Source: http://www.slideshare.net/domingosuarez/manual-supervivencia-administracionelectronica
Timestamp: 2015-08-02 05:47:02+00:00

Document:
Transcript of "Manual supervivencia administracion_electronica"
El Manual Práctico de Supervivencia en laAdministración Electrónic@ Alberto López Tallón Primera Edición – Septiembre 2010 (edición revisada) 2.
Primera Edición – Septiembre 2010 (edición revisada)ISBN: 978-84-614-3413-8Esta obra se publica en la modalidad de Reconocimiento-No comercial-Compartir bajo la licencia 3.0 España deCreative Commons. Visite el blog del libro para más información.Esta obra contiene fragmentos de obras de terceros con licencia Creative Commons. Se exceptúan de la licenciaglobal de esta obra los contenidos e imágenes obtenidas de fuentes de terceros respetando sus licenciasoriginales en los términos previstos para “colecciones de obras” por Creative Commons.Para ver una copia de esta licencia, visite http://creativecommons.org/licenses/by-nc-sa/3.0/es/ o envíe unacarta a Creative Commons, 171 Second Street, Suite 300, San Francisco, California 94105, USA.Blog del autor del libro: http://www.microlopez.org (contiene una fe de erratas y material complementario) 3.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 3ContenidosPrólogo ........................................................................................................................ 9Primera Parte: Manual Práctico ...................................................................................131 Conceptos Básicos y Ejemplos de Administración Electrónica ...............................15 1.1 ¿Qué es la Administración Electrónica?..................................................................... 15 1.1.1 Características de la Administración Electrónica ............................................... 15 1.1.2 Identificación, Autenticación, Integridad, Confidencialidad, Disponibilidad, Trazabilidad y Conservación .............................................................................................. 17 1.2 Ejemplos de Servicios destacados de Administración Electrónica ............................ 18 1.2.1 Oficina Virtual de la Agencia Tributaria ............................................................. 18 1.2.2 Portal 060 ........................................................................................................... 19 1.2.3 Portal CIRCE ........................................................................................................ 20 1.2.4 Consulta de Puntos en la DGT ............................................................................ 22 1.2.5 Sociedad Pública de Alquiler............................................................................... 24 1.2.6 Consulta de Precios de Carburantes ................................................................... 25 1.2.7 Administración Electrónica en las Comunidades Autónomas ............................ 26 1.2.8 Administración Electrónica en las Entidades Locales ......................................... 27 1.3 Administración Electrónica no es sólo usar la Firma Electrónica .............................. 282 Cosas fundamentales que hay que dominar ..........................................................29 2.1 La Identidad Digital .................................................................................................... 29 2.2 Certificados Digitales (Certificados Electrónicos) ...................................................... 31 2.2.1 Gestión de Certificados. Consulta, Emisión y Revocación. ................................. 32 2.2.2 Tipos de Certificados .......................................................................................... 33 2.2.3 Tipos de Ficheros de Certificados más importantes ........................................... 34 2.3 Autoridades de Certificación e Infraestructuras de Clave Pública (PKI) .................... 35 2.3.1 Infraestructuras de Clave Pública (PKI) .............................................................. 40 2.3.2 Usos de la Tecnología PKI ................................................................................... 40 2.4 Firma Electrónica ....................................................................................................... 40 2.5 El DNI electrónico ...................................................................................................... 43 2.5.1 Información incluida ........................................................................................... 44 2.5.2 Utilización ........................................................................................................... 443 La Administración Electrónica en la Práctica .........................................................46 4.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 4 3.1 Tareas típicas ............................................................................................................. 46 3.1.1 Obtener Certificados Electrónicos y Medios de Firma Electrónica ..................... 47 3.1.2 Gestionar Certificados Electrónicos y Medios de Firma Electrónica .................. 52 3.1.3 Validación de Certificados y Firmas Electrónicas ............................................... 67 3.1.4 Firmar Documentos electrónicamente............................................................... 81 3.1.5 Trabajar con la Firma Electrónica en Formularios Web ..................................... 91 3.1.6 Trabajar con Documentos confidenciales .......................................................... 95 3.2 Problemas típicos ...................................................................................................... 97 3.2.1 Al entrar en una Página que usa Certificados aparecen Mensajes desconcertantes ................................................................................................................ 98 3.2.2 Estamos usando un Certificado que ha caducado ........................................... 101 3.2.3 El Sitio Web (sede electrónica) del Organismo usa un Certificado que nuestro Navegador no reconoce .................................................................................................. 102 3.2.4 El Usuario no dispone de un Certificado Digital ............................................... 106 3.2.5 El Usuario no tiene instalada una Máquina Virtual Java ................................. 106 3.2.6 El Navegador del Usuario no soporta ActiveX ................................................. 107 3.2.7 Problemas de Compatibilidad Tecnológica. Las Limitaciones del Principio de Neutralidad Tecnológica ................................................................................................. 108Segunda Parte: Servicios y Soluciones de Administración Electrónica ........................ 1114 Los Servicios horizontales e Instituciones de Administración Electrónica ............ 113 4.1 El Portal del Ciudadano 060 .................................................................................... 113 4.1.1 Servicios de la Red 060 ..................................................................................... 113 4.1.2 Canales disponibles .......................................................................................... 113 4.1.3 Servicios de la Red 060 ..................................................................................... 114 4.2 El Portal del DNIe ..................................................................................................... 115 4.3 La Fábrica Nacional de Moneda y Timbre ............................................................... 116 4.4 La Red SARA ............................................................................................................. 116 4.5 El Consejo Superior de Administración Electrónica ................................................ 118 4.6 El Centro de Transferencia de Tecnología ............................................................... 118 4.7 Servicios horizontales destacados ........................................................................... 120 4.7.1 Plataforma de Firma Electrónica @firma ........................................................ 120 4.7.2 VALIDe .............................................................................................................. 121 4.7.3 Supresión de Certificados en Soporte Papel (SCSP) .......................................... 122 5.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 5 4.7.4 Verificación de Datos de Identidad (SVDI) y Datos de Residencia (SVDR) ........ 123 4.7.5 Notificaciones Telemáticas Seguras (SNTS) ...................................................... 123 4.7.6 Sistema de Interconexión de Registros (SIR) .................................................... 124 4.7.7 Pasarela de Pagos ............................................................................................ 124 4.7.8 Servicio de Georeferenciación en la Administración General del Estado ......... 1255 Soluciones y Componentes de Administración Electrónica .................................. 125 5.1 SIGEM (Sistema Integrado de Gestión Municipal) ................................................... 126 5.2 Cliente de Firma electrónica de @firma .................................................................. 127 5.3 Soluciones y Componentes para la Facturación Electrónica ................................... 128Tercera Parte: Aspectos Jurídicos .............................................................................. 1316 El Marco Legal de la Administración Electrónica ................................................. 133 6.1 La Ley 11/2007, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos 133 6.1.1 Principales Contenidos ..................................................................................... 134 6.1.2 El Reglamento de Desarrollo de la Ley 11/2007, Real Decreto 1671/2009 ...... 138 6.2 El Esquema Nacional de Seguridad, Real Decreto 3/2010 ....................................... 142 6.3 El Esquema Nacional de Interoperabilidad, Real Decreto 4/2010 ........................... 145 6.4 La Ley 59/2003, de Firma Electrónica ...................................................................... 148 6.5 La Ley Orgánica 15/1999, de Protección de Datos Personales ................................ 149 6.5.1 El Reglamento de Desarrollo de la Ley Orgánica 15/1999, Real Decreto 1720/2007 ....................................................................................................................... 150 6.6 La Ley 56/2007, de Medidas de Impulso de la Sociedad de la Información ............ 1517 Elementos de Administración Electrónica ........................................................... 152 7.1 El Documento Electrónico y la Copia Electrónica .................................................... 