por la Secretaría de Economía, son las autoridades para ello.

A este certificado (*.cer) le corresponde una llave privada (*.key) la cual se usa para generar firmas digitales. Es esta relación entre certificado y llave privada la que permite ligar una firma a una persona específica y su identidad.

Con ello, una firma electrónica obtiene el carácter de avanzada o fiable, lo que además le confiere presunción legal de atribución con garantía de no repudio.

The post Firma digital o electrónica vs. certificado digital appeared first on Mifiel Blog.

Esta permite ligar las llaves públicas a certificados de identidad y hacer disponible un servicio público para validar el estatus de los certificados, ya que una funcionalidad importante es que los tenedores de firmas electrónicas avanzadas puedan revocar el certificado en caso de extraviar su llave privada o sospechar que se las hayan robado.

¿Cómo funciona esa infraestructura y quiénes la conforman en México?

Quiénes participan en las PKI de México

Las PKI puede dividirse en tres capas: agencias registradoras, agencias certificadoras y tenedores de certificados (usuarios finales).

Para firmado electrónico en México, los más relevantes son:

Agencias registradoras

• Banco de México.
• Secretaría de Economía (SE).

Certificadoras

• SAT.
• PSCs privados.

Usuarios

• Personas físicas.
• Personas morales.

Funcionamiento de la PKI

Cuando un usuario —persona física o moral— requiere obtener un certificado digital de firma electrónica avanzada, debe acercarse con una agencia certificadora, la cual a su vez trabaja con una entidad registradora.

La certificadora más conocida es el Servicio de Administración Tributaria, cuya firma electrónica avanzada es actualmente llamada e.firma pero también se conoce como FIEL. Ellos trabajan con la infraestructura extendida de seguridad (IES) de Banxico quien funge como registradora, y están acreditados ante dicha institución.

Pero también existen certificadoras privadas, conocidas como Prestadoras de Servicios de Certificación (PSC). Estas se acreditan ante la Secretaría de Economía para emitir certificados, y la propia Secretaría cuenta con su infraestructura PKI al ser registradora.

La certificadora valida la identidad de los usuarios mediante sus documentos oficiales y la toma de biométricos. En el caso del iris, sirve para asegurar unicidad: hay un solo certificado por persona. De esta manera si alguien intenta tramitar otro certificado con documentación falsa, al momento de escanear su iris se detectará que ya había sido identificado previamente y no podrá continuar el trámite—además de constituir un delito.

Así, dicha autoridad emite un certificado que contiene una llave pública, mismo que a su vez fue firmado con el certificado raíz de la institución. A la par, el usuario genera su llave privada correspondiente.

Ahora bien, firmar electrónicamente por sí solo no requiere una PKI. ¿Por qué se utiliza?

Mediante la PKI, se aseguran tres cosas:

1. La identidad de los tenedores de los certificados

La certificadora validó la identidad mediante los documentos y biométricos que proporcionó el usuario.

2. La unicidad del certificado

No hay dos o más llaves públicas por persona (del mismo emisor). Si una persona comienza el trámite de su certificado pero ya contaba con uno vigente, mediante el registro biométrico de su iris notarán que ya existe uno. Asimismo, no hay una llave pública para dos o más certificados.

3. Validez del certificado

Mediante un protocolo llamado OCSP, plataformas como Mifiel pueden verificar ante el SAT que el certificado no haya sido revocado.

En conclusión

La infraestructura de llave pública (PKI) es indispensable para el correcto funcionamiento de un sistema de firmado electrónico avanzado. En México, los participantes más importantes en las PKI son el Banco de México, el Servicio de Administración Tributaria, la Secretaría de Economía y los Prestadores de Servicios de Certificación privados, así como los tenedores finales de los certificados.

Gracias al trabajo de las PKI, puede asegurarse la unicidad y validez de los certificados, y la identidad de los usuarios.

Mifiel aprovecha esta infraestructura para ofrecer un servicio de firma electrónica avanzada confiable y jurídicamente sólido.

¿Quieres comenzar a firmar tus contratos electrónicamente?

The post Firma Electrónica Avanzada – Qué es la infraestructura de llave pública (PKI) appeared first on Mifiel Blog.

Pero ¿cuál es su origen? ¿Qué permitió que su uso se expandiera más allá del ámbito fiscal? ¿Y cuál podría ser su futuro? Para responder estas preguntas, entrevistamos al Dr. Alfredo Reyes Krafft, abogado especialista en firma electrónica, consejero jurídico de Mifiel y director del despacho legal LexInf, conversación de la cual surgió este artículo.

Surgimiento de la Firma Electrónica Avanzada en México

Usando como base las leyes modelo de la Comisión de las Naciones Unidas para el Derecho Mercantil Internacional (CNUDMI) en materia de comercio electrónico y de firmas electrónicas, en México a partir de 2003 se reformaron —y se reforman continuamente— los siguientes instrumentos jurídicos:

• Código Civil.
• Código de Comercio.
• Código Federal de Procedimientos Civiles.
• Ley Federal de Protección al Consumidor.
• Código Fiscal de la Federación, Anexo 20 y Resoluciones Misceláneas Fiscales, donde se ha detallado y modificado la parte de firma electrónica en contexto fiscal.

Respecto al marco técnico, este se inspiró en estándares tecnológicos existentes de firma digital y criptografía asimétrica. Gracias a ello, el SAT no puede ver lo que las personas firman al utilizar su FIEL, contrario a lo que la mayoría de las personas piensan—a menos que se trate de un trámite ante dicha instancia.

Ni la Secretaría de Economía, ni los PSCs, ni Banxico ni el SAT ven lo que estás firmando con tu firma electrónica. Es como si vas a la papelería SAT y compras una pluma marca Banxico; lo que firmes con esa pluma, ni el SAT ni Banxico lo conocerán.

Alfredo Reyes Krafft

La Infraestructura Extendida de Seguridad (IES)

Una parte esencial de la FEA es la IES de Banco de México, la principal Infraestructura de Llave Pública (PKI) de nuestro país. Esta es un despliegue tecnológico que permite ligar las llaves públicas a certificados de identidad y tener disponible un servicio para validar el estatus de los mismos y revocarlos en caso necesario.

Para emitir certificados de FEA a empresas y otras entidades, se modificó el Código Fiscal de la Federación estableciendo una nueva definición de certificado.

Por un lado, el Código de Comercio —una norma de derecho privado— indica que un certificado pertenece a un individuo específico. Por otro lado, el Código Fiscal de la Federación —norma de derecho público— sí prevé los certificados de personas morales.

Entonces, para cumplir con el mandato legal, el SAT emite certificados a personas físicas mediante la IES de Banxico. Colgándose de ella, el propio SAT crea otra infraestructura PKI subyacente y emite certificados para personas morales. Por ello el representante legal que tramita el certificado de persona moral debe contar ya con su certificado de persona física.

