La respuesta corta es sí. Como firmante de un documento, tu Firma Electrónica Avanzada está segura durante todo el proceso. A continuación explicamos paso a paso cómo se firma un documento en Mifiel y la manera en que tu e.firma se mantiene segura. Sin embargo, es conveniente definir algunos conceptos en este contexto que pueden ser confusos para comprender el proceso.

Conceptos clave de firmas electrónicas

Los términos que causan mayor confusión son aquellos que utilizan la frase “firma electrónica” indistintamente —incluso en la legislación mexicana— para llamar tanto al acto de firmar como a los datos que se utilizan para dicha acción sin importar que se trate de una Firma Electrónica Simple o una Avanzada.

Primero, Firma Electrónica Avanzada o Fiable (FEA) es la combinación de un certificado de llave pública (archivo *.cer), una llave privada (archivo *.key) y la contraseña de dicha llave, que permiten generar firmas irrepudiables. El certificado público no es sensible, en cambio la llave privada y la contraseña que la protege sí lo son.

FIEL o e.firma son nombres que recibe la Firma Electrónica Avanzada que emite el Servicio de Administración Tributaria (SAT), y es con la que Mifiel trabaja nativamente.

Cuando hablamos de firmar electrónicamente un documento (crear o generar una firma), nos referimos a calcular el hash del mismo y posteriormente cifrarlo con una llave privada *.key.

Pero ¿qué es un hash? Se trata de una serie de caracteres que funcionan como huella digital única de algún conjunto de datos—un documento PDF en el caso de Mifiel. Se obtiene mediante un algoritmo de cifrado o encripción como SHA-256.

Definidos estos conceptos, podemos conocer cómo se mantiene segura tu llave privada durante el proceso de firma de documentos en Mifiel.

Proceso de firma en Mifiel

Todo comienza al subir documentos a la plataforma. Cuando nuestro servidor recibe el PDF, calculamos su hash y lo almacenamos (si el cliente integra nuestra API, es posible solo enviar el hash). A los firmantes se les notifica por correo electrónico que su firma es requerida y mediante un enlace único, llegan a nuestro motor de firmas, un pequeño widget o aplicativo que se ejecuta dentro del navegador del usuario (Chrome, Firefox, Safari, etc.).

Este widget muestra el PDF y el botón “Firmar documento”. Tras hacer clic en el botón, se solicita al usuario cargar el certificado público (*.cer), así como la llave privada (*.key) y la contraseña de esta. Como sabes, el certificado es un dato público, de hecho puedes descargar en la página del SAT el de cualquier persona física o moral que tenga o haya tenido FIEL.

Pero ¿dónde está la seguridad si también piden los datos sensibles? La clave está en que todo se carga y ejecuta de manera local en tu dispositivo, no se envía a nuestros servidores.

No esperamos que tengas fe en nuestra palabra, por ello te invitamos a utilizar la función “Inspeccionar” o la consola de tu navegador para auditar todo el proceso y constatar que en ningún momento se envían a Mifiel ni la llave privada ni su contraseña.

Entonces, en lugar de enviar la llave privada, el aplicativo firma electrónicamente de manera local, es decir, encripta el hash en tu PC o smartphone. Este hash cifrado (la firma en sí) y el certificado público se envían a los servidores de Mifiel, impidiendo así exponer la llave privada.

Al recibir el certificado, verificamos ante la registradora del SAT que no esté expirado ni revocado. Si no es válido, se muestra un error al firmante, pero de no haber inconvenientes, Mifiel toma la llave pública contenida en este y descifra la firma generada anteriormente. Lo siguiente es comprobar que el hash obtenido sea correcto. Para ello, comparamos el hash obtenido al inicio con el hash recién descifrado. Si no coinciden, se muestra un error al firmante y cuando sí coinciden, Mifiel coloca la firma generada en un XML. Este archivo se envía a un PSC para que agregue una constancia de conservación.

El proceso finaliza enviando el documento firmado y con constancia de conservación a los firmantes y espectadores, tanto el XML —el documento con validez legal— como el PDF—la representación impresa del documento con una hoja de firmas.

Verificación posterior

Si después de haber firmado el documento requieres verificar su integridad y la autenticidad de sus firmas, ponemos a tu disposición dos métodos. El primero es el más sencillo, consiste en ingresar al enlace único mostrado en la hoja de firmas del PDF a nuestro validador interno.

El segundo agrega un paso —seleccionar el XML firmado—, pero es auditable y equivalente a un perito criptográfico en caso de juicio, se trata de nuestra herramienta de código abierto, el Verificador de Mifiel.

En conclusión

Generar la firma electrónica de un documento o mensaje de datos mediante Firma Electrónica Avanzada, es el proceso computacional de cifrarlo para obtener su hash y posteriormente cifrar ese mismo hash.

Por seguridad del usuario y por disposición de ley, los datos de creación de la firma electrónica, es decir, el archivo *.key (llave privada) y su contraseña no deben compartirse con nadie por ningún motivo.

Es por esto que en Mifiel desarrollamos nuestro producto de tal forma que las operaciones de firma se ejecutan localmente en tu dispositivo, enviándonos únicamente el resultado y el certificado de llave pública, por lo que no tienes de qué preocuparte.

Si quieres conocer más sobre el tema y quieres implementar la firma electrónica en tus procesos, puedes contactarnos a través del siguiente botón.

Contacta a Mifiel

The post ¿Es seguro usar la e.firma en Mifiel? appeared first on Mifiel Blog.