152 7.2 Archivo Electrónico (Archivo Legal) ......................................................................... 156 7.3 El Expediente Electrónico ........................................................................................ 156 7.4 Firma Electrónica, Sello Electrónico y Sede Electrónica .......................................... 157 7.4.1 Firma Longeva de Documentos ........................................................................ 160 7.5 Registro Electrónico ................................................................................................. 160 7.6 Notificaciones Electrónicas ...................................................................................... 162 7.7 Pago Electrónico ...................................................................................................... 163 7.8 La Factura Electrónica .............................................................................................. 163Cuarta Parte: La Tecnología en la Administración Electrónica .................................... 167 6.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 68 Fundamentos técnicos de la Seguridad en la Administración Electrónica ............ 169 8.1 Criptografía Simétrica .............................................................................................. 169 8.2 Criptografía Asimétrica ............................................................................................ 170 8.3 Funciones y Códigos Hash (funciones resumen) ..................................................... 172 8.4 Conexiones Seguras HTTPS...................................................................................... 1759 Estándares Abiertos, Software Libre y Código Abierto en la AdministraciónElectrónica ................................................................................................................ 180 9.1 ¿Por qué Software Libre? ........................................................................................ 182 9.1.1 ¿Qué puede aportar el Software Libre a un Usuario Final? ............................. 182 9.1.2 Ventajas para una Organización...................................................................... 183 9.2 El Software Libre en la Administración Pública ....................................................... 187 9.2.1 Beneficios más allá del Software ..................................................................... 189 9.3 ¿Qué es el Software Libre y de Código Abierto exactamente? ............................... 190 9.4 El Sistema Operativo Linux ...................................................................................... 191 9.4.1 Barreras de Entrada al Mundo Linux ............................................................... 194 9.4.2 Las Distribuciones de Linux .............................................................................. 195 9.4.3 Las Aplicaciones en Linux ................................................................................. 196 9.5 Mitos, Miedos, Falsedades y Confusiones sobre el Software Libre ........................ 197 9.5.1 El Software Libre es Cosa de Frikis ................................................................... 197 9.5.2 El Software Libre no es fiable y de mala Calidad frente a Productos comerciales 198 9.5.3 Si cuesta Dinero no es Software Libre .............................................................. 198 9.5.4 El Software Libre no dispone de Soporte profesional....................................... 199Quinta Parte: Perspectivas de la Administración Electrónica ..................................... 20110 Internet e Innovación en la Administración Pública ......................................... 203 10.1 El Concepto de Web 2.0 .......................................................................................... 204 10.2 Administración 2.0 .................................................................................................. 205 10.3 Blogs ........................................................................................................................ 206 10.3.1 Blogs y Política ................................................................................................. 208 10.3.2 Herramientas para la creación de un Blog....................................................... 209 10.4 Wikis ........................................................................................................................ 209 10.4.1 Las Wikis en las Organizaciones....................................................................... 211 7.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 7 10.4.2 Las Wikis en la Administración Pública ............................................................ 212 1.1.1 Herramientas para la creación de Wikis .......................................................... 213 10.5 Redes Sociales .......................................................................................................... 213 10.5.1 Redes Sociales en la Administración Pública .................................................... 215 10.5.2 Redes Sociales en la Política ............................................................................. 215 10.6 Marketing Viral ........................................................................................................ 217 10.6.1 Aplicaciones y Ventajas de Marketing Viral en la Administración Pública ....... 219 10.7 Crowdsourcing ......................................................................................................... 221Anexo ........................................................................................................................ 2291. Sitios de Referencia ............................................................................................ 2312. Herramientas ..................................................................................................... 2343. Libros y Revistas ................................................................................................. 2354. Videos ................................................................................................................ 2365. Enlaces varios ..................................................................................................... 2376. Terminología ...................................................................................................... 237Índice Alfabético ....................................................................................................... 239Historial de Revisiones .............................................................................................. 249 8.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 9PrólogoPúblico y Objetivos del ManualLa Ley 11/2007 de acceso electrónico de los ciudadanos a los Servicios Públicos supone unreto como pocos, tanto a la Administración y su personal, como a los ciudadanos, ya que,como dice, en su exposición de motivos, supone el paso del “podrán” al “deberán” enmateria de administración electrónica, convirtiendo la relación con la Administración víamedios electrónicos en un derecho para los ciudadanos y obligación para la Administración.La ley se muestra particularmente exigente con la Administración General del Estado, ya queestablece el 31 de diciembre del 2009 como fecha límite para la disponibilidad de estosservicios, cuando, en cambio, condiciona para CCAA y EELL la obligatoriedad a ladisponibilidad de financiación suficiente para la implantación de estos servicios.Esto no supone solamente la necesidad de desarrollar las aplicaciones que soporten losservicios electrónicos correspondientes, sino, además, que el personal administrativo estépreparado para las consecuencias que esto implica, tanto jurídicas y organizativas comotécnicas.Las consecuencias son importantes: los usuarios, tanto ciudadanos como funcionarios, van atener que dominar más que nunca tecnologías de cierta complejidad, como certificadoselectrónicos y la firma electrónica, lo cual es imposible sin asentar una serie defundamentos. Por otra parte, las ventajas son tantas y de tal calibre, que merecensobradamente una pequeña inversión de tiempo para hacerse con los conocimientos básicosnecesarios para manejarse con una soltura razonable en este terreno.El público objetivo de este manual abarca tres perfiles: empleados públicos, ciudadanos yresponsables de proyectos y servicios de administración electrónica. Para conciliar losintereses de estos diferentes perfiles, el manual mantiene una línea orientada principalmentea los empleados públicos y ciudadanos, y añade recuadros y capítulos específicos queabordan los detalles técnicos orientados principalmente a responsables de proyectos, demodo que el lector no interesado en este nivel de detalle se los pueda saltar fácilmente.El manual pretende por otra parte cumplir principalmente con una doble finalidad: servircomo punto de entrada para una formación completa en administración electrónica, a la vezque, asentados los conocimientos, ser útil como manual de consulta que acompañe alusuario en su día a día.Para aquellos lectores interesados en las cuestiones más allá de lo meramente práctico, elmanual también pretende ir un poco más allá y ofrecer una visión sobre las perspectivasactuales y futuras de la administración electrónica, junto con algunas reflexiones y ejemplosde innovaciones en este campo, tales como las ideas en torno al concepto de Web 2.0. 9.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 10También se incluye una parte un poco más técnica, destinada a aquellos lectores interesadosen detalles sobre las tecnologías usadas en elementos clave de la administración electrónica,tales como la firma electrónica o los certificados electrónicos y, en particular, a lo que elmundo de software libre puede aportar en este campo, que es sin duda muchísimo; razónpor la cual ya forma parte de las políticas nacionales e internacionales en administraciónelectrónica.Finalmente hay que reseñar que el conocimiento práctico que abarca este manual, aunque seenfoca a la administración electrónica, es también útil como manual para el usuario de losservicios y comercio electrónico en el sector privado. Cuestiones como la firma electrónica ocertificados electrónicos no son en absoluto exclusivas de la administración electrónica,aunque es cierto que su implantación actualmente se encuentra mucho más avanzada en elsector público que en el privado. No obstante, en un futuro no muy lejano será cada vez máshabitual su uso en el sector privado; de hecho, poco a poco está empezando a extenderse eluso del DNI electrónico, especialmente en sectores que manejan información sensible, comolo es, por ejemplo, la banca.En cuanto a los requisitos para el lector, aunque se abordan puntualmente temas de ciertacomplejidad técnica, no son necesarios conocimientos más allá de los normales de un usuariomedio de informática.Cómo leer este ManualPuesto que este manual abarca un amplio público objetivo con perfiles bastante diferentes,se ha procurado seguir un orden cronológico en los contenidos que permita a cada lectoracceder cómodamente a los que a él más le interesan, sin verse entorpecido o molestado porotros que puedan interesarle menos.En este sentido el libro se ha dividido en 5 partes, más un anexo que se dirigenprogresivamente desde un público más amplio a uno más específico.La primera parte concentra la esencia práctica de este manual; se da un repaso a las tareas yproblemas concretos típicos que un usuario de administración electrónica, ciudadano ofuncionario, debe afrontar a la hora de utilizar un servicio electrónico, y donde hay quedestacar especialmente los capítulos “La Administración Electrónica en la Práctica” y “Cosasfundamentales que hay que dominar”.La segunda parte se orienta más a responsables de servicios de administración electrónicaofreciendo una visión global de los servicios horizontales y soluciones específicas que seencuentran disponibles para la implementación de servicios electrónicos. 