Gracias a todo esto, México actualmente es referente internacional en temas de firma electrónica avanzada.

Evolución de la Firma Electrónica Avanzada

Desde su primera aparición, la FEA emitida por el SAT ha evolucionado en distintos aspectos. Primero, ha tenido diversos nombres, desde “Tu firma, la poderosa”, pasando por “FIEL”, hasta el nombre que aún es utilizado al publicar este artículo, “e.firma”.

Pero también ha habido cambios técnicos, por ejemplo, el cifrado comenzó con el estándar MD5 y actualmente se utiliza SHA-256, lo que otorga mayor seguridad y fiabilidad. Jurídicamente se ha complementado la regulación en la materia y continuamente sigue cambiando.

¿Qué modificaciones pueden venir en el futuro?

El futuro de la e.firma

En materia legal, existen algunos proyectos de modificación a la normatividad vigente con diferentes implicaciones positivas. Entre ellas destacan dos:

1. Involucrar a los fedatarios para que funjan como agente certificador de personas morales. Es decir, cuando un notario o corredor registre una nueva entidad, también tramitaría ante el SAT la emisión del certificado de persona moral.
2. Implementar la firma electrónica de representante legal o de mandatario. Esta sería una FIEL de persona física con poderes limitados de una persona moral o de otra persona física, siendo de utilidad para contadores, por ejemplo.

Por otra parte, la Secretaría de Gobernación a través del Registro Nacional de Población tiene un proyecto ambicioso de cédula de identidad nacional, una especie de CURP electrónica que, entre otras cosas, incorporaría un certificado de firma electrónica avanzada.

Ya que cuando surgió la toma de huellas e iris para autenticación de contribuyentes en el SAT se acordó en el Código Fiscal de la Federación que dichos biométricos no formarían parte del secreto fiscal y se compartirían con RENAPO, la SEGOB ya tiene acceso a ellos.

También existe un proyecto del INE para incorporar un certificado de FEA en la credencial para votar.

La idea es que todos los ciudadanos mexicanos cuenten con un certificado digital, no solamente aquellos que pagan impuestos.

Alfredo Reyes Krafft

Debido a la fragmentación de proyectos y bases de datos, es poco probable tener un escenario como el español, donde hay un solo tipo de firma predominante, sino que en nuestro país los usuarios tendrían diferentes certificados emitidos por distintas entidades.

Para contrarrestar el problema, es muy factible que si surgen más certificados como el de RENAPO y el del INE además del ya existente del SAT, eventualmente lleguen a un acuerdo de interoperabilidad.

En conclusión

Si bien la e.firma es un medio de autenticación e identificación digital, en México surgió para mejorar los procesos de fiscalización del SAT. Gracias a una implementación exitosa que ha ido más allá del partido o persona que ostenta el poder ejecutivo, México se ha convertido en referente en temas de firmado electrónico.

Yo soy muy crítico del SAT, pero le aplaudo lo que ha logrado y en el tiempo en que lo ha hecho.

Alfredo Reyes Krafft en referencia al trabajo del SAT para implementar la firma y la factura electrónica

Continuamente siguen surgiendo propuestas —que eventualmente han sido o podrían ser adoptadas— para mejorar el uso de la firma electrónica avanzada en nuestro país. Ahora el inconveniente es que vienen de diferentes fuentes que no siempre trabajan en conjunto. La solución para ello sería establecer convenios de interoperabilidad, pudiendo así usar certificados emitidos por una institución para identificarse y autenticarse ante otra.

Como podemos ver, la FEA se ha venido fortalaciendo en nuestro país, y el panorama general para su uso y adopción es favorecedor.

¿Quieres comenzar a utilizar tu e.firma del SAT para suscribir contratos?

The post Historia de la Firma Electrónica Avanzada del SAT appeared first on Mifiel Blog.

Esta es una idea muy alejada de la realidad y proviene del desconocimiento sobre qué es una firma electrónica, cómo funciona y el rol del emisor, en este caso el SAT.

Por ello, a continuación explicaremos brevemente dos importantes aspectos de la FIEL: su funcionamiento como identificación personal y su funcionamiento técnico.

La e.firma como identificación personal

En esencia la FIEL nació como una identificación oficial para el mundo digital, sin embargo fue el SAT la dependencia que tomó el proyecto, pero esa es otra historia.

Hagamos la analogía con otras identificaciones personales que emiten organismos gubernamentales y que nos resultan más familiares: la credencial para votar (INE), el pasaporte ordinario (SRE), la cartilla de servicio militar (SEDENA) y la licencia de manejo (SEMOVI o su equivalente local), por mencionar algunas.

Si tomas cualquiera de estos documentos de identificación y los presentas en un bar para acreditar que eres mayor de edad y que te permitan la entrada, o en una sucursal bancaria para acreditar tu identidad al abrir una cuenta de cheques, ellos no dan aviso a la dependencia emisora sobre en qué la usaste.

En el caso de los bancos, lo único que llegan a hacer es validar tus datos biométricos con el emisor de la identificación, pero nunca indican qué trámite realizaste ni les comparten los documentos relacionados a este trámite.

Lo mismo sucede cuando usas tu e.firma en plataformas como Mifiel, el SAT no sabe qué firmaste ni puede ver el contenido del documento.

El funcionamiento de la FIEL: criptografía y conexión al SAT

Cuando un tercero como Mifiel requiere validar un certificado de e.firma, se conecta a algo llamado el OCSP del SAT, que es una registradora electrónica de dicha dependencia.

Al hacerlo, lo único que recibe el SAT es una solicitud de validación del certificado presentado, jamás el contenido del documento. Esto es similar a validar una credencial de elector en el sitio web del INE.

Por su parte, del lado del usuario o firmante, se lleva a cabo un proceso de criptografía asimétrica en su computadora o smartphone: con la llave privada y su contraseña se cifra el documento pero nunca se comparte al SAT, ni siquiera hay posibilidad técnica de que suceda.

En conclusión

Tu e.firma/FIEL es una identificación oficial digital. Al igual que las identificaciones físicas oficiales, la dependencia emisora desconoce para qué la utilizas—a menos que la presentes para un trámite directamente con ellos.

Para el SAT, conocer el contenido de los documentos que suscribes con terceros usando tu certificado de e.firma es técnicamente imposible, esto no puede cambiar.

Ahora que conoces esto, ¿quieres comenzar a firmar los documentos de tu organización con la FIEL? No esperes más, comunícate a nuestro chat haciendo clic en el siguiente botón.

Chatea con Mifiel

The post El SAT no puede ver lo que firmas con tu FIEL appeared first on Mifiel Blog.

