La seguridad de los certificados para hacer la declaración en internet, ¿en riesgo?
- Windows otorga por defecto un nivel de seguridad medio al uso del certificado cuando se almacena en el ordenador de su propietario.
- Esto permite utilizarlo sin introducir ninguna contraseña.
- Lo asegura un consultor de seguridad que ha creado una herramienta que permitiría sustraer y usar certificados sin permiso del titular
La elección por defecto de una seguridad media a la hora de almacenar los certificados digitales en ordenadores con Windows XP podría permitir a un pirata informático la creación de herramientas capaces de sustraer y utilizar a su antojo estos documentos identificativos, que permiten realizar todo tipo de gestiones ante la administración, como la declaración de Hacienda.
Yago Jesús, un consultor independiente de seguridad, ha revelado la existencia del problema, que según explica no se refiere tanto a una vulnerabilidad de los certificados expedidos por la Fábrica Nacional de Moneda y Timbre (FNMT) como a la elección por parte de Windows de «unas protecciones inadecuadamente bajas» para la clave privada asociada al certificado.
Esto, unido al uso de Internet Explorer 6, crea el agujero. Para demostrar esta afirmación Jesús ha creado un programa informático que, tras colarse en el ordenador de sus víctimas con la ayuda de un troyano, podría exportar el certificado digital y enviarlo al atacante. Éste luego tendría libertad para utilizarlo, pues no se le requeriría la introducción de ninguna contraseña.
El problema tiene su origen en el almacenamiento del certificado en el ordenador de su propietario. Por defecto, Windows propone un nivel de seguridad medio, que permite usar el documento digital identificativo sin necesidad de clave.
Como los certificados son exportables junto a su clave privada, puede construirse un programa que realice esta tarea de forma automatizada y masiva, poniendo en riesgo la seguridad de sus titulares. Para garantizar la seguridad del certificado, Jesús recomienda almacenarlo en un dispositivo externo, como una llave USB.
La FNMT podría remediarlo
El problema no sólo afecta a los certificados expedidos por la FNMT, pero son estos los que resultan más críticos, pues permiten realizar todo tipo de gestiones ante decenas de organismos públicos y privados.
El consultor achaca también a la FNMT cierta responsabilidad porque «si quiere, puede forzar al uso de la máxima protección de la clave privada», pero no lo han hecho.
Desde Microsoft, Luis Martín, responsable de la iniciativa de seguridad de la compañía, explica que desde el sistema operativo «existen las herramientas necesarias para forzar la protección máxima de los certificados digitales, y que dependen del usuario y del emisor del certificado elegir el nivel de seguridad. En ningun caso es una vulnerabilidad del sistema operativo».
Técnicamente, «el escenario que describen es posible, pero bastante improbable» pues se dan pocos casos en los que se den todas las circunstancias descritas. Además, para realizar la declaración no suele bastar con el certificado, Hacienda te pide otros datos», asegura.