10.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 11La tercera parte trata de los aspectos jurídicos de la administración electrónica y se dirigefundamentalmente a los empleados públicos y profesionales del sector privado que trabajanen o con la Administración Pública, aunque hay una serie de puntos concretos que van másallá del sector público y que, por tanto, son de interés para cualquier ciudadano,especialmente los apartados que tratan de la Ley de firma electrónica, la Ley orgánica deprotección de datos personales y la Ley de medidas de impulso a la sociedad de lainformación.La cuarta parte se centra específicamente en la tecnología. Se centra fundamentalmente encómo se implementan los mecanismos de seguridad más importantes utilizados en laadministración electrónica y en el uso del software libre en este campo concreto, dado el altointerés que tiene por diferentes motivos. Además expone la importancia que se le está dandoa nivel estratégico en las políticas nacionales e internacionales y, no menos importante, lasgrandes ventajas que puede aportar también a los ciudadanos de a pie.Por fin, la última parte se dedica a repasar algunas de las perspectivas actuales y futuras enla administración electrónica, algunas de las cuales ya son una realidad, como lo es, porejemplo, la importante blogosfera en torno a la Administración Pública en general y laadministración electrónica en particular que se ha ido articulando estos últimos años. 11.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 13Primera Parte:Manual Práctico 12.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 151 Conceptos Básicos y Ejemplos de Administración Electrónica1.1 ¿Qué es la Administración Electrónica?Definiciones:  Comisión Europea de la UE: “La administración electrónica es el uso de las TIC en las AAPP, combinado con cambios organizativos y nuevas aptitudes, con el fin de mejorar los servicios públicos y los procesos democráticos y reforzar el apoyo a las políticas públicas”  Domingo Laborda1: “Es el uso de las tecnologías de la información y las comunicaciones en la Administración para que, combinadas con ciertos cambios organizativos y nuevas capacidades de los empleados públicos, mejoren la eficacia, la productividad, la agilidad y la comodidad en la prestación de servicios a los ciudadanos.”La idea clave sobre la administración electrónica es que no se trata simplemente de llevar lasTIC a la actividad administrativa, sino que constituye un elemento fundamental en losprocesos de modernización administrativa dentro de los cuales se enmarca que debe llevar ala mejora y simplificación de los servicios.Dicho de otra manera: se quiere menos burocracia, muchísimo menos, no una burocracia porInternet.Esta idea constituye por tanto uno de los grandes ejes de la Ley 11/2007.1.1.1 Características de la Administración ElectrónicaVentajas:  Rapidez y comodidad para los usuarios (a cualquier hora):  Evitar colas, desplazamientos y horarios.  Acceso a la información más cómodo, fácil y rápido.  Acceso universal. La ubicación geográfica y proximidad de oficinas administrativas deja de ser un problema, algo especialmente importante en un país como España.  Fomento de la participación de los ciudadanos (buzones, cuestionarios, etc.), fomentar una relación interactiva y más positiva. 1 Antiguo Director General de Modernización Administrativa del MAP desde 2004 a 2006, y en laactualidad, Director del Observatorio de las Telecomunicaciones y de la Sociedad de la Información. 13.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 16  Impulso de la sociedad de la información: estimula la participación y aprendizaje del ciudadano (idea de estímulos adicionales mediante bonificaciones económicas (plazos para el pago) en Chile al hacer la declaración del IRPF por vía electrónica y el éxito obtenido)  Simplificación de los procedimientos e integración transparente de diferentes administraciones (soluciones de ventanilla única).  Para la Administración:  Reducción de costes, tiempos de tramitación, menos errores ->mejor eficiencia y productividad. Mayor satisfacción para funcionarios, contenidos más estimulantes: el peso burocrático del trabajo se puede derivar hacia actividades de asesoramiento y soporte a los ciudadanos y las empresas. Menos uso de papel.  Mejora de relaciones e imagen, transparencia: con el ciudadano (según la UE, un 62% de los ciudadanos europeos perciben los servicios electrónicos como beneficiosos), entre departamentos y administraciones.  Impacto en la economía:  Según estudios del World Economic Forum “los países que más destacan en cuanto a apertura y eficiencia del sector público y en preparación para la administración electrónica son también los primeros en cuanto a rendimiento económico y competitividad.”  Efecto locomotora: gasto directo en TIC considerable2, proyectos con función de piloto para las empresas privadas, creación de plataformas y servicios DNIe, aumento de la confianza para inversores privados, aprendizaje, inclusión de ciudadanos y empresas.  Impulso económico en regiones geográficamente desfavorecidas.  Menos carga para las empresas, les reduce costes y aumenta su productividad: contratación electrónica, factura electrónica, modelos de cotización electrónicos en la seguridad social, etc.Barreras:  Insuficiente penetración de las TIC en la población española.  Usabilidad, accesibilidad y falta de experiencia en el uso de las TIC.  Desconfianza en los medios electrónicos de intercambio de información.  Desconocimiento de la existencia de la Administración online.  Recelo de la administración con la seguridad electrónica.  Falta de integración entre las diferentes administraciones. 2 Según el informe REINA 2007 el gasto de la Administración del Estado durante 2006 en Tecnologías dela Información y las Comunicaciones se situó en 1.545 millones de euros, en la Administración Local fueron unos768 millones. El PIB en 2006 fue de 980.954 millones de euros. 14.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 17  Problemas de financiación y de medios, especialmente para las EELL (ayuntamientos pequeños, etc.)1.1.2 Identificación, Autenticación, Integridad, Confidencialidad, Disponibilidad, Trazabilidad y ConservaciónSi se compara la administración electrónica con la problemática general de las TIC en elsector privado, la diferencia más característica es la necesidad de mantener en todomomento las mismas garantías de seguridad jurídica de las actuaciones administrativas enpapel en el plano de la tecnología.Los conceptos principales en torno a la protección de los datos, informaciones y serviciosutilizados en medios electrónicos que las AAPP gestionen en el ejercicio de sus competenciasson los siguientes:  Identificación: la correcta identificación de remitente y destinatario. Se refiere principalmente a que los datos de identidad estén completos de modo que no pueda haber ambigüedad a la hora de establecer la identidad de una persona física o jurídica.  Autenticación: la garantía de conocer fehacientemente la identidad de una persona física o jurídica. Este concepto guarda una estrecha relación con el no repudio (imposibilidad de rechazar la autoría de una determinada acción o documento). La principal herramienta para la autenticación son sistemas de usuario/clave y la firma electrónica. Ambos mecanismos permiten asimismo el no repudio.  Integridad: se refiere a que se puede confiar en que una determinada información, por ejemplo, de un documento electrónico no fue manipulada y corresponde a su estado original.  Confidencialidad: guardar el secreto frente a terceros sobre una determinada información, ya sea un documento, comunicación, etc. La herramienta principal para lograr este objetivo es la criptografía.  Disponibilidad: se refiere a la disponibilidad en todo momento de la información y/o servicios. Esto implica servicios de alta disponibilidad 24x7, servidores redundados, centros de respaldo, etc.  Trazabilidad: se refiere a la información histórica que es importante conocer y conservar, ¿qué cambios ha sufrido la información?, ¿quién ha accedido a ella?, etc.  Conservación: la correcta conservación y archivo de la información de modo que se encuentre disponible e integra aún después de que hayan pasado largos periodos de tiempo. 15.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 181.2 Ejemplos de Servicios destacados de Administración ElectrónicaAlguien decía que para comprender las cosas hay que tocarlas. Así que nada mejor querepasar algunos ejemplos concretos de aplicaciones de administración electrónica antes deseguir profundizando en ella.1.2.1 Oficina Virtual de la Agencia TributariaCuando se habla de administración electrónica en España, se suele citar la Agencia Tributariacomo el buque de insignia de la Administración Pública en España en este campo. Ilustración 1 – Servicios para ciudadanos que ofrece la Agencia Tributaria. 16.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 19Durante el conjunto de la Campaña de Renta 2007 se han presentado 18,1 millones dedeclaraciones de IRPF, un 6,6% más que el año anterior. De las cuales, 5,6 millones sepresentaron por Internet, un 25% más que el año anterior.1.2.2 Portal 060Es el portal de referencia en el ámbito público y concentrador de las relaciones, interaccionesy transacciones entre ciudadanos y Administraciones Públicas. Ilustración 2 – Portal de la red 060.El gran objetivo de la Red 060 es integrar servicios de todas las Administraciones en un puntoúnico para mejorar la atención ciudadana:  Mediante la construcción de un sistema integral de atención al ciudadano, de forma coordinada entre las tres administraciones. 