1. Nadie tiene FIEL

Nada más alejado de la verdad. Al mes de noviembre de 2019, más de 13.5 millones de personas físicas cuentan con su FIEL (lo cual equivale a aproximadamente el 25 % de la Población Económicamente Activa), además de 1.6 millones de personas morales. El volumen de personas tramitando su FIEL nunca había sido tan grande y cada día hay más personas que obtienen la suya (más de 6,800 en promedio, de hecho).

Además, desde el 2018 es necesario contar con la e.firma para tramitar la cédula profesional. Este año los gobiernos de Ensenada, Tamaulipas y Tlaxcala incorporaron el uso de la FIEL para trámites y servicios que ofrecen a la población. También el Registro Público de Coahuila adoptó el uso de la e.firma para solicitar actas de nacimiento, matrimonio, entre otras. 

2. Si mi documento va a litigio, el juez no sabrá qué hacer con mis pruebas electrónicas

Es un temor común que se basa más en prejuicios y temor a lo desconocido que en situaciones reales. Los jueces en México están familiarizados con la firma electrónica. Además de la gran cantidad de documentos electrónicos que se presentan en juicio —la mayoría debido al SAT— al ser servidores públicos los magistrados presentan sus declaraciones patrimoniales firmándolas con la FIEL.

En el caso de Mifiel, múltiples contratos firmados en nuestra plataforma se han ido a juicio con excelentes resultados.

3. Seguramente mi abogado se opondrá 

Aunque este argumento era ciertamente común hasta hace unos años, ha dejado de serlo. Con mayor frecuencia son los abogados mismos quienes se acercan buscando soluciones de firma electrónica como Mifiel y demuestran estar familiarizados con sus aspectos legales.

Un claro ejemplo del cambio de mentalidad en el gremio es el caso de los corredores públicos. En su convención anual una de las ponencias trató sobre el uso de la firma electrónica avanzada en el contexto de la correduría pública.

4. Nadie sabe usarla

Este era el caso cuando los sitios para firmar requerían Internet Explorer y plug-ins de Java. Sin embargo, al extenderse el uso de la FIEL en otros contextos, su usabilidad ha mejorado muchísimo. Únicamente en el caso de Mifiel, en tan solo 4 años, cerca de 20,000 personas han firmado documentos de todo tipo.

Hoy en día firmar usando la FIEL/e.firma es muy simple: las plataformas en línea funcionan en cualquier sistema operativo, en los navegadores más comunes y sin necesidad de instalar ningún programa o plug-in.

5. La FIEL solo sirve para firmar documentos fiscales o con dependencias de gobierno

El hecho de que el SAT sea el organismo oficial que emite los archivos que se usan para firmar hace pensar que la e.firma solo se puede usar para cuestiones fiscales o, cuando mucho, para trámites relacionados con entidades gubernamentales. En ocasiones también se piensa que el SAT va a poder ver todos los movimientos que haces usando tu FIEL. Nada más lejos de la verdad.

Hay que pensar en la FIEL como una licencia de conducir. A veces la usamos para identificarnos en algún banco o realizar un trámite. Pero eso no significa que la Secretaría de Transporte o Vialidad pueda cobrarse una multa que tengamos de nuestra cuenta bancaria o que lleven un registro de dónde anduvimos.

Así que ya lo sabes, si quieres iniciar el año con el pie derecho, olvida estas viejas creencias que limitan el desarrollo de tu empresa y avanza hacia nuevas formas de hacer negocios.

Agenda una llamada con nuestro equipo comercial para conocer cómo Mifiel puede ayudar a tu organización.

Contacta a Mifiel

The post 5 creencias erróneas sobre la FIEL que debes descartar al iniciar 2020 appeared first on Mifiel Blog.

Para entender este artículo es recomendable leer primero nuestro artículo sobre criptografía asimétrica o tener nociones básicas de cómo funciona la criptografía de llave pública y privada.

¿Qué ventajas confiere la ley a la firma electrónica avanzada? Te platicamos en el webinar Entendiendo la Firma Electrónica Avanzada.

En un esquema de firma o identidad digital basado en criptografía de llave pública y privada —también conocida como criptografía asimétrica— generas un par de llaves, una pública y una privada, y entregas una copia de la llave pública a todas las personas con las que deseas tener interacciones digitales. Al tener una copia de tu llave pública estas personas pueden hacer dos cosas:

1. Recibir mensajes tuyos que “cerraste” con tu llave privada y abrirlos con la llave pública que les diste. De esta manera las personas que tengan una copia de tu llave pública pueden estar seguras de que tú eres el autor del mensaje.
2. Terceros pueden enviarte mensajes “cerrándolos” con tu llave pública para asegurarse que únicamente tú, con tu llave privada, podrás abrirlos.

Para que cualquiera de estos dos escenarios funcionen es necesario que compartas una copia de tu llave pública a las personas con las que vas a tratar. Suena fácil pero es un problema complejo. Si se trata de personas cercanas a ti como tus compañeros de trabajo, familiares o amigos, la manera más segura de hacer esta distribución es en persona, entregándoles una USB que contenga tu archivo de llave pública.

Pero, ¿por qué en persona?, ¿por qué no se las mandas por correo o por el sistema de mensajería de Facebook?

Podrías hacerlo pero, ¿cómo estarían seguros tus familiares o amigos de que fuiste tú quien les envió la llave pública y no un impostor que obtuvo acceso a tu cuenta de correo o de Facebook?

Evidentemente hacer estas entregas en persona funciona con unas cuantas personas pero no a escala. ¿Qué pasa si quiero que cualquiera —tenga una relación conmigo o no— pueda obtener una copia de mi llave pública para que podamos intercambiar información de manera segura?

Es aquí donde entran los certificados.

Un certificado es un archivo digital —generalmente de tipo .cer— que contiene mis datos identificatorios (nombre, CURP, RFC, etc.) junto con mi llave pública. Quien tenga acceso a este certificado puede asumir que contiene mi llave pública y, por lo tanto, puede intercambiar mensajes conmigo de manera confiable y segura.

Cualquiera con los conocimientos técnicos necesarios puede generar un certificado, sin embargo lo más común es que la gente sólo acepte certificados emitidos por entes autorizados que generalmente son organismos gubernamentales o privados autorizados por el gobierno.

¿Cómo se relaciona el certificado digital a la firma electrónica?

La firma electrónica cae bajo el escenario 1) descrito al inicio de este artículo. Es el escenario donde envías un mensaje que cerraste con tu llave privada y los demás pueden abrirlo con tu llave pública asegurándose así que el mensaje es de tu autoría.

En una firma electrónica generas un mensaje de aceptación de un documento o contrato el cual cierras con tu llave privada y por lo tanto cualquiera con tu llave pública puede corroborar que ese mensaje o firma fue generada por ti.

¿Cómo se genera un certificado?

