Certificados y claves del DNIe

El chip del DNIe no lleva un certificado, lleva tres, y cada uno responde a una pregunta distinta: ¿es auténtica esta tarjeta?, ¿es quien dice ser esta persona?, ¿ha firmado esta persona este documento?

El de Componente tiene además un uso concreto que conviene recordar: es el que se emplea para renovar los certificados de firma y de autenticación en los kioskos de las comisarías.

Para acceder a las claves y al certificado de firma, el ciudadano usa una clave personal de acceso, el PIN, que no se la asigna la Administración: la genera él mismo en el momento de recibir su DNIe.

El cambio de esa clave se hace en una Oficina de Expedición usando los Puntos de Actualización del DNIe, y ahí hay dos caminos según si el titular recuerda el PIN o no.

Existe también un procedimiento telemático para cambiar la clave personal de acceso, pero solo sirve si se recuerda el PIN vigente: sin él hay que pasar por la oficina y por la huella.

Tres intentos fallidos bloquean la clave, y entonces solo la huella dactilar la desbloquea.

Dentro del bloque de datos criptográficos, las claves del ciudadano van por parejas: cada pareja tiene una clave pública y su clave privada correspondiente, y cada pareja sirve para una cosa distinta.

• Clave RSA pública y clave RSA privada de autenticación (Digital Signature).
• Clave RSA pública y clave RSA privada de firma y no repudio (ContentCommitment).
• Patrón de impresión dactilar.
• Clave pública de root CA, para los certificados card verificables.
• Claves Diffie-Hellman.

Diffie-Hellman merece una línea aparte porque su definición se pregunta: es un protocolo criptográfico de establecimiento de claves entre partes que no han tenido contacto previo, utilizando un canal inseguro y de manera anónima, y por tanto no autentificada. Sirve para ponerse de acuerdo en una clave, no para saber con quién se está hablando.

La custodia de las claves privadas de los certificados de identidad pública la realiza el titular, y no es una fórmula retórica: la Autoridad de Certificación nunca guarda copia de la clave privada.

Puede permitírselo porque la clave privada no puede ser extraída de la tarjeta. Las claves privadas del ciudadano se encuentran almacenadas en el procesador de la tarjeta criptográfica del DNIe, de modo que no abandonan nunca el soporte físico del documento, y eso es exactamente lo que minimiza el riesgo.

Si nadie más tiene copia de tu clave privada, nadie más puede firmar por ti. Es la consecuencia práctica de que la clave no salga del chip.

El no repudio, también llamado irrenunciabilidad, es un servicio de seguridad que permite probar la participación de las partes en una comunicación. Dicho de otro modo, impide que alguien niegue después lo que hizo.

La confusión típica es asignar la prueba al revés. La regla es cómoda de recordar: la prueba la tiene siempre el otro, el que se beneficiaría de que el primero no pudiera negarlo.

La tarjeta del DNI es capaz de generar y gestionar por sí misma claves RSA, y la generación de la pareja de claves RSA sigue el estándar PKCS#1 v1.5. Que las genere la propia tarjeta es lo que permite que la clave privada nazca dentro del chip y no salga de ahí.