17.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 20  Que ofrezca múltiples canales y servicios avanzados e interactivos basados en la integración de los procesos administrativos de información y gestión.  Que fomente la participación del ciudadano, la transparencia y accesibilidad de la actividad pública.Hasta la fecha uno de los grandes problemas de la Administración española era que elciudadano tenía que saber a cuál de las tres Administraciones dirigirse para la prestación deun determinado servicio o la consulta de información. La Red 060 se convierte por tanto enun punto único de acceso que simplifica la relación del ciudadano con la Administración alque no tener que saber qué Administración es la competente en su problema, la Red 060 lodeterminará para él.Se pretende en este sentido la creación de un espacio virtual aglutinador y clasificador deservicios interactivos, personalizados y de valor añadido en las vertientes de información ytransacción. El portal 060 será el instrumento del canal Internet del repositorio de datos yservicios 060 (que dará servicio a otros canales como el teléfono, los SMS, oficinaspresenciales y TDT).Es por tanto el sitio de referencia para que un ciudadano resuelva cualquier asunto. Desde latramitación de un permiso de obra, el pago de una multa o la búsqueda de información de lasbecas a las que puede acceder para los estudios de sus hijos. El portal le llevará directamenteal servicio y Administración concreta en cuestión.1.2.3 Portal CIRCE3Desde el año 2003 la normativa que regula las sociedades limitadas ofrece la posibilidad derealizar los trámites de constitución y puesta en marcha de la Sociedad Limitada de NuevaEmpresa (SLNE) por medios telemáticos. Esta posibilidad se extiende en el año 2006 a lasSociedades de Responsabilidad Limitada. Se están tramitando las modificaciones legislativasnecesarias para que también puedan realizarse los trámites para constituirse comoEmpresario Individual (Autónomo).El Sistema de Tramitación Telemática (STT) del Centro de Información y Red de Creación deEmpresas (CIRCE) es un sistema informático de tramitación de expedientes electrónicos que,a través del Documento Único Electrónico (DUE), lleva a cabo el intercambio de ladocumentación necesaria para la creación de empresas.La tramitación telemática consiste en la realización de los trámites de constitución y puestaen marcha de una sociedad por medios telemáticos, evitando desplazamientos y reduciendotiempos y costes en el proceso de creación de una empresa. Se evita, por ejemplo, el tenerque volver a rellenar datos de la empresa en cada una de las administraciones con las quehay que realizar trámites, ya que el sistema se encargará de enviar a cada agente aquellosdatos que necesite. 3 Esta sección fue elaborada con de Jaime Lucas de Pedro, Jefe de Servicio de Sistemas Informáticosde la Subdirección General de Fomento Empresarial del Ministerio de Industria, Turismo y Comercio. 18.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 21El Sistema de Tramitación Telemática de la red de Puntos de Asesoramiento e Inicio deTramitación (PAIT) permite que cualquier persona pueda constituir una empresa porInternet, rellenando el DUE, que sustituye a diversos formularios de la Seguridad Social,Agencia Tributaria, etc. La tramitación del DUE es gratuita.Para crear una empresa de este modo, el emprendedor dispone de dos posibilidades:  Contactar con el PAIT más cercano, dónde encontrará información y asesoramiento para poner en marcha su proyecto empresarial y podrá realizar la tramitación administrativa de constitución de su empresa por medios telemáticos.  Cumplimentar el DUE a través de Internet, en cuyo caso un PAIT Virtual le prestará asesoramiento durante el proceso. Si se opta por esta modalidad, se necesitará disponer de un certificado de firma electrónica. Ilustración 3 – Web del Centro de Información y Red de Creación de Empresas (CIRCE). 19.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 22Los trámites que se realizarán de forma telemática son los siguientes:  Reserva de la Denominación Social (sólo para SLNE)  Otorgamiento de la Escritura de Constitución (el emprendedor deberá de acudir al notario para su firma)  Solicitud del CIF provisional  Liquidación del Impuesto de Transmisiones Patrimoniales y Actos Jurídicos Documentados  Inscripción en el Registro Mercantil Provincial  Trámites en la Seguridad Social / Instituto Social de la Marina  Solicitud del CIF definitivoAdemás, el emprendedor también dispone de la posibilidad de dar de alta los ficheros dedatos personales que vaya a utilizar en la Agencia de Protección de Datos y contratar un packde presencia en Internet. Próximamente se incluirá la posibilidad de realizar trámites con laOficina Española de Patentes y Marcas, lo que permitirá la reserva de una marca y/o unadenominación social.El mayor problema que existe actualmente para la ampliación a nuevos trámites o nuevasadministraciones es la necesidad de cambios legislativos, de modo que el DUE pueda sustituira los formularios que se estén utilizando en la actualidad y la tramitación que se realice tengacompleta validez legal.1.2.4 Consulta de Puntos en la DGTUn ejemplo de un servicio electrónico sencillo y con un número de usuarios interesados muyelevado es el servicio de consulta de puntos en la DGT. En realidad se trata por supuesto sólode uno de los múltiples servicios que ofrece la DGT en su Web, pero destaca por ser uno delos ejemplos más claros de un servicio público electrónico muy sencillo pero a la vez de graninterés para el ciudadano, y que en consecuencia ha tenido mucha repercusión tanto en losmedios como en uso práctico por parte de los ciudadanos. 20.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 23Ilustración 4 – Consulta de puntos en la DGT desde Firefox bajo Linux (CentOS 5.3). Se trata de una consulta real, aunque los datos personales de la captura han sido manipulados. 21.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 241.2.5 Sociedad Pública de Alquiler Ilustración 5 – Web de la Sociedad Pública de Alquiler (SPA).La Sociedad Pública de Alquiler nace con el fin de favorecer la creación de un mercado dealquileres más sólido y dinámico. Su función principal es la intermediación entre inquilino yarrendador no sólo para la realización de transacciones de alquiler, sino también para ofreceruna serie de servicios que proporcionen mayor seguridad jurídica a ambas partes, lo cual hasido identificado como una de las principales causas del mal funcionamiento del mercado dealquiler español. 22.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 251.2.6 Consulta de Precios de CarburantesOtro ejemplo de un servicio electrónico muy sencillo para el ciudadano y que no requiere eluso de certificados, pero que sin embargo ha tenido un gran impacto generando un graninterés es el geoportal sobre hidrocarburos del Ministerio de Industria, Turismo y Comercio.Este portal permite consultar los precios de varios tipos de carburantes en todo el territorioespañol. La búsqueda se puede restringir por localidades y códigos postales con lo cual esposible encontrar literalmente la gasolinera más barata al lado de tu casa.Jugando un poco con el portal resulta sorprendente ver las diferencias reales de precios queexisten. Así en octubre del 2009 se podrían encontrar 13 céntimos de diferencia entre el litrode gasolina dentro de la provincia de Madrid y de 7 céntimos dentro de Madrid Capital. Ilustración 6 – Geoportal sobre precios de carburantes del Ministerio de Industria, Turismo y Comercio. 23.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 261.2.7 Administración Electrónica en las Comunidades AutónomasHasta ahora todos los ejemplos mostrados han sido servicio de la Administración General delEstado. Pero la administración electrónica se encuentra igualmente fuertemente implantadaen las Comunidades autónomas, aunque naturalmente con un enfoque más orientado a lanaturaleza de estas entidades y sus competencias específicas.Ilustración 7 – Portal de la Junta de Castilla y León. En la captura se puede apreciar cómo se ofrece un amplio abanico de información y de servicios electrónicos. 24.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 271.2.8 Administración Electrónica en las Entidades LocalesUn caso especial lo es la administración electrónica en el ámbito de las entidades locales. Estecaso destaca, entre otras cosas, por su heterogeneidad en cuanto a disponibilidad derecursos. En España hay más de 8000 municipios y la mayoría son municipios pequeños conrecursos escasos a los cuales les resulta difícil poner en marcha servicios de administraciónelectrónica, ya que esa escasez en recursos se traduce en falta de personal y conocimiento enTIC y dificultades para financiar los equipos informáticos necesarios. Ilustración 8 – Servicios de administración electrónica del Ayuntamiento de Madrid. 25.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 28Ante esta difícil problemática el Ministerio de Administraciones Públicas4 ha lanzadodiferentes iniciativas entre las cuales cabe destacar especialmente las ayudas económicas ysubvenciones como la iniciativa eModel para proyectos de interés para la modernizaciónlocal o nivel organizativo y tecnológico, los servicios horizontales a través de la Red SARA y lainiciativa del Centro de Transferencia de Tecnologías(CTT) que pretende impulsar elintercambio y reutilización de conocimiento y de proyectos concretos entre lasadministraciones.La filosofía detrás de estas iniciativas consiste en proveer por una parte un abanico deservicios horizontales a todas las administraciones de modo en aras de agilidad, simplicidad yoptimización de costes ya que así se consigue que las diferentes administraciones yorganismos no se los tienen que implementar por su cuenta.Por otra parte se trata de hacer la administración electrónica más viable para aquellosorganismos que por su naturaleza disponen de más dificultadas económicas, técnicas yorganizativas para integrarse en los servicios de administración electrónica (pequeñosayuntamientos, organismos de reducido tamaño y presupuesto, etc.).Estas cuestiones tienen un carácter sumamente estratégico para la exitosa implantación de laadministración electrónica, y por tanto este manual le ha dedicado el capítulo Los Servicioshorizontales e Instituciones de Administración Electrónica enteramente a esta problemática. Práctica: acceso mediante certificado a un servicio electrónicoAcceder al servicio de consulta de saldo de puntos de la Dirección General de Tráfico:http://www.dgt.es/portal/es/oficina_virtual/permiso_por_puntos/Este portal dispone de dos métodos de acceso, con y sin certificado. Comparar lasdiferencias.1.3 Administración Electrónica no es sólo usar la Firma ElectrónicaAunque, tal como se ha podido ver en los apartados anteriores, la administración electrónicase asocia en primer lugar con la oferta de información y servicios por la vía electrónica, asícomo con trámites por vía electrónica, el concepto actual de administración electrónica esconsiderablemente más amplio. 