Usemos como ejemplo el caso del SAT y la FIEL/e.firma. El SAT está autorizado por el Banco de México para emitir certificados. Aunque también existen entes privados autorizados por la Secretaría de Economía para emitir certificados, el SAT es por mucho el principal emisor de estos.

Para este ejemplo inventaremos una persona ficticia. El solicitante será Roberto Gómez Andrade.

Los pasos para que Roberto tramite un certificado de FIEL o e.firma emitido por el SAT son los siguientes:

1. Roberto genera un par de llaves, una pública y una privada, en su computadora usando un programa que descarga de la página del SAT. 
2. Roberto guarda la llave pública en un medio electrónico como una memoria USB.
3. Roberto se presenta en un módulo del SAT en donde un funcionario de dicha institución verifica sus datos. Es decir, corrobora que efectivamente se trate de Roberto Gómez Andrade y no de un impostor. Se usan datos biométricos para validar su identidad.
4. Una vez validada su identidad, el funcionario genera un certificado — que es un archivo digital— con sus datos identificatorios (nombre, CURP, RFC, etc.), le pide su llave pública y la inserta en este certificado que acaba de crear.
5. Finalmente, este certificado recién creado con los datos identificatorios de Roberto que incluye su llave pública se firma o “cierra” con la llave privada del propio SAT.

Este último paso es sumamente importante. ¿Por qué?

Imaginemos que los certificados no se firmaran por la institución que los emite. ¿Qué me impediría a mi generar un certificado a nombre de Roberto Gómez Andrade y hacerme pasar por él usando este certificado? Nada, lo podría hacer y si fuera así de fácil no habría manera de confiar en la información identificatoria contenida en los certificados.

¿Qué sucede cuando el SAT firma o “cierra” el certificado con la llave pública de Roberto y sus datos identificatorios?

Dado a que el certificado se “cerró” o firmó con la llave privada del SAT, este únicamente puede “abrirse” usando la llave pública del SAT. En otras palabras, cualquiera con acceso a la llave pública de esta institución puede verificar que el mensaje en efecto proviene de ella y, por lo tanto, se puede confiar en que la llave pública contenida en el certificado efectivamente corresponde a Roberto.

Las llaves públicas del SAT, contenidas también en certificados, las puedes bajar de la página del Banco de México. Y si tienes los conocimientos técnicos suficientes las puedes usar para validar si un certificado que te presenten fue efectivamente emitido por el SAT.

El hecho de que el SAT firme cada certificado vuelve imposible que un tercero genere un certificado con su llave pública pero con los datos de otra persona, por ejemplo de Roberto. El tercero podría firmar el certificado con una llave privada de su propiedad pero sería fácil darse cuenta que el certificado no fue emitido por el SAT.

Una vez que cuentes con este certificado digital emitido por el SAT, ahora sí puedes compartir tu llave pública —contenida en el certificado— de manera segura con quien desees por el medio que gustes.

Inclusive, el SAT hace públicos todos los certificados de todas las personas que han tramitado su FIEL o e.firma para que cualquiera pueda descargarlos y entablar una comunicación segura con el dueño del certificado descargado.

Concluyendo

Para evitar entregar una llave pública a cada persona con la que quieres entablar comunicación segura —por ejemplo enviar una firma electrónica tuya que exprese consentimiento de un contrato en formato electrónico—, puedes tramitar un certificado en el SAT el cual goza de ventajas legales al ser usado para firmar electrónicamente. Este certificado contiene tu llave pública y tus datos identificatorios. Además, se firma con la llave privada del SAT permitiendo que cualquiera corrobore que se trata de un certificado legítimo emitido por dicha institución.

En Mifiel validamos que los certificados que se utilizan al momento de firmar correspondan a certificados que fueron emitidos por el SAT de tal manera que tú no tengas que preocuparte de hacer esta validación y garantizando el no repudio de las firmas.

The post ¿Qué es un certificado digital de firma electrónica? appeared first on Mifiel Blog.

Por ello se vuelve más interesante para empresas implementar un servicio de firma electrónica y llevar digitalmente toda su documentación. Sin embargo, una consideración común es: ¿mi contraparte contará con e.firma? Si bien, cualquier representante legal o empresa, por sus actividades comerciales (y facturación) deben tenerla, en caso de que no estés seguro o tengas dudas, puedes seguir los pasos que se describen en este artículo para corroborar si tu firmante cuenta con e.firma y así poder decidir el tipo de solución de firma electrónica que debes implementar.

El SAT en su facultad de PSC cuenta con una herramienta que te permitirá:
a) Identificar si una persona física o moral cuenta con e.firma;
b) conocer el estatus de la e.firma (y otros certificados);
c) descargar el certificado público de una e.firma (propia o ajena). 

Es importante mencionar que cualquier persona puede revisar esta información; tan sólo es necesario conocer el RFC correspondiente a la e.firma que se va consultar.

¿Qué ventajas confiere la ley a la firma electrónica avanzada? Te platicamos en el webinar Entendiendo la Firma Electrónica Avanzada.

Pasos para realizar las consultas:

1. Ve a la página habilitada por el SAT para recuperación de certificados, aquí.

2.1. En la ventana inicial se muestra una imagen con diferentes caracteres, es necesario que los escribas para avanzar. El sistema habilita el botón “Intentar otro código” en caso de que necesites un nuevo código.

2.2. Una vez que escribiste los caracteres en el campo, da clic en el botón “Aceptar”.

2.3. Si el código no es el correcto el sistema mostrará un error, da clic en el botón “Regresar” para volver a intentarlo.

2.4. Si el código es correcto, aparecerá la siguiente ventana:

El sistema permite realizar la búsqueda por dos formas:
a) Recuperación por RFC (recomendado).
b) Recuperación por número de serie.

En ambos casos lo que tienes que hacer es colocar la información solicitada en el campo correspondiente (RFC o número de serie) y colocar el captcha.

En el caso de búsqueda por RFC se recomienda realizar la búsqueda ya predeterminada para “Todos los certificados expedidos”.

2.5. Una vez que colocaste la información en el campo correspondiente y el captcha, da clic en el botón “Buscar”.

3. Posteriormente se abrirá una nueva ventana y se mostrará una tabla con la información de los certificados expedidos correspondientes al RFC que colocaste. Puedes ver un ejemplo en la siguiente imagen.

¿Qué significan los datos obtenidos? 

Número de Serie

Es el número específico que asigna el SAT a cada uno de los certificados emitidos para poder identificarlos.

Estado 

• Activo: El certificado está vigente, es válido y por lo tanto puede ser utilizado.
• Caduco: El certificado ya no está vigente, dado que llegó a su fecha de expiración. Tanto para CSD como para e.firma la vigencia es de 4 años.
• Revocado: El certificado fue cancelado por el propietario, por lo que dejó de estar activo.

