Source: http://cursohispano.com/criptografia/
Timestamp: 2018-07-16 03:09:41+00:00

Document:
Criptografía – CURSO HISPANO Ator
Página de inicio » CH » Criptografía
Publicada en 21 junio, 2012 de Jac Publicado en: CH, Gobierno TIC
Compliance: uso de la criptografía por parte de los ciudadanos.
Hablando, como venía haciendo, de “compliance” ¿os habéis planteado si usar la criptografía en vuestros sistemas es conforme a la Ley?
El uso de la criptografía se ve afectado por la legislación y la normativa vigente en diversos aspectos. Por una parte se han regulado usos de la criptografía como es el caso de la firma electrónica (en otro post os hablaré de ella). También está regulado quien ejerce la autoridad criptológica nacional. Pues bien, hay un aspecto de la criptografía que merece atención: su uso por parte de los ciudadanos.
La Comunicación de la Comisión de las Comunidades Europeas, de 8 de octubre de 1997, sobre el Fomento de la Seguridad y la Confianza en la Comunicación Electrónica: hacia un marco europeo para la firma digital y el cifrado, anima precisamente a este uso con diversos fines. Posteriormente a esta comunicación se han promovido otras en la misma línea, lo que pone el acento en extender los usos de la criptografía dentro de la sociedad de la información para alcanzar un estado de seguridad aceptable por todos.
La Ley 11/1998, de 24 de abril, General de Telecomunicaciones en el artículo 52 recoge el uso de la criptografía en las comunicaciones. Esta Ley no está derogada en su totalidad.
En la práctica el artículo 52 mencionado viene a establecer lo que se denomina “key escrow” (depósito de claves), que establece que se podrá imponer la obligación de notificar, bien a un órgano de la Administración Generaldel Estado o a un organismo público, los algoritmos o cualquier procedimiento de cifrado utilizado, a efectos de su control de acuerdo con la normativa vigente. Textualmente así se dice en el artículo 52 y vincula a operadores, prestadores de servicios y usuarios.
La realidad es que esta ley, y concretamente su título III, al que pertenece el artículo, ha sido desarrollado en disposiciones posteriores de menor rango y que no vienen al caso pues no llegan a dar cumplimiento, en concreto, al párrafo 1 del artículo 52, que reza:
“1. Cualquier tipo de información que se transmita por redes de telecomunicaciones, podrá ser protegida mediante procedimientos de cifrado. Podrán establecerse condiciones para los procedimientos de cifrado en las normas de desarrollo de esta Ley”.
Es decir, las normas de desarrollo para este aspecto (key escrow) no han llegado por el momento, ni ha sido resuelto por la ley de telecomunicaciones posterior, la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, que sustituye a la anterior totalmente, aunque no deroga algunas de sus disposiciones, por lo que aquella aún está vigente. El artículo 52 referido, es en la nueva ley, el artículo 36, más ligero en su redacción pero por ello aun más explícita la obligación “key escrow”.
Por otra parte la exigencia de depósito de claves, siendo legal, se contradice (a mi modo de ver) con la voluntad de diferentes disposiciones que regulan el comercio electrónico y la protección de datos de carácter personal. Lo explicaré:
La criptografía es aludida en ellas como una herramienta o un mecanismo de seguridad necesario para salvaguardar los derechos e intereses de las personas. Por eso propugnan su uso. El estado pretende guardar nuestras claves para garantizar la investigación del delito, y teóricamente garantiza la confidencialidad al guardar nuestras claves. Pero el “key escrow” introduce indudablemente el factor de riesgo de que nuestras claves al ser guardadas por otros, aunque representen al estado, puedan ser robadas, o perdidas, etc. Por otra parte el “key escrow” se motiva para facilitar la labor del estado cuando tuviera que investigar, y eso no se exige a los ciudadanos en otros supuestos de uso fraudulento, no se nos obliga a dejar las llaves de nuestro domicilio para facilitar al estado investigar si por ejemplo tenemos drogas.
Como ya se ha dicho la criptografía se ve afectada por más disposiciones, las que afectan a firma electrónica, comercio electrónico, propiedad intelectual, protección de datos, secretos oficiales, etc. De estos casos trataré muy brevemente en post posteriores.
« RBAC (Control de acceso basado en role)
Windows To Go »

References: artículo 52
 artículo 52
 artículo 52
 artículo 52
 artículo 52
 artículo 36