4 El MAP en este momento ya no existe como tal y sus competencias han sido repartidas entre elMinisterio de Presidencia y el Ministerio de Política Territorial recayendo las competencias enAdministración electrónica en el Ministerio de Presidencia (Dirección General para el Impulso de laAdministración Electrónica). 26.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 29En este sentido hay que destacar especialmente las herramientas y filosofía que giran entorno a la idea clave de interacción con el internauta que se encuentra detrás del conceptode Web 2.0, una idea que ha calado hondo en el ámbito de la administración electrónica, yaque presenta muchas oportunidades innovadoras de emplear las tecnologías para mejorarlos servicios al ciudadano y conseguir mayores niveles de democracia a través de laparticipación directa del mismo en la actividad pública.Así, poco a poco, se están introduciendo herramientas como Blogs, Wikis o foros de opiniónpara participación de los ciudadanos en la actividad pública. Estas herramientas son ademásidóneas para poder llevar a la práctica las ideas modernas sobre la relación con el ciudadanoque se encuentran detrás de conceptos ampliamente debatidos como la Gobernanza o laAdministración 2.0El lector interesado podrá encontrar más información sobre estas cuestiones el apartadoEstándares Abiertos, Software Libre.2 Cosas fundamentales que hay que dominar2.1 La Identidad DigitalUna de las grandes dificultades con las que se encuentran actualmente los usuarios y losproveedores de servicios en Internet es la autenticación cómoda y segura la identidad delusuario.Por una parte estamos acostumbrados a tener que darnos de alta en cada uno de losservicios que usamos como lo pueden ser, por ejemplo, cuentas de correo electrónico,servicios electrónicos de nuestro banco, servicios de telefonía y otros.La gestión “tradicional” de la identidad digital del usuario en estos casos es bastantedeficiente: en el caso de las cuentas de correo electrónico gratuitas como Gmail y similaresno suele haber ningún tipo de control podemos simular fácilmente una identidad que no lanuestra configurando un nombre de respuesta en los mensajes diferentes al nuestro.En los servicios en los cuales la verificación de la identidad es crítica, como la banca, cada unode los proveedores nos suele suministrar credenciales personales en forma de claves deacceso con un usuario o ligadas a nuestro número de DNI y que se entregan al usuario poralguna vía que garantice que se están proporcionando a la persona correcta: o bienentregándoselas físicamente en el propio banco o enviándolas por correo postal. Comoresultado, muchos usuarios de Internet acaban con decenas de usuarios y claves, algo quedesde luego no parece una situación muy óptima.El problema de este modelo tradicional de gestionar la identidad radica en que en Internetlos medios tradicionales de acreditación de la identidad personal como lo es el DNI no sonaplicables. Para una identidad digital segura y universal que todo el mundo reconozca hacefalta un tercero de confianza que acredite estas identidades expidiendo un tipo dedocumento acreditativo digital que el usuario pueda presentar en Internet cuando seanecesario. 27.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 30Es decir, es necesaria una entidad que asume un papel similar al asumido por el Ministeriodel Interior en la expedición de los DNI convencionales.A lo largo del tiempo ha habido diferentes soluciones para solucionar este problema y detodas ellas el que hay que destacar por encima de los demás por su seguridad y su soportelegal en España es el uso de los certificados electrónicos.El uso de certificados electrónicos es el medio por excelencia de proveer una identidad digitalsegura que cumpla con las garantías de acreditación de la identidad del interesado que fija laAdministración Pública tanto en la Ley 30/1992, de Régimen Jurídico de lasAdministraciones Públicas y del Procedimiento Administrativo Comúncomo en la Ley11/2007, de acceso electrónico de los ciudadanos a los Servicios Públicos en sus relacionescon la Administración. Ilustración 9 – Certificado electrónico que usa la FNMT para identificar su servidor del sitio Web. Como sepuede apreciar, la entidad certificada corresponde al nombre de dominio de Internet www.cert.fnmt.es, la sede electrónica se encuentra en http://www.cert.fnmt.es/ 28.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 312.2 Certificados Digitales (Certificados Electrónicos)Un certificado digital es un documento digital mediante el cual un tercero de confianza (unaautoridad de certificación) acredita electrónicamente la autenticidad de la identidad de unapersona física, persona jurídica u otro tipo de identidad como lo puede ser, por ejemplo,una URL de un sitio Web.Como se puede apreciar, los certificados electrónicos implementan un concepto de identidaddigital muy amplio de identidades, no se limita solamente a las personas físicas.El hecho de que haya una tercera entidad que da fe de la identidad y reconocida por todoslos implicados (la autoridad de certificación) permite que una identidad digital de este tipopueda tener un reconocimiento mucho más universal y ya no sea válida en las relacionesespecíficas como ocurría, por ejemplo, con los usuarios y contraseña de la banca.Para ello este tercero de confianza exige los requisitos para identificar con garantíasabsolutas la identidad acreditada. Si es una persona particular, por ejemplo, le exigirá que sepersone con su DNI, en el caso de expedir un certificado para una persona jurídica como unaempresa, se le pedirá la correspondiente documentación como lo pueden ser las escriturasde constitución de la sociedad.Todo esto puede resultar extraño cuando se ve por primera vez, pero hay que recordar denuevo que en el fondo se trata simplemente de un medio electrónico de acreditaciónequivalente a los existentes en el mundo del papel. Es decir, un certificado electrónico de unapersona, por ejemplo, no sería otra cosa que un medio de acreditación similar al DNItradicional de toda la vida. De hecho, la propiedad más característica del DNI electrónico oDNIe es precisamente que incorpora este tipo de certificados.La pregunta que queda es: ¿por qué entonces no se llevan usando entonces toda la vidacertificados electrónicos en ámbitos como la banca electrónica?A esta pregunta hay varias respuestas, entre las más importantes está el hecho de que desdeun punto de vista “egoísta” del prestador es más sencillo usar claves y contraseñas y quetécnicamente presenta menos dificultad para su implementación, pero carga en el usuario losinconvenientes tener que manejarse con múltiples identidades según el sitio.Si bien existen variados formatos para certificados digitales, los más comúnmente empleadosse rigen por el estándar UIT-T X.509. El certificado contiene usualmente el nombre de laentidad certificada, número de serie, fecha de expiración, una copia de la clave pública5 deltitular del certificado (utilizada para la verificación de su firma digital) y la firma digital de laautoridad emisora del certificado de forma que el receptor pueda verificar que esta últimaha establecido realmente la asociación. 5 Un certificado electrónico lleva asociado una pareja de claves: una clave privada, que es confidencialy debe estar por tanto solamente a disposición del titular y otra clave pública que se incorpora junto con elcertificado y que puede ser difundida junto con el mismo a cualquiera. Por el momento esto es todo que hay quesaber sobre la pareja de claves, más adelante se profundizará en este tema. 29.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 32 Práctica: inspeccionar los certificados que se encuentran en la máquina del usuarioSe propone realizar esta práctica con, al menos, dos navegadores diferentes, por ejemploInternet Explorer y Firefox, para observar las diferentes filosofías de almacenamiento de loscertificados (en este caso el Explorar usa el almacén de Windows, mientras que Firefox usaun almacén propio independiente).Consultar para esta práctica los apartados que profundizan en el almacén de certificados.2.2.1 Gestión de Certificados. Consulta, Emisión y Revocación.Una vez emitidos los certificados, no pueden usarse sin más si se quieren tener plenasgarantías de seguridad, sino que es necesario cerciorarse de la validez del certificado,principalmente de su autenticidad y vigencia.En cuanto a la autenticidad es suficiente contar con el certificado raíz de la autoridad decertificación (CA) que ha emitido el certificado electrónico en el equipo informático en el quese está validando ese certificado electrónico. Un ejemplo típico sería la comprobación de undocumento con una firma electrónica basada en un certificado electrónico, para poderverificar la autenticidad de ese certificado y la firma electrónica asociada a él es necesarioque el equipo del usuario que efectúa la comprobación tenga instalada la CA de esecertificado en su equipo. De lo contrario la identidad ese certificado será un “desconocida”para el equipo ya que no se podrá comprobar si realmente es auténtica o no.Como se verá más adelante, ésta misma situación se da con algunos sitios Web quepresentan certificados en conexiones seguras (conexiones https), aquí el certificado no avalala identidad de una persona sino la autenticidad de la dirección Web y su vinculación al titularde la misma. Pero igualmente, esta verificación de la autenticidad sólo se podrá realizar conéxito si el equipo del usuario “conoce” a la CA del certificado electrónico.Para comprobar la vigencia del certificado es necesario consultar el propio certificado, ver siaún no ha expirado (similar a cómo se haría con un DNI o una tarjeta de crédito). Peroademás hay que consultar a la autoridad de certificación emisora para comprobar si elcertificado en cuestión no fue revocado y aún sigue en vigor (aquí es válido también el símilde una tarjeta de crédito revocada antes de su fecha de caducidad por robo, etc.).En cuanto a esta tarea de ofrecer información de validación se habla tambiénespecíficamente de autoridades de validación, que pueden ser entidades especializadas enesta tarea o bien puede asumir ese papel la propia CA. De manera similar existe el papel deautoridades de registro (de la identidad del sujeto del certificado) que realiza las tareas decomprobación de la identidad del sujeto (por ejemplo mediante la presentación de un DNIconvencional en el caso de certificados electrónicos para personas físicas) y que igualmentepuede ser ejecutado por la misma CA o bien puede ser ejecutado por otra entidad encolaboración con la CA. 30.