Tipo 

El SAT emite dos tipos de certificados a) Sello;  b) FIEL. Si bien ambos son certificados cada uno tiene un propósito:

a) Sellos: También conocido como Certificado de Sello Digital (CSD), es un archivo que se utiliza específicamente para temas de facturación, ya que con estos se generan los Comprobantes Fiscales Digitales (CFDI).
b) FIEL: Son los certificados de Firma Electrónica Avanzada y por tanto, los que solicitamos en Mifiel para la firma de documentos, ya que por ley cuentan con la misma validez jurídica que una firma autógrafa. La FIEL o e.firma está compuesta por un certificado público con extensión .cer, una llave privada con extensión .key y una contraseña.

Nota: únicamente es posible descargar los certificados (archivos .cer) ya que estos son públicos y su finalidad es que cualquier persona pueda acceder a ellos. La llave privada (archivo .key) y la contraseña de la e.firma no se pueden descargar de ningún lado.

Descarga de certificado 

El sistema acomoda los distintos certificados expedidos de acuerdo a su antigüedad, apareciendo abajo el más viejo (probablemente ya revocado) y arriba el más nuevo (probablemente activo).

Para descargar el certificado, da clic en el número de serie, que se muestran en la primer columna (información en color azul). Asegúrate que en la columna de estado aparezca “Activo” y en la columna tipo “FIEL” , de manera que estés descargando un archivo de firma electrónica avanzada vigente. Recuerda que sólo podrás descargar el certificado público con extensión “.cer”.

Conclusión

Ahora que ya sabes cómo consultar la información pública y el estatus de los certificados de e.firma y CSD puedes agilizar tu proceso y completar la información en tus expedientes sin tener que requerir más acciones por parte de tu cliente. 

En caso de que quieras implementar la firma electrónica en tus operaciones y tu cliente no cuente con ella, puedes compartirle la guía para tramitar la e.firma. EL proceso es muy sencillo: 1) reúne la documentación; 2) saca una cita en línea; 3) asiste al SAT y empieza a firmar electrónicamente en Mifiel.

Alternativamente puedes activar la funcionalidad de firma electrónica con verificación biométrica en Mifiel, para que tus firmantes que no cuenten con su e.firma del SAT puedan firmar fotografiando su cara y una identificación oficial.

The post Cómo saber si tu contraparte tiene FIEL appeared first on Mifiel Blog.

La criptografía es una rama de las ciencias de la computación enfocada en desarrollar e implementar esquemas seguros para enviar y recibir mensajes en entornos adversariales. Entornos adversariales es una manera elegante de decir “entornos donde hay participantes que te quieren fregar”. El internet es un ejemplo de entorno adversarial, ya que tienes hackers, estafadores, usurpadores de identidad y demás delincuentes tratando de sustraer o modificar información.

A grandes rasgos, los sistemas criptográficos se dividen en dos ramas principales: los basados en criptografía simétrica y los basados en criptografía asimétrica. Los basados en criptografía simétrica son fáciles de conceptualizar. Los documentos o mensajes se “cierran” con una llave y sólo quienes tengan copia de esa llave pueden abrirlos y leerlos. Para una analogía podemos imaginarnos una caja con candado en donde guardamos documentos, cartas, etc. Esta caja solo puede ser abierta y su contenido leído por las personas que cuenten con una copia de la llave.

Las criptomonedas, la blockchain y el servicio de Mifiel están basados en criptografía asimétrica. A diferencia de la criptografía simétrica, la asimétrica es más compleja de visualizar por lo que es útil plantear una analogía.

Imaginemos una caja con dos cerrojos (uno del lado izquierdo y otro del lado derecho) y dos llaves que corresponden a cada uno de ellos. Una de las llaves la bautizamos llave pública y la otra, llave privada. La llave privada corresponde al cerrojo de la izquierda y la llave pública al de la derecha.

Esta caja tiene un funcionamiento especial. Si cierro la caja con el cerrojo de la izquierda (la llave privada) la única manera de abrirla es usando el cerrojo de la derecha (el que corresponde a la llave pública). No es posible abrirla volviendo a utilizar la llave privada en el cerrojo de la izquierda, forzosamente debo usar la llave pública en el cerrojo de la derecha. En cambio, si cierro la caja con el cerrojo del lado derecho, la única manera de abrirla es con la llave privada en el cerrojo izquierdo.

Además, es imposible fabricar un cerrojo a partir de alguna de las llaves.

Con mi caja lista y funcionando, procedo a hacer muchas copias de la llave pública y las reparto entre mis amigos, familiares, compañeros de trabajo, socios, mi contador, mi abogado y a toda persona que considere necesario.

De la llave privada no hago ninguna copia. Al contrario, la guardo muy bien en un lugar seguro donde sólo yo —y nadie más— tenga acceso a ella.

¿Qué podríamos hacer con esta peculiar caja, las llaves públicas que repartí y la llave privada?

Principalmente dos cosas:

1) Supongamos que mi contador no puede entregarme un mensaje personalmente pero por su naturaleza quiere asegurarse que sólo yo pueda leerlo. Podría ponerlo en un sobre cerrado y mandármelo por paquetería, pero aunque el sobre esté cerrado, un atacante con determinación podría abrirlo con mucho cuidado, leer el mensaje y volverlo a cerrar. Yo nunca me enteraría que alguien lo leyó.

Usando la caja especial que acabamos de describir, mi contador introduce el mensaje en ella. La cierra usando la copia de la llave pública (cerrojo derecho) que le entregué y envía la caja por paquetería. Al haberse cerrado la caja usando una de las copias de la llave pública en el cerrojo derecho, el único que puede abrir la caja es el poseedor de la llave privada (cerrojo izquierdo). La llave privada únicamente puede ser accesada por mi, por lo que mi contador sabe que sólo yo podré abrir la caja y leer el mensaje.

¿Cuáles son algunos ataques que se podrían intentar para burlar este esquema?

El atacante podría obtener una de las copias de la llave pública y hacerse pasar por mensajero para que mi contador le entregue la caja cerrada. Sin embargo, al haber sido esta cerrada con una llave pública (cerrojo derecho), el atacante podría introducir la llave en dicho cerrojo pero no podría abrir la caja ya que si se cerró usando una llave pública, únicamente puede ser abierta usando la llave privada en el cerrojo izquierdo.

2) Imaginemos que quiero enviar un mensaje a mi abogado de tal manera que él pueda estar seguro —sin duda alguna— de que el mensaje viene de mi parte aunque yo no le entregue la caja personalmente y esta le sea entregada por un desconocido (posiblemente con malas intenciones).

¿Qué tendría que hacer yo?

Escribo el mensaje para mi abogado en un papel y lo meto en la caja. La cierro usando el cerrojo de la izquierda (el que solo acepta la llave privada) y la envío por paquetería a mi abogado.

