Los mayores obstáculos a los que se han enfrentado las empresas pioneras en la implantación de soluciones PKI para sus necesidades de negocio electrónico (e-Business) han sido tradicionalmente:
– – La falta de interoperabilidad, ya que el mero hecho de ceñirse al estándar X.509.v3 no garantiza en absoluto que dos certificados generados por dos sistemas desarrollados por casas distintas sean mutuamente compatibles. Además, existen problemas de confianza entre AC de distintas organizaciones, que puede imposibilitar la verificación con éxito de cadenas de certificación cuya AC raíz sea desconocida o no confiable, invalidándose todo el esquema de PKI.
– – El coste ha sido un problema desde el principio. Al no existir un mercado suficientemente maduro en PKI, cada empresa que ofrece soluciones de clave pública tarifica en función de criterios diversos (por certificado, por uso de certificado, por servidores instalados,…) y cobra honorarios también dispares, de manera que la inversi¢n en PKI como respuesta a las necesidades de seguridad y accesibilidad a los activos inform ticos de la empresa puede resultar cuando menos inesperadamente elevada.
– – Las aplicaciones patrimoniales (legacy), cuyo acceso representa la motivaci¢n principal para aventurarse en la jungla de PKI, no son compatibles con la mayor¡a de soluciones ofertadas, desincentivando as¡ su uso.
– – PKI termina presentando problemas de escalabilidad, cuando el nomero de certificados emitidos a los usuarios va creciendo, debido a que las listas de revocaci¢n deben ser consultadas en cada operaci¢n que involucre certificados y firmas digitales, si se desea una implantaci¢n seria y robusta de PKI. Bien es cierto que el esquema de confianza vertical, promulgado por las estructuras de certificaci¢n en rbol, resulta m s escalable que los modelos de confianza horizontal, como el adoptado por PGP, cuya problem tica es tan seria que no se prev’ soluci¢n satisfactoria.
– – Finalmente, la tecnolog¡a PKI se le antoja un tanto esot’rica al usuario final, que no terminan de entender del todo la jerga relacionada. Acostumbrado a autenticarse sin m s que introducir su nombre y contrase_a, puede sentirse f cilmente rebasado por la complejidad tecnol¢gica de las firmas digitales y dem s funciones criptogr ficas. Por dem s, en la medida en que no se instauren las tarjetas chip, controles biom’tricos y otros dispositivos similares criptogr ficamente robustos, el problema de los usuarios anotando su contrase_a (en este caso para acceder a su clave privada) en un post-it pegado en el monitor persistir por mucho tiempo.
Por lo tanto, +constituye PKI la soluci¢n a sus problemas? La respuesta depende de qu’ problemas afronte. No existen f¢rmulas m gicas ni soluciones generales aptas para todo tipo de negocio. La PKI resulta ideal en una intranet, en la que se comparten documentos (trabajo en grupo), se accede a recursos de red (c lculo, servidores de archivos, bases de datos, etc.), se intercambia correo certificado entre los empleados, etc. PKI resulta mucho m s gil que los sistemas tradicionales de control basados en nombre y contrase_a y listas de control de acceso.
En el caso de extranets o de Internet, PKI es de uso obligado. De hecho, es la onica forma conocida actualmente de prestar confianza a los actores de las relaciones telem ticas que no se conocen entre ellos, tanto en el business-to-business entre empresas, como en el comercio al por menor, entre vendedores y compradores particulares por Internet. La confianza en un grupo de AC mundialmente reconocidas (como VeriSign) o localmente aceptadas (como FNMT, ACE o FESTE en Espa_a) permite que las entidades involucradas puedan fiarse unas de otras, a pesar de no existir contacto f¡sico ni v¡nculo previo entre las partes. SSL y SET se est n convirtiendo en est ndares de facto que atestiguan el ‘xito de las tecnolog¡as de clave poblica en escenarios de seguridad descentralizados como Internet. Las oltimas iniciativas de las Administraciones Poblicas para descargar procedimientos administrativos, realizados en papel y sometidos a la venalidad burocr tica, hacia procesos digitales interactivos, hacen uso tambi’n de tecnolog¡a PKI.
Pi’nselo. PKI puede ser la respuesta a su futuro. Eso s¡, no olvide definir correctamente cu les son sus necesidades exactas y entonces elija la estrategia PKI que mejor se adapte a su modelo de negocio. Exija soluciones/productos integrables centrados en su proceso de negocio. S¢lo entonces la tecnolog¡a probar ser su mejor aliado.
Gonzalo -lvarez Mara_¢n
criptonomicon@iec.csic.es
Bolet¡n Criptonomic¢n #57
http://www.iec.csic.es/criptonomicon