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 33La consulta sobre la validez del certificado la realizan normalmente los servidores de laentidad que presta el servicio en cuestión contra los servidores de la CA correspondiente. Porejemplo: si un ciudadano realiza su declaración del IRPF por Internet, cuando firmeelectrónicamente uno de los servidores de la AEAT consultará a la FNMT si el certificado queestá usando el ciudadano se encuentra vigente, la FNMT comprobará en su base de datos decertificados si es así y le responderá a la AEAT, y ésta finalmente aceptará o denegará el envíode la declaración del ciudadano6.2.2.2 Tipos de CertificadosExisten diferentes tipos de certificados digitales, en función de la información que contienecada uno y a nombre de quién se emite el certificado:  Certificado personal, que acredita la identidad del titular.  Certificado de pertenencia a empresa, que además de la identidad del titular acredita su vinculación con la entidad para la que trabaja.  Certificado de representante, que además de la pertenencia a empresa acredita también los poderes de representación que el titular tiene sobre la misma.  Certificado de persona jurídica, que identifica una empresa o sociedad como tal a la hora de realizar trámites ante las administraciones o instituciones.  Certificado de atributo, el cual permite identificar una cualidad, estado o situación. Este tipo de certificado va asociado al certificado personal. (p.ej. Médico, Director, Casado, Apoderado de..., etc.).Además, existen otros tipos de certificado digital utilizados en entornos más técnicos:  Certificado de servidor seguro, utilizado en los servidores Web que quieren proteger ante terceros el intercambio de información con los usuarios.  Certificado de firma de código, para garantizar la autoría y la no modificación del código de aplicaciones informáticas. 6 Nota técnica: en aras de una mayor sencillez del ejemplo se ha simplificado algo la problemática.Actualmente en la Administración la norma general es validar contra la plataforma Multi-CA del MAP, @Firma.La gran ventaja que ofrece es que en un único punto de acceso permite validar contra un gran número de CAs,un problema muy importante para la Administración, ya que debe admitir un elevado número de CAs en lasrelaciones con los ciudadanos y empresas. De no existir @Firma sería necesario para cada unidad administrativa que preste servicios electrónicosque requieran el uso de certificados configurar y mantener enlaces con todas las CAs que haya que soportar.Con @Firma esta complejidad recae sobre el Ministerio de la Presidenciay las unidades administrativas sólose tienen que preocupar de su conexión con @Firma. @Firma es accesible para todas las Administraciones a través de la Red SARA. 31.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 34 Práctica: descargar un certificado raíz de una autoridad de certificaciónDescargar el certificado raíz de la FNMT. Comprobar en el almacén de Windows que estecertificado ya existe, comprobar que en el almacén de Firefox no existe (si existe, eliminarlo).Instalarlo en Firefox.Consultar para esta práctica los apartados que profundizan en el almacén de certificados.2.2.3 Tipos de Ficheros de Certificados más importantesCuando se solicita un certificado a un proveedor el certificado emitido por éste seráentregado generalmente como un fichero que el usuario importará en su ordenador. Es muyimportante hacer una copia de seguridad del certificado, junto con la clave privada y queésta información esté protegida frente a terceros que, de obtenerla, podrían firmar ennombre del usuario original. Un poco más adelante se verá cómo hacerlo.Por otra parte, el usuario necesitará distribuir en ocasiones su clave pública, por ejemplo,cuando envía un correo electrónico o documento firmado. En esta ocasión, sólo debe usarseel certificado, no debe distribuirse la clave privada.En definitiva, existen diferentes escenarios de uso de certificados y claves, y ello ha dadolugar a una serie de formatos estándar con diferentes propósitos que se listan acontinuación. Conviene tener muy claro qué elementos incluye cada formato, por razonesobvias especialmente cuando incluye la clave privada.Extensión Descripción*.p12 Corresponde al estándar PKCS7#12 que define un formato de fichero habitual para almacenar claves privadas juntas con su correspondiente certificado, protegido por un PIN similar al usado para proteger el acceso a un teléfono móvil.*.pfx Formato de fichero equivalente, predecesor de PCKS#12.*.crt Formato para almacenar certificados X.509v3.*.pem Privacy Enhanced Mail security certificate. Formato que desarrollo específicamente en su momento para el uso de certificados con correo electrónico. Actualmente también se usa para distribución de claves privadas.*.cer Formato muy frecuente para la distribución de certificados X.509. Es típico 7 En criptografía PKCS (Public Key Certificate Standards) se refiere al grupo de estándares elaboradospor la empresa RSA Security que son los estándares de facto en las PKIs actuales. 32.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 35 que una autoridad de certificación distribuya su certificado raíz con este formato.*.p7b Formato de estructura de firma electrónica PKCS#7, pero que no embebe el documento electrónico firmado, solamente el certificado y/o lista de certificados revocados.*.key Formato para la distribución de claves privadas.2.3 Autoridades de Certificación e Infraestructuras de Clave Pública (PKI)Como se ha podido ver anteriormente, una autoridad de certificación (la abreviación CAproviene de su nombre en inglés: Certification Authority) avala la entidad de lossujetos/objetos a los que expide los certificados, es decir, actúa de manera muy parecida alMinisterio del Interior da fe de la identidad de la persona mediante la expedición de un DNI.En el caso de Ministerio del Interior un tercero puede confiar en el DNI porque primeroconfía en esta entidad como competente para expedir DNIs y porque puede reconocer suformato a simple vista y éste no es fácilmente falsificable. Además, en caso de dudas, podríarecurrir a una serie de comprobaciones técnicas que confirmen si efectivamente es undocumento original expedido por la Fábrica Nacional de Moneda y Timbre o se trata de unafalsificación. Es decir, las características del propio documento actúan a modo de “sello”acredita su autenticidad y con ello la de la identidad de su titular.En el caso de los certificados electrónicos expedidos por una CA, ésta firma electrónicamentesus certificados emitidos, avalando así la identidad de sus titulares. Podríamos decir que estafirma electrónica hace las veces de “sello” del certificado, de un modo muy parecido a loantes descrito para el DNI o el sello en un certificado en papel. A su vez incluye en elcertificado emitido su propio certificado raíz con su clave pública lo que permitirá lacomprobación de sus firmas electrónicas. Por otra parte, ofrece servicios para la verificaciónde la validez del certificado, ya que los certificados, aparte de tener un plazo de expiración,pueden ser revocados anteriormente en cualquier momento, de modo que una correctaverificación de la validez de un certificado debería consultar si éste aún no fue revocado en elmomento de la consulta.Aunque generalmente se emiten certificados a los sujetos finales, también es posible emitircertificados para autoridades de certificación de un rango menor, lo cual puede serconveniente por motivos operativos para delegar y distribuir la expedición de los certificados.Un ejemplo muy cercano es el DNI electrónico dónde la Dirección General de la Policía actúacomo Autoridad de Certificación raíz que y a la vez dispone de Autoridades de Certificaciónintermedias o subordinadas. La CA raíz emite sólo certificados para sí misma y sus CAsintermedias, y serán éstas las que emiten certificados para titulares del DNI. 33.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 36 Ilustración 10 – Jerarquía de certificados del DNI electrónico. Se puede apreciar el certificado raíz de la Dirección General de la Policía, una de sus autoridades intermedias el certificado final expedido por ésta.En general este mecanismo responde a la idea de jerarquías de certificación, es decir, puedehaber una cadena en la que las sucesivas CA de la cadena jerárquica avalan la identidad de lasCA del nivel jerárquico inferior. Se comprende por tanto que al validar un certificado serecorre la cadena de confianza jerarquía hacia arriba hasta la autoridad de certificación raízdel árbol.La pregunta que surge ahora es: ¿y quién avala al certificado de esta última CA? ¿Cómo séque el certificado de la CA es auténtico y no alguno que alguien haya falsificado de algúnmodo? 34.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 37La respuesta es que la cadena de confianza empieza con el certificado de esta última CA. Elalmacén de certificados, que como su nombre indica es el lugar dónde se guardan loscertificados en el ordenador en cuestión, contiene un apartado especial para los certificadosraíz. Si una determinada CA se encuentra en este apartado quiere decir que se confía en ella.Las CAs más importantes como la Fábrica Nacional de Moneda y Timbre (FNMT) ya vienenpre-instaladas, es decir, asumimos que nos podemos fiar del criterio del fabricante que alincluirlas las ha considerado de confianza. Ilustración 11 – Página de FNMT/CERES para la descarga de su certificado raíz. Obsérvese que la FNMT también usa autoridades de certificación subordinadas o intermedias. 35.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 38Si una determinada CA no se encuentra en el almacén ésta no se reconocerá como CA deconfianza y por tanto no se confiará en los certificados emitidos por ella. En este caso hayque instalar su certificado raíz en el almacén de certificados. De nuevo será esencial en québasamos nuestra confianza. Generalmente esta instalación pasará por descargar elcertificado raíz de la CA desde su Web, lo que implica que confiamos en la seguridad de susitio Web, un ejemplo de un sitio de este tipo se puede apreciar en la Ilustración 11.Ilustración 12 – En este caso la autoridad raíz no pertenece a la comúnmente conocidas. Por tanto el usuariono la tiene dada de alta de fábrica en equipo y la máquina no confiará en ella y los certificados emitidos por ella(se puede apreciar en el aspa de su icono) hasta que el usuario no se dé de alta en el almacén de certificados. 36.