Cuando mi abogado la reciba, buscará la llave pública que anteriormente le compartí y procederá a insertarla en el cerrojo de la derecha. Si la caja abre, mi abogado puede estar totalmente seguro de que el mensaje fue puesto dentro por mi. Que él haya podido abrir la caja con el cerrojo del lado derecho implica que necesariamente la caja fue cerrada usando el cerrojo del lado izquierdo. Este cerrojo corresponde a la llave privada de la cual sólo hay una copia y la tengo yo.

Al igual que para el ejemplo anterior, exploremos un par de escenarios de ataque y como la caja y las llaves los prevendrían.

Pretendamos que alguien le quisiera enviar un mensaje a mi abogado intentando suplantar mi identidad. Tendría dos opciones:

1. Utilizar una caja con sus llaves, meter un mensaje y enviarla a mi abogado. Al recibir esta caja mi abogado trataría de usar la copia de mi llave pública, no entraría en ninguno de los cerrojos por lo que no podría abrir la caja.
2. El atacante es alguien cercano a mi o a alguien de los conocidos a quienes entregué copias de la llave pública, por lo que tiene acceso a una de estas llaves y por lo tanto puede cerrar la caja usando el cerrojo de la derecha. Mi abogado recibe la caja, inserta su llave en el cerrojo del lado derecho y aunque la llave sí entra en el cerrojo, no es posible abrirla ya que al haber sido cerrada con una llave pública (cerrojo derecho), únicamente puede ser abierta con la llave privada (cerrojo izquierdo). Mi abogado sabe inmediatamente que yo no fui quien cerró esa caja.

Buen intento, señor impostor, pero mi esquema de llaves frustró su intención de hacerse pasar por mi.

¿Cómo se relaciona la criptografía asimétrica al servicio de Mifiel?

La firma electrónica avanzada está basada en el segundo escenario, en el que yo quiero mandarle un mensaje a alguien de tal manera que el receptor pueda estar inequívocamente seguro de que el mensaje fue enviado por mi. A diferencia de las llaves físicas que usamos como ejemplo, en el mundo digital la llave privada y la llave pública son archivos digitales. En el caso de la FIEL o e.firma del SAT, la llave privada es el archivo tipo .key y la llave pública está contenida en el archivo tipo .cer. También, a diferencia de la llaves físicas, la llave pública contenida en el archivo .cer puede ser descargada por quien sea de tal manera que yo no tenga que entregar personalmente una llave pública a cada persona con la que quiero interactuar.

Cuando firmas con tu e.firma en Mifiel, usas tu llave privada/archivo.key (cerrojo izquierdo en la analogía) para cerrar la caja de tal manera que si los demás podemos abrirla usando una copia de tu llave pública en el cerrojo derecho, podemos saber que fuiste tú —y nadie más— quien metió el mensaje en la caja y la cerró. En el mundo digital esto se llama firmar.

Es por esto que cuando tramitas tu FIEL, firmas una carta responsiva donde te responsabilizas a informarle al SAT en cuanto sospeches que tu llave privada ha caído en las manos de un tercero. Cualquier uso que se le dé a esta llave es imputable a ti (por ley), por lo que es tu responsabilidad no compartirla con nadie y en caso de extravío, robo o entrega voluntaria debes reportarla inmediatamente al SAT. Este reporte se hace por internet.

Otro ejemplo práctico de este esquema es el de la facturación electrónica. El proveedor genera un documento (la factura), lo mete en la caja y la cierra con su llave privada (cerrojo izquierdo). Todos los que tengan una copia de la llave pública del proveedor pueden abrir la caja usando el cerrojo derecho y estar seguros de que la factura la emitió el proveedor. Por ello no es posible que un fulano se ponga a emitir facturas en nombre de Bimbo. No tiene la llave privada requerida para hacerlo.

En conclusión, la criptografía asimétrica o de llave pública permite construir sistemas de intercambio de información altamente seguros para recibir o enviar mensajes de la siguiente forma:

1) Usando mi llave pública cualquiera puede enviarme mensajes con la seguridad de que nadie más que yo podrá leerlos. Aún si el mensajero o el medio por el que se manda el mensaje no es confiable.

2) Usando mi llave privada puedo enviar mensajes a cualquier persona y los receptores pueden verificar —usando una copia de mi llave pública— que el mensaje fue enviado por mi y únicamente por mi. Esto sin importar que el mensaje haya sido enviado usando un método no confiable. La criptografía asimétrica es el esquema utilizado en la firma electrónica avanzada y la facturación electrónica.

The post Criptografía asimétrica o de llave pública: su relación con la FIEL / e.firma appeared first on Mifiel Blog.

Estarás de acuerdo con nosotros cuando afirmamos que desde que el SAT implementó la FIEL han surgido muchos mitos a su alrededor. Que si es muy complicada, que si el SAT conoce todos mis movimientos, etc.

En este artículo vamos a desmentir (de forma sencilla) los 3 mitos más comunes sobre la firma electrónica avanzada con la ayuda del Dr. Alfredo Reyes Krafft, socio director del despacho legal LexInf, experto en firma electrónica y asesor de Mifiel.

1. La FIEL únicamente puede usarse con documentos fiscales y trámites de gobierno

Este mito se implantó en la mente de las personas de una manera muy sencilla.

El SAT es el organismo oficial que autentica y emite el certificado, con lo que se asumió  que la firma electrónica solo es válida para documentos fiscales. Nada más lejos de la verdad.

Esto, aunado al hecho de que entidades gubernamentales como la SEP y el CONACYT, o tripartitas (gubernamental-obrero-patronales) como el IMSS y el INFONAVIT, entre otras, exigen su uso para ciertos trámites. Incluso algunas personas creen que es una herramienta de terrorismo fiscal y control del Estado. ¡Pero no es así!

Que un organismo gubernamental —en este caso el SAT— lo emita, garantiza su veracidad, ya que para obtener el certificado necesitamos acudir a la oficina más cercana donde verifican nuestra identidad jurídica (nombre, CURP, firma autógrafa), fiscal (RFC) y biométrica (escaneo de iris, huella dactilar y fotografía de nuestra cara).

“[El uso de la FIEL] nunca se restringió a cuestiones de carácter fiscal […] pero como el SAT era quien te autenticaba y emitía el certificado, se empezó a utilizar ahí.”

— Dr. Alfredo Reyes Krafft

Actualmente, ninguna ley indica que la e.firma sea exclusiva para cuestiones fiscales o trámites de gobierno, y algunas legislaciones como el Código de Comercio contemplan su uso en el ámbito mercantil bajo ciertas reglas. Por ello podemos usar la FIEL para suscribir cualquier contrato o acto jurídico —en tanto la legislación específica no lo prohíba—, no solamente para documentos fiscales o de gobierno.