Nos contacta una persona —llamémosla Juan— por el chat de soporte preguntando si es posible saber si alguien ha hecho mal uso de su FIEL/e.firma. Le respondemos que no hay manera y le preguntamos si sospecha que alguien más tiene acceso a su e.firma.

Hasta aquí todo normal. De vez en cuando nos llegan consultas como esta. Pero siempre se trata de alguien que entregó la FIEL a su contador (muy mala práctica) y después leyó por ahí que los archivos de la firma electrónica no se deben compartir con nadie. Así que nos contacta para preguntar si hay manera de saber si alguien le está dando mal uso a su FIEL.

Sin embargo, este caso es diferente. Juan sospecha que la USB que contiene los archivos de su FIEL fue sustraída con el objetivo de hacer mal uso de ella.

Sugerencia: revocar la FIEL

Le sugerimos que si tiene una copia de los archivos revoque lo más pronto posible su e.firma en la página del SAT. También le explicamos que se trata de un tema muy delicado, ya que la ley otorga presunción jurídica de autoría a la firma electrónica avanzada, lo que implica que si uno de los documentos firmados con su FIEL llega a un proceso judicial, él va a tener que presentar pruebas de que NO firmó.

Probablemente en un estado de incredulidad Juan nos revela que trabaja en un municipio del cual debe firmar los estados financieros con su FIEL. Además agrega que la fecha límite para entregar los estados financieros municipales se aproxima y no le han requerido que los firme. Él sospecha que su USB fue sustraída para firmar estos documentos sin su consentimiento.

Con este comentario nos cae el veinte de que se trata de un asunto grave. Rápidamente le reiteramos que si estos estados financieros derivan en una acción judicial y están firmados con su FIEL, se presumirá que él los firmó y tendrá que probarle al juez que NO firmó. Probar negativos en un juicio es extremadamente difícil.

Con esta reiteración de que la e.firma es irrepudiable, Juan deja de contestar en el chat. Asumimos que probablemente está procesando lo que implica la garantía de no repudio de la firma electrónica en contexto de su situación.

Después de unos minutos regresa y nos contesta —probablemente en un estado de negación y tratando de racionalizar una posible salida a su predicamento— que en la documentación que entrega el SAT no se especifica en ningún lado que “somos los únicos responsables del mal uso que se le pueda dar a la FIEL”.

Le respondemos que lo opuesto es verdad. Uno de los documentos que tenemos que firmar al tramitar nuestra e.firma es una carta responsiva que explícitamente expone que los actos realizados con nuestra FIEL son imputables a nosotros. Además indica que si sospechamos que alguien más tiene acceso a nuestra e.firma, es nuestra responsabilidad revocarla inmediatamente.

Juan nos revira diciendo que el personal del SAT “no nos explica las implicaciones de la FIEL”. En este punto tiene razón, tache para el SAT. Cuando nos entregan los archivos de la e.firma, el funcionario del SAT nos debería advertir que entregarlos a un tercero es mucho peor que darle hojas en blanco firmadas. Hace falta capacitar al personal para que entiendan y comuniquen claramente las implicaciones de la FIEL.

Obligado a dar mal uso a su FIEL

Antes de seguir con el relato es importante aclarar un punto que seguramente notaste. Juan menciona que su USB fue sustraída, por lo que los malintencionados perpetradores tienen acceso al archivo .key (la llave privada) de su FIEL. No obstante, para poder firmar se necesita tener acceso a este archivo pero también es indispensable conocer la contraseña correspondiente.

La teoría dice que mientras los ladrones de USBs no tengan la contraseña, no podrán hacer mal uso de la FIEL. Sin embargo, en la práctica, la mayoría tenemos la mala costumbre de usar contraseñas poco seguras y fáciles de adivinar como nuestro RFC, fecha de nacimiento, nombre de nuestra mascota, etc., contraseñas que un atacante con acceso a un mínimo de información sobre nosotros podría adivinar.

Por ello, como regla general en Mifiel en estos casos siempre recomendamos revocar la FIEL de cualquier manera y tramitar una nueva. La revocación es un proceso es muy fácil y se puede hacer en línea.

Regresando al relato, en afán de dar esperanza a Juan, le informamos que si usó una buena contraseña el riesgo está controlado y probablemente haya evitado una desgracia.

“El municipio me solicitó llenar un expediente con todos mis datos, incluyendo la contraseña de mi e.firma y la de mi correo electrónico”, nos contesta.

What?!?!

“Entra al SAT ahora mismo y revoca tu FIEL”, le respondemos inmediatamente.

Mega tache para el municipio y en especial para los abogados que diseñaron este procedimiento de pedir contraseñas. Nadie debe pedirnos que entreguemos el archivo .key de nuestra FIEL y mucho menos la contraseña*. La e.firma es algo muy delicado que se debe cuidar celosamente. Esperamos que Juan pueda solucionar su situación sin que le cause graves problemas.

Moraleja: custodia apropiadamente tu FIEL así como su contraseña correspondiente.

*Si por alguna razón es necesario utilizar una plataforma web que requiere los archivos de la FIEL o e.firma para su funcionamiento es imperativo asegurarse que la llave privada y la contraseña se queden en la computadora y no sean compartidas con los servidores de la plataforma web. Mifiel funciona de tal manera que las firmas de los documentos se ejecutan localmente en el navegador del usuario, impidiendo que las claves privadas de la FIEL sean compartidas con el servicio de Mifiel.

The post Nunca debes compartir tu e.firma o FIEL del SAT con nadie appeared first on Mifiel Blog.