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 39Existen muchas CAs y por tanto todas las entidades importantes ya suelen venirpreinstaladas, aunque hay excepciones: por ejemplo la versión actual del navegador WebFirefox8que aún no incorpora por defecto a la FNMT, de modo que es necesario instalar sucertificado raíz manualmente. Este navegador cuenta además con la peculiaridad bastantecriticable9 de usar su propio almacén de certificados sin proveer tampoco una vía deintegración con el propio del sistema operativo. Ilustración 13 – Almacén de certificados de Windows10. Está disponible para cualquier aplicación (navegadores, email, firma y verificación de documentos electrónicos, etc.), no obstante existen aplicaciones como el navegador Web Firefox que gestionan su propio almacén. Obsérvese como la CA raíz de la Dirección General de la Policía se encuentra entre ellas (no viene por defecto con Windows, se instala junto con el software que se suministra junto con el DNI electrónico). 8 En el momento de la redacción de este documento la versión 3.6.3 9 http://www.microlopez.org/2010/06/10/los-planos-juridico-y-tecnologico-en-la-administracion-electronic-¿dos-mundos-en-galaxias-diferentes/ 10 Se accede al almacén por la siguiente vía: [botón inicio de Windows que se encuentra en el extremoizquierdo de la barra inferior del escritorio] -> [Panel de Control] -> [Opciones de Internet] -> [Pestaña“Contenido”] -> [Botón “certificados”]. También se puede acceder desde el menú “Herramientas” del InternetExplorer a [Opciones de Internet] y seguir a partir las indicaciones anteriores, aunque ha de hacerse hincapiéque el almacén no pertenece a Internet Explorer, pertenece a Windows. 37.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 40También puede ocurrir, como en el caso reciente de la FNMT, que una CA renueve suscertificados raíz de modo que estos no se incorporen o se incorporen tarde a laspreinstalaciones de los almacenes de certificados.2.3.1 Infraestructuras de Clave Pública (PKI)Cuando se habla de autoridades de certificación hay que hablar también de lasinfraestructuras de clave pública. En criptografía, una infraestructura de clave pública (o, eninglés, PKI, Public Key Infrastructure) es una combinación de hardware y software, políticas yprocedimientos de seguridad que permiten la ejecución con garantías de operacionescriptográficas como el cifrado, la firma digital o el no repudio de transacciones electrónicas.El término PKI se utiliza para referirse tanto a la autoridad de certificación y al resto decomponentes, como para referirse, de manera más amplia y a veces confusa, al uso dealgoritmos de clave pública en comunicaciones electrónicas. Este último significado esincorrecto, ya que no se requieren métodos específicos de PKI para usar algoritmos de clavepública.Una PKI parte de una autoridad de certificación raíz en la que se confía y es característico eluso de un certificado de esta autoridad auto-firmado por ella. Una organización puede crearsu propia PKI (lo que puede ser sumamente conveniente) y gestionar dentro de ella suspropios certificados. El problema será que para que un certificado raíz de una CA interna deeste tipo sea reconocido por los navegadores los usuarios tendrán que importarloexpresamente al no pertenecer al conjunto de certificados raíz que los fabricantes desistemas operativos y navegadores suministran de fábrica con sus productos.2.3.2 Usos de la Tecnología PKILas principales aplicaciones del uso de certificados e infraestructuras PKI son las siguientes:  Autenticación de usuarios y sistemas (login), identificación del interlocutor.  Cifrado de datos digitales.  Firmado digital de datos (documentos, software, etc.) y sellado de tiempo.  Confidencialidad en las comunicaciones mediante técnicas de cifrado.  Garantía de no repudio (por ejemplo: negar que cierta transacción tuvo lugar o que cierta persona es el autor de una firma electrónica).2.4 Firma ElectrónicaCon el uso de certificados electrónicos el ciudadano puede acreditar su identidad, es decir,autenticarse, ante un tercero. En muchos servicios públicos, como lo es, por ejemplo, laconsulta del saldo de puntos de la DGT, con esto será suficiente para poder acceder a todoslos servicios electrónicos ofrecidos. 38.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 41Sin embargo, en los trámites de cualquier procedimiento administrativo necesitará ademásfirmar mediante firma electrónica de un modo similar a como lo haría por la vía tradicionaldel papel. Ilustración 14 – ¿Esto es una firma electrónica?En este apartado toca responder por tanto ahora a la pregunta: ¿qué es la firma electrónica?La respuesta desafortunadamente no es del todo trivial, tiene sus matices y puntos de vista,veamos por tanto algunas definiciones de diferentes fuentes:En primer lugar conviene ver la definición del artículo 3 de la Ley 59/2003, de FirmaElectrónica:Artículo 3. Firma electrónica, y documentos firmados electrónicamente.1. La firma electrónica es el conjunto de datos en forma electrónica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificación del firmante.2. La firma electrónica avanzada es la firma electrónica que permite identificar al firmante y detectar cualquier cambio ulterior de los datos firmados, que está vinculada al firmante de manera única y a los datos a que se refiere y que ha sido creada por medios que el firmante puede mantener bajo su exclusivo control.3. Se considera firma electrónica reconocida la firma electrónica avanzada basada en un certificado reconocido y generada mediante un dispositivo seguro de creación de firma.4. La firma electrónica reconocida tendrá respecto de los datos consignados en forma electrónica el mismo valor que la firma manuscrita en relación con los consignados en papel.5. […] 39.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 42Esta definición corresponde también a la que da la Directiva 1999/93/CE por la que se crea elmarco común de firma electrónica para la Unión Europea, de hecho la Ley 59/2003 es sutransposición española. Ilustración 15 – Generación y validación de una firma electrónica.Por otra parte es necesario distinguir entre firma electrónica y firma digital. Los términos defirma digital y firma electrónica se utilizan habitualmente como sinónimos, pero este uso enrealidad no es del todo correcto.Mientras que “firma digital” hace referencia a una serie de métodos criptográficos, eltérmino “firma electrónica” es de naturaleza fundamentalmente jurídica y más amplio desdeun punto de vista técnico, ya que puede contemplar métodos no criptográficos.Un ejemplo claro de la importancia de esta distinción es el uso por la Comisión europea. Enel desarrollo de la Directiva 1999/93/CE que estable un marco europeo común para la firmaelectrónica empezó utilizando el término de firma digital en el primer borrador, perofinalmente acabó utilizando el término de firma electrónica para desacoplar la regulaciónlegal de este tipo de firma de la tecnología utilizada en su implementación técnica. 40.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 43Aclarados los matices anteriores, se puede concluir que cuando se habla de firma electrónicatanto en el ámbito privado como el público, en la mayoría de los casos la solución subyacenteserá una firma digital basada en un esquema de clave pública/privada basado en unalgoritmo de cifrado RSA y que utiliza certificados X.509 para la acreditación de la identidaddel firmante. Por otra parte, cuando en los párrafos antes citados se habla de medios que elfirmante debe mantener “bajo su exclusivo control” se refiere básicamente a la clave privadautilizada para la creación de una firma digital.Técnicamente ocurre lo que se muestra la Ilustración 15: al firmar se genera primero uncódigo hash, código resumen o digest del documento/fichero firmado, y a continuación secifra con la clave privada del firmante. Éste código hash cifrado se adjunta al documento,junto con el certificado del firmante (para conocer en profundidad los conceptos de códigoshash y cifrado consulte el capítulo de Fundamentos técnicos de la Seguridad en laAdministración Electrónica).Para comprobar la firma el documento se generará de nuevo este mismo código hash. Porotra parte se usa la clave pública incluida en el certificado electrónico del firmante paradescifrar el código hash que generó el firmante y se comprueba si coinciden ambos. Si es así,no hay duda de que ha sido el firmante quien ha firmado el documento. Idea claveSe dice con frecuencia que tal usuario “firma con su certificado electrónico” un documentoelectrónico.Aunque esta expresión es uso común y perfectamente aceptable en el día a día hay querecordar que técnicamente en realidad es totalmente incorrecta: los certificados no se usanpara firmar, sino que sirven para comprobar la identidad del firmante.Lo que ocurre exactamente es lo siguiente: El usuario firma (cifra el código hash deldocumento a firmar) con su clave privada. El certificado electrónico que avala su identidadincluye la correspondiente clave pública, de modo que al verificar la firma (el descifrado conla clave pública) si ésta se realiza con éxito, el certificado sirve para saber que la clave privadausada en la firma efectivamente es la pareja de la clave pública del certificado y que portanto el titular de esa clave privada es el que indica el certificado y que nadie salvo él pudofirmar.2.5 El DNI electrónicoEn España se expide desde marzo del año 2006 un documento de identidad especialdenominado DNI electrónico. 41.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 44El nacimiento del Documento Nacional de Identidad electrónico (DNIe) responde a lanecesidad de otorgar una identidad digital personal a los ciudadanos para su uso en la nuevaSociedad de la Información, además de servir de impulsor de la misma. Así, el DNIe es laadaptación del tradicional documento de identidad a la nueva realidad de una sociedadinterconectada por redes de comunicaciones.Por otra parte, desde un punto de vista legal, responde al marco de las directivas de la UniónEuropea, dentro del cual el Estado español ha aprobado un conjunto de medidas legislativas,como la Ley 59/2003, de Firma Electrónica y el Real Decreto 1553/2005, de 23 de diciembre,por el que se regula documento nacional de identidad y sus certificados de firmaelectrónica, para la creación de instrumentos capaces de acreditar la identidad de losintervinientes en las comunicaciones electrónicas y asegurar la procedencia y la integridad delos mensajes intercambiados.2.5.1 Información incluidaEl DNI electrónico contiene dos certificados X.509v3 de ciudadano (uno de autenticación yotro de firma) y las correspondientes claves privadas y claves públicas, que se generarán einsertarán durante el proceso de expedición del DNI electrónico:  Certificado de autenticación: El Ciudadano podrá, a través de su certificado de autenticación, probar su identidad frente a terceros.  