Además, es importante mencionar que la e.firma no es la única firma electrónica avanzada que se emite y usa en México. Existen entidades públicas y privadas acreditadas para tal fin como Agencias Certificadoras por el Banco de México o como Prestadores de Servicios de Certificación (PSC) por la Secretaría de Economía. Sin embargo, la FIEL es la más conocida, fácil de obtener y de más amplio uso.

2. El SAT puede ver los documentos que han sido firmados con la FIEL

Usualmente se piensa que al firmar un documento con un certificado avalado por el SAT, el organismo se va a enterar del contenido del mismo.

Este mito se basa en el desconocimiento que tenemos del procedimiento de operación de la firma electrónica. Para comprenderlo mejor, hay que entender que la documentación es independiente de la identificación presentada para firmarlo.

Pongamos un ejemplo, cuando realizas una operación en el banco te identificas con tu credencial del INE (o tu Pasaporte o tu Cartilla Militar). El banco valida tu identidad con tu credencial pero el INE (o la SRE o la SEDENA) no se entera de tus movimientos con el banco. Algo similar ocurre con la FIEL.

Así que puedes estar seguro de que el SAT no sigue todos tus movimientos. Lo único que podrá conocer son los trámites que realices directamente con ellos como declaraciones anuales, solicitudes de devolución de saldo a favor, etc., nada más.

3. Firmar con la FIEL es muy complicado

Este mito es uno de los que más nos hemos encargado en desmitificar en Mifiel.

Antes se pensaba que usar las llaves (archivos .cer y .key), manejar la firma, etc., sería muy complicado. Y claro, si no tenemos experiencia previa, al ver los archivos podríamos intentar abrirlos y usarlos sin éxito.

Sin embargo, con aplicaciones y nuevos desarrollos (como los nuestros, ejem ejem) es posible firmar electrónicamente de una manera sencilla y sin complicaciones. Incluso ya es posible firmar desde tu celular, siendo lo opuesto a una experiencia difícil o detestable. ¡Olvídate de complicaciones!

“Es cada vez más sencillo utilizar la firma con aplicaciones como Mifiel.“

— Dr. Alfredo Reyes Krafft

Por cierto, a diferencia de su equivalente en países como España, la e.firma no va ligada a un dispositivo específico, sino que los archivos pueden almacenarse en cualquiera, ya sea una memoria USB o una computadora. Lo importante, no está de más recordar, es que mantengas segura la llave privada y su contraseña.

Por eso, cada día es más simple usar la FIEL para firmar cualquier documento con total validez legal.

¡Desmitificados!

Con esto desmentimos los 3 mitos más comunes que tiene la FIEL para que la empieces a implementar en tus operaciones diarias.

¿Has escuchado o leído algún otro mito sobre la FIEL o e.firma del SAT, su uso y alcances? Compártelo en los comentarios.

The post Desmintiendo los tres mitos más comunes sobre la FIEL appeared first on Mifiel Blog.

Esta es quizás la pregunta más común que tenemos cuando nos reunimos con clientes potenciales. A menudo va acompañada de una mirada de sincera preocupación. Esto es completamente comprensible, ya que sólo 8.94 millones de los 80.3 millones de adultos en México tenían una FIEL a finales de 2016. A Octubre de 2019 este número ha ascendido a casi 13 millones. Sin embargo, este número por sí solo no da una imagen real de la utilidad de esta herramienta, ya que no da una idea clara de quiénes son esos 8.94 millones. (Y hasta ahora no había una buena razón para saberlo, ya que la FIEL se utilizaba sólo para fines fiscales.)

Afortunadamente hay una manera de saber quién tiene FIEL con bastante facilidad: analizando la información contenida en los certificados públicos. Cada FIEL consiste en un certificado público (el archivo .cer) que contiene el nombre, fecha de nacimiento y otra información de identificación del titular. Como su nombre lo dice, estos certificados son públicos y accesibles a cualquier persona que solicite una consulta, característica necesaria para validar que el certificado fue efectivamente emitido por el SAT, que no ha expirado y que no ha sido revocado.

En Mifiel, tomamos una muestra de 86,350 certificados de personas físicas para analizar el desglose de los titulares de la FIEL por edad, sexo, lugar de nacimiento y servicios de correo electrónico utilizados. Incorporando estadísticas socioeconómicas de fuentes como el Banco Mundial pudimos extraer hipótesis sobre el grado de participación económica a través de varias dimensiones por parte de los titulares de la FIEL.

Esperamos que con esta información puedas tomar una decisión informada sobre si tiene sentido utilizar la FIEL para digitalizar tus procesos de atención al cliente (p. ej., firmar contratos electrónicamente, verificar la identidad de los clientes en línea, procesos para prevenir el lavado de dinero, etc.).

Quién tiene FIEL: Los datos en un vistazo

1. Las personas que deben tener la Firma Electrónica Avanzada son:

• Todos los representantes legales de empresas
• Personas físicas con actividad empresarial (ej. Freelancers, doctores)
• Asalariados con ingresos anuales mayores a 400,000 pesos
• Servidores públicos con un puesto equivalente o superior a Jefe de Departamento (sueldo de 20,000 o más)

2. Aproximadamente 25.7% de personas con cuenta bancaria tienen FIEL
3. En los próximos 2 años, cerca de 2.5 millones de personas físicas más tramitarán su firma electrónica
4. Más de 1 de cada 5 de los nacidos en el Distrito Federal cuentan con su FIEL (~22%)
5. Hay más hombres que mujeres con FIEL y la mayoría cae en el rango de 25-54 años de edad
6. 64.2% de los usuarios de la FIEL usan Hotmail como su proveedor de correo

La oportunidad

Teniendo en cuenta que todos los representantes legales deben tener su FIEL, es obvio que las empresas que tratan con otras empresas (es decir, que ofrecen servicios B2B o Business-to-Business) tienen grandes ventajas para la integración de firmas electrónicas. Esto también tiene mucho sentido ya que las transacciones entre empresas representan un gran subconjunto de todos los documentos legales firmados, que además representan los contratos más sensibles y de alto valor.

Eso no quiere decir que firmar con la FIEL no tiene sentido para los servicios orientados al público. Por el contrario, con el aumento de los bancos 100 % en línea y la presión cada vez mayor para ofrecer más servicios en línea, es más importante que nunca considerar cómo los procesos legales pueden pasar de físico a digital sin comprometer la seguridad.

Varias empresas ya incorporaron la firma electrónica a sus industrias, conoce en la siguiente infografía los 4 casos de uso más populares de la fiel en 2017.

Entonces, como empresa, ¿cuándo tiene sentido implementar la firma electrónica para digitalizar procesos? Presentamos algunas ideas para empezar:

• Tu empresa ofrece servicios a otras empresas (Consultoras, financieras, manufactureras, distribuidores, despachos contables y legales)
• Tu empresa ofrece servicios a personas con un poder adquisitivo medio alto y alto (Seguros de vida y GMM, banca preferencial, fideicomisos, productos de inversión)
• Tu compañía tiene operaciones dispersas geográficamente y firman documentación interna
• Tu empresa firma con dependencias de gobierno o paraestatales
• Tu compañía regularmente contrata servicios de freelancers, doctores, etc.

