Comercio electrónico

Criptología y seguridad

Cuestiones legales

Intimidad y privacidad

Virus

Por Javier Carbó Rubiera

El 1 de Abril de 1999 apareció publicada una noticia en el Ciberp@ís sobre una querella de una tienda madrileña contra Banesto por fallos en el pago electrónico. La noticia decía:

"Los fallos en el pago electrónico a través del protocolo SSL son responsabilidad de los medios de pago que, como los que ofrece Banesto, se ponen a disposición de las tiendas virtuales". Así interpreta Santiago Ureta, portavoz de Weblisten, que el Juzgado de Instrucción número 42 de Madrid admita la denuncia de esta empresa contra Banesto por estafa y falsedad documental.

No será ésta la última disputa en el terreno del comercio electrónico, mientras se implanta el nuevo protocolo SET, más seguro que SSL porque garantiza mediante certificado que el cliente es quien dice ser."

Hay cuatro requisitos de seguridad en un protocolo de pago: la confidencialidad (el secreto de las identidades y del pago ante terceros), la autenticación (identificación de los participantes en la transacción), la integridad (no modificación en el tránsito) y el no repudio (ni el emisor ni el receptor pueden negar haber solicitado un pago o una autorización de pago).

La periodista da a entender que SSL y SET sirven para lo mismo. SSL es un canal que permite la confidencialidad, autenticación e integridad de las comunicaciones, pero no asegura el no-repudio. La autenticación y el no repudio no son la misma cosa. Autenticar significa identificar el origen de un mensaje (el que está al otro lado del canal de comunicación es quién dice ser). El no-repudio consiste en que ni el emisor ni el receptor puedan negar su participación en una transacción. Para conseguir esto último es preciso utilizar firmas digitales con claves públicas certificadas por entidades dignas de confianza (como hace SET).

Por lo que SSL (por sí mismo) no es adecuado utilizarlo en los pagos ya que ninguna de las partes adquiere compromiso alguno que les obligue a aceptar la responsabilidad del pago. Es decir, que, por lo que se entiende del artículo del periódico (no es muy explícito respecto al mecanismo o configuración concretos que se han seguido), la irresponsabilidad aparentemente es mutua porque el banco y la tienda han aceptado un pago no firmado.

SET es un sistema de pago en línea (on-line): necesita de la autorización expresa del banco realizada mediante una comunicación con éste a través de una entidad intermedia conocida como pasarela (aunque por razones de eficiencia SET permite al comercio aceptar el pago sin la autorización del banco además de aceptar varios pagos con una autorización previa).

Pero no vayamos a creer que SET es un protocolo genérico de pago, SET solo puede usarse para pagos con tarjetas de crédito. Por ejemplo no se pueden intercambiar dinero dos usuarios, firmar contratos entre particulares, negociación de precios, etc.

Por lo que dice el artículo, la tienda se dedica a vender canciones en formato digital (MP3) y ha pasado a utilizar SET para vender las canciones. Pero SET no es adecuado para pagos de poco valor (micropagos) puesto que no es lo suficientemente económico. Un sistema de micropagos eficiente a gran escala ha de ser autónomo (off-line), es decir que la verificación de la validez del dinero venga de la información digital que constituye el propio dinero. Una alternativa a esto (para evitar que se copie y reutilice fácilmente este dinero virtual) consiste en que la confianza en la existencia de dinero real que respalde al dinero electrónico resida en la protección de un dispositivo físico a prueba manipulaciones (como puede ser una tarjeta inteligente).

Es indudable que aún se tardará mucho tiempo en que las fabulosas cifras que se manejan en los estudios de prospectiva financiera se hagan realidad.

Según mi criterio, se combinan tres tendencias: la picaresca característica del potencial usuario (sensación de impunidad de internet), la incapacidad de manejar adecuadamente todas las posibilidades técnicas que, ya hoy, la criptografía pone en nuestras manos y por último, el culto a la imagen (vendiendo como seguras cosas que no lo son con la única intención de aparentar ser más modernos que la competencia). Además está el problema económico que representa la inversión en equipos y personal que, hoy por hoy, es tímida (tarjetas inteligentes, lectores, equipos que accedan a Internet, contratación de personal dedicado a seguridad informática, etc.).

A modo de conclusión opino que se debería dar más importancia a los aspectos relacionados con la seguridad, la criptografía y la legislación informática en los planes de estudio de facultades y escuelas de informática. La mejor forma de anticipar la generalización del comercio electrónico en sus diversas formas está en minimizar los fraudes que puedan producirse inicialmente. Por eso los pasos hay que darlos uno a uno. Y lo primero es formar en serio y en profundidad.

En su momento costó mucho tiempo y esfuerzo que se aceptaran sin problemas el papel moneda y los cheques y que se confiara en los cajeros automáticos. Si queremos que las expectativas puestas en el comercio electrónico no se vean defraudadas, hay que poner mucho cuidado en que todo funcione bien desde el principio.

Publicado en el Boletín del Criptonomicón #50.

Javier Carbó Rubiera es colaborador del Grupo de Investigación en Criptología (Criptolab) de la Facultad de Informática de la Universidad Politécnica de Madrid y Profesor de la Facultad de Informática de la Universidad Pontificia de Salamanca.

• Seguridad en el comercio electrónico: ¿SSL o SET?
• Seguridad en SSL, artículo publicado en iWorld.
• SET a fondo, artículo publicado en iWorld.

Puedes consultarlos por temas, o también por orden de aparición en el boletín.

Si consideras que este artículo puede interesarle a alguien que conozcas, puedes enviárselo por correo electrónico. No tienes más que indicar la dirección del destinatario, el asunto y tu nombre.

Copyright © 1997-2000 Gonzalo Álvarez Marañón, CSIC. Todos los derechos reservados.

Criptonomicón es un servicio ofrecido libremente desde el Instituto de Física Aplicada del CSIC. Para información sobre privacidad, por favor consulte la declaración de política sobre privacidad. Para sugerencias, comentarios o quejas, acuda al libro de visitas. Para contribuir al Criptonomicón, lea la página de contribuciones.