Certificado de firma electrónica reconocida o cualificada: Permitirá realizar y firmar acciones y asumir compromisos de forma electrónica, pudiéndose comprobar la integridad de los documentos firmados por el ciudadano haciendo uso de los instrumentos de firma incluidos en él. Mediante la firma se consigue la identificación y autenticación del firmante, la garantía de integridad del documento el no repudio en los documentos firmados.El DNI electrónico no contiene ninguna otra información relativa a datos personales ni decualquier otro tipo (sanitarios, fiscales, tráfico, etc.).2.5.2 UtilizaciónEl uso del nuevo DNI electrónico requiere que el usuario recuerde el PIN de protección que sele asignó cuando lo obtuvo y que puede cambiar en sistemas automatizados instalados en lasdependencias policiales en las que se expide el DNI. Para ello solo es necesario identificarsecon la huella dactilar. 42.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 45 Ilustración 16 – Componentes del DNI electrónico. 43.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 46 Idea claveA veces se confunde este PIN con la clave privada de un certificado electrónico.Sin embargo, son dos conceptos que no tienen nada que ver el uno con el otro; la claveprivada es usada internamente en los algoritmos de firma digital para realizar la operacióntécnica del cifrado del código hash del documento a firmar. De hecho el usuario ni la conoce(no conoce su secuencia de dígitos), simplemente la usa.El PIN o clave de acceso protege a la clave privada, de modo que solamente el titular de lamisma, al ser el único que conoce el PIN, puede acceder a ella para utilizarla.Los elementos necesarios para poder usar el DNI electrónico son los siguientes:  DNI electrónico: Obviamente se debe sustituir el DNI tradicional por el electrónico en una comisaría. Se debe recordar la clave personal que además de ser alfanumérica acepta símbolos y diferencia las mayúsculas de las minúsculas.  Lector de tarjetas inteligentes11: El lector de tarjetas inteligentes debe ser válido para el uso del DNI electrónico. Para ello debe ser compatible con la norma ISO 7816 (1, 2 y 3) o tener una velocidad mínima de 9.600 bits por segundo.  Programa informático: Por último el ciudadano deberá descarga el software que proporciona la Dirección General de la Policía en el área de descargas del portal del DNI electrónico.3 La Administración Electrónica en la PrácticaAhora que se han podido ver algunos ejemplos concretos de administración electrónica yalgunos de sus conceptos técnicos fundamentales, llega el momento de tocar la práctica deluso de estos servicios. Siguiendo la orientación práctica de este manual, este capítulo entraráde lleno en el día a día de la administración electrónica.3.1 Tareas típicasTodo usuario de los servicios de administración electrónica se enfrenta a una serie de tareasque ha de realizar para poder utilizar sus servicios con éxito. A continuación se desglosanestas tareas una a una. 11 Una tarjeta inteligente (smartcard), o tarjeta con circuito integrado (TCI), es cualquier tarjeta deltamaño de un bolsillo con circuitos integrados que permiten la ejecución de cierta lógica programada. Sereconocen fácilmente por los contactos metálicos en su carcasa (en el caso de tarjetas de contacto) queconectan la tarjeta al dispositivo lector. El estándar más importante (en tarjetas de contacto) es ISO/IEC 7816,que es el usado por el DNIe. Existen no obstante otros estándares como Java Card o ISO/IEC 14443 paratarjetas sin contacto. 44.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 473.1.1 Obtener Certificados Electrónicos y Medios de Firma ElectrónicaEl primer paso para poder trabajar con los servicios de administración electrónica es disponerde un certificado electrónico personal. No todos los servicios electrónicos requieren el usode certificados electrónicos, de hecho, las oficinas virtuales y sedes electrónicas de lasdiferentes Administraciones suelen ofrecer la opción de usuario y contraseña. No obstante,en este caso también es habitual que no se ofrezcan todos los servicios electrónicos por estavía, las restricciones afectarán normalmente a los más sensibles. En el caso de la DGT, porejemplo, esta vía permite la consulta del saldo de puntos, pero no los antecedentes.Ilustración 17 – Instalar un certificado en el almacén de Windows. En este caso se ha hecho haciendo doble- clic sobre el fichero del certificado y pulsando a continuación el botón “Instalar certificado…” que abrirá un asistente de Windows para su instalación.Por otra parte, según el caso, cuando se usa alguna forma de identificación alternativa a uncertificado electrónico personal también será necesaria un alta del usuario. Esto requierenormalmente como mínimo rellenar un formulario con preguntas sobre determinados datospersonales, o bien una llamada telefónica en la cual a través de unas preguntas específicas secomprueba la identidad del ciudadano para proporcionarle un usuario y contraseña. Enalgunos casos incluso se pide un acto presencial. 45.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 48Sea como fuere, esta vía va limitar al usuario al organismo en cuestión. Es decir, inclusodentro de la misma Administración Pública el usuario y contraseña obtenidos en un órganodeterminado normalmente no servirán para utilizarlos en otro servicio de esa mismaAdministración y lógicamente mucho menos para utilizarlo con otra distinta.Teniendo en cuenta estas limitaciones y que con un poquito más de esfuerzo se puedeobtener en la FNMT gratuitamente un certificado personal valido en prácticamente cualquiersitio y que en el caso de disponer de un DNIe un certificado de este tipo ya viene incluido uno“de serie” no parece razonable utilizar otros medios que no sean certificados electrónicospara relacionarse con la Administración.3.1.1.1 Opciones de certificados personalesLa acreditación de la identidad del interesado o interesados, es decir, la identificación yautenticación (mediante firma manuscrita) de los mismos son un requisito “clásico” parainteractuar con la Administración Pública que viene ya formulado en la Ley 30/199212.Como se ha podido ver anteriormente, en el mundo electrónico la identificación yautenticación se realiza mediante certificados electrónicos acreditando así la identidad de lapersona física o jurídica a la que pertenece y que ha sido expedido por una entidad confiablea esos efectos (la autoridad de certificación) como, por ejemplo, la Fábrica Nacional deMoneda o Timbre (FNMT) o una comisaría (DNI electrónico).En el caso de las personas físicas un certificado electrónico viene a sustituir por tanto laacreditación tradicional vía DNI, independientemente de que sea el certificado electrónicopropio del DNIe o cualquier otro certificado electrónico admitido por la Administración, comolo pueden ser los certificados emitidos por la FNMT.En este sentido no importa si se utilizan los certificados del DNIe u otro certificadoelectrónico, siempre que sean emitidos por una de las autoridades de certificaciónreconocidas por la Administración en cuestión. Incluso se pueden utilizar a la vez, el DNIe enunos trámites y otros certificados en otros distintos, no importa ya que todos cumplenperfectamente la misma misión: identificarán de manera fehaciente al usuario en cuestión.Por tanto, ante las diferentes opciones de certificados electrónicos disponibles, en primerlugar hay que plantearse qué tipo de certificado se quiere usar. 12 Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y delProcedimiento Administrativo Común. 46.
El Manual Práctico de Supervivencia en la Administración Electrónic@ 49Hay básicamente 3 grandes opciones con diferentes pros y contras en cada caso:  DNI electrónico (DNIe): este es, hoy por hoy, la solución “natural” para el ciudadano. Al ser el DNI un documento obligatorio es una vía muy eficaz y cómoda de proveer a toda la población de certificados electrónicos. Legalmente tiene la peculiaridad que en el artículo 14 de la Ley 11/2007 se establece la obligación para todas las Administraciones de admitirlo como medio de identificación, autenticación y firma electrónica. De hecho, ésta es la estrategia mediante la cual la Administración pretende lograr un impulso masivo del uso de firma electrónica en particular y de los servicios de administración electrónica en general. Tiene además 2 grandes ventajas en cuanto a su seguridad; las claves se generan en la propia tarjeta criptográfica y nadie podrá copiarlas ya que nunca salen de la tarjeta. Por tanto es absolutamente necesario robar físicamente la tarjeta para suplantar la identidad del firmante, de modo que éste se dará cuenta enseguida de ello si ocurre. Por otra parte las tarjetas tienen asociadas su propio PIN para el cual hay que hacer las mismas advertencias en cuanto a su custodia como en el caso de los ficheros con claves privadas, de modo que aunque se sustraiga una tarjeta el suplantador tendría que conocer además el PIN para utilizarla.  Certificado en tarjeta criptográfica (tarjeta inteligente): técnicamente es básicamente similar al DNIe, de hecho el DNIe es una tarjeta inteligente. Pero estas tarjetas se orientan típicamente en primer término a puestos de trabajo o el ejercicio de competencias. En la Administración Pública, por ejemplo, este tipo de certificados se está usando cada vez más dentro para sus empleados públicos y son proporcionados por el propio organismo a su plantilla. Cabe pensar que serán la opción por excelencia para implantación del nuevo concepto de certificado electrónico de empleado público del Real Decreto 1671/2009.  Certificado en fichero, instalable en cualquier equipo: es la opción más simple de instalar (no requieren software específico ni lector de tarjeta inteligente), pero también la más expuesta a riesgos, ya que el certificado y la clave privada se guardarán general en un fichero con una extensión .p12o .pfx (almacenan la clave privada junto con el certificado). El ejemplo clásico de este tipo de certificados lo son los certificados electrónicos expedidos “toda la vida” por la FNMT. Si el usuario lo custodia adecuadamente no hay de qué preocuparse, además este formato contempla un PIN de protección para impedir su uso en caso de sustracción. Pero la falta de disciplina en la custodia de este PIN, que se manifiesta en cosas como la frecuente costumbre de apuntar las claves en algún papel o dejar el fichero en algún dispositivo inadecuado (por ejemplo una llave USB que pasa a otras personas), ponen en peligro la clave privada y pueden ser una vía para que un tercero suplante fácilmente la identidad del titular del certificado sin que éste ni se entere. Recommended
Correo seguro univ_murcia

References: Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 artículo 3
 Real Decreto 
 artículo 14
 Real Decreto