Haz clic aquí para obtener más información sobre cómo Mifiel puede ayudarte a ofrecer una mejor experiencia a tus clientes, habilitar nuevos servicios, ahorrar tiempo y reducir los costos de tus procesos legales.

The post Infografía – ¿Quién tiene FIEL (Firma Electrónica Avanzada)? appeared first on Mifiel Blog.

Qué es la FIEL o e.firma

La FIEL es una herramienta para comprobar tu identidad digitalmente. A pesar de que la FIEL es llamada una Firma Electrónica Avanzada, la FIEL no es una firma. Es una herramienta que te permite generar firmas electrónicas. Dado que millones de personas en Mexico ya tienen sus FIELes, la FIEL es la mejor herramienta para firmar y cerrar tus tratos de manera rápida, segura y fácil.

Se tramita en cualquier oficina del SAT y en el proceso de obtención se recolecta tu foto, un escaneo de tu iris, tus huellas dactilares y tu firma autógrafa, además de algunos de tus documentos oficiales. Por ello tu FIEL está ligada a ti.

La FIEL se compone de dos archivos:

• El primero es un certificado que es como tu tarjeta de identidad y contiene información como tu nombre y RFC. Es un archivo terminado en “.cer”.
• El segundo es una llave privada que está protegida por una contraseña y asegura que solo tu puedes usar tu FIEL para firmar. Con esta llave firmas electrónicamente. Es un archivo terminado en “.key”.

La ley establece que puedes usar la FIEL para firmar cualquier documento legal —ya sea los trámites del gobierno o un contrato privado— con la misma validez que una firma autógrafa.

The post Qué es la FIEL (Firma Electrónica Avanzada) appeared first on Mifiel Blog.

Por su parte, la firma electrónica simple puede ser generada de diferentes formas. Lo importante es que también conlleva la generación e intercambio de claves privadas, un proceso criptográfico similar al de la firma electrónica avanzada.

¿Técnicamente cómo funciona una firma electrónica? Supongamos que Carolina necesita que Roberto le firme un documento.

En vez de reunirse o mandar el documento firmado por paquetería, Roberto puede usar un sistema que le permita firmar electrónicamente, ya sea con los archivos de una firma electrónica avanzada como la e.firma del SAT, o mediante una firma electrónica simple con intercambio de claves privadas y recabación de evidencia de la firma.

En esencia el proceso de firma electrónica es:

1. Calcular el hash (huella digital representada por una serie de caracteres única) del documento y cifrarlo con una llave privada.
2. Con una llave pública se descifra y el resultado se compara con el hash obtenido inicialmente.
3. Si coinciden exactamente, existe certeza de que el titular de la llave privada firmó el documento.

¿Cuál es el proceso de firma electrónica de un documento para personas como Roberto? Las plataformas de firma electrónica avanzada tienen procedimientos similares. A grandes rasgos, los pasos son los siguientes.

Cómo firmar un documento con la e.firma o FIEL

1. Tu contraparte envía el documento a una plataforma de firma digital que calcula su hash o huella digital.
2. Visualizas el documento en la plataforma.
3. Subes tu certificado público. Su validez y vigencia se verifican ante el SAT.
4. Seleccionas tu llave privada.
5. Ingresas la contraseña de tu llave privada.
6. El documento se firma digitalmente.

Cómo firmar un documento con firma electrónica simple

1. Tu contraparte envía el documento a una plataforma de firma digital que calcula su hash o huella digital.
2. Visualizas el documento en la plataforma.
3. Generas con apoyo y consentimiento de la plataforma tus llaves de firma (pública y privada).
4. La plataforma recaba datos para probar que eres tú quien firma el documento. Algunos de estos pueden ser dirección IP, foto de tu cara, foto de tu identificación, localización en el mapa, entre otros.
5. Aceptas firmar el documento.
6. El documento se firma digitalmente.

¿Qué tipos de firma existen? Descúbrelo con ayuda del experto en Firma Electrónica Avanzada en México, el Dr. Alfredo Reyes Krafft.

Cómo verificar una firma electrónica

Para verificar que una firma es válida al momento de realizarla, las plataformas de firma electrónica realizan el siguiente proceso:

1. Tu navegador cifra el hash del documento usando tu llave privada, es decir, firma digitalmente el documento.
2. En el servidor de la plataforma se descifra el resultado de firma usando tu llave pública.
3. Si el resultado coincide con el hash calculado inicialmente, la firma es válida y se estampa en el documento.

Pero ¿cómo puede verificar la firma una persona? Regresemos al ejemplo de Carolina y Roberto.

Lo primero que Carolina tiene que hacer es obtener la llave pública de Roberto. Como su nombre lo indica, son de carácter público. En el caso de la e.firma, el certificado que incluye la llave pública de cualquier persona puede ser obtenido de la página del SAT.

Usando la llave pública contenida dentro del certificado de Roberto, Carolina decodifica la firma que le envió Roberto. Este proceso le revela a Carolina el número de serie del documento contenido dentro de la firma electrónica de Roberto.

Ahora lo que le resta a Carolina es comparar el número de serie del documento que le envió a Roberto con el número de serie que obtuvo al decodificar la firma que le envió Roberto.

Si al hacer la comparación, los números de serie no coinciden quiere decir que se usó la FIEL de alguna otra persona para firmar o que el documento que se firmó fue otro.

Si coinciden, Carolina puede estar segura que la firma que tiene en su poder fue hecha por Roberto ya que para generarla se usó la llave privada de Roberto a la que sólo tiene acceso él y que además corresponde al documento correcto. Por sus características técnicas, la Ley confiere a la firma electrónica avanzada garantía de no repudio.

Algunas plataformas cuentan con herramientas auditables para facilitar la verificación de firmas electrónicas avanzadas.

¿Es posible falsificar una firma electrónica?

Falsificar una firma electrónica avanzada es matemáticamente imposible. La única manera que alguien puede firmar por nosotros de manera electrónica es si tiene acceso a nuestra llave privada. Por ello el SAT nos indica que no debemos, por ninguna circunstancia, compartir nuestra e.firma con nadie, ni siquiera nuestro contador. Es el equivalente a entregarle a alguien una hoja en blanco firmada por nosotros.

En el caso de la firma electrónica simple, esta es repudiable pero siempre se presume que el firmante es quien realmente la ejecutó (presunción de atribución). Por ello es recomendable sumar todas las pruebas necesarias para demostrar que esa persona en efecto firmó.

The post Fundamento técnico de la firma electrónica en México appeared first on Mifiel Blog.