Consejo para Firma Digital

[Neftali [Germán.Estévez]]

Empezado por Lepe

Para comprobar que tu certificado digital es válido (que no ha expirado o ha sido revocado) necesitas internet para acceder a tu OCSP (Online Certification Status Protocol) y que garantice que puedes firmar en ese mismo momento que quieres hacerlo.

Tal vez lo entendí mal.

Está claro que para comprobar que el certificado es válido o no, o si está revocado hace falta conectarse. Si se trata de eso Lepe tiene razón.

Yo había entendido que quería firmar PDF's y verificar los PDF's firmados; Con esa verificación entiendo que se refiere a que no han sido modificados ni alterados. Creo que hasta ahí no hace falta conexión.
Un paso más allá, como tú dices, es comprobar cómo se encuentra el certificado en este momento.

Que Urbano nos saque de dudas...

[[Lepe]]

Ah, Yo entendí "firmar y verificar offline", sorry.

Sea como fuere, si quieres que tu aplicación firme electrónicamente, aquí tienes más información, sé que es para DNIe, mientras tú dices "firma digital", pero bueno, el DNIe se podría usar para firmar documentos "con tu programa que no estaría capacitado legalmente para ello", (fíjate que lo he puesto entre comillas porque no estoy aún seguro de ello, tengo que investigar más).

¿el activeX de la aeat es sólo para factura-e? Es lo que veo, no dice que se pueda firmar digitalmente cualquier documento, sólo facturas .

Empezado por URBANO

y poder a parte crear una pequeña utilidad que verifique esos documentos pdf sin necesidad de conectarse a internet, ni de terceros.Esta pequeña utilidad la haría llegar a aquellas personas a las que van dirigido los documentos.

¿y quien garantiza que tu pequeña utilidad cumple con los requisitos de seguridad para la Verificación de firma electrónica? Que yo sepa es el Centro Criptográfico Nacional el que tendría que auditar y certificar tu pequeña utilidad.

Empezado por INTECO

INTECO ha elaborado los Perfiles de Protección del DNIe como documentos normativos que recogen una serie de requisitos de seguridad que van a permitir a los desarrolladores de aplicaciones de firma electrónica con DNIe certificar sus aplicaciones conforme al estándar de referencia en materia de seguridad: Common Criteria

En España el Organismo de Certificación es el Centro Criptológico Nacional-Centro Nacional de Inteligencia (CCN-CNI) que otorga certificados a productos según esta norma.

Norma de seguridad Mundial, y que windows 2000 tardó 2 años en obtener.

Yo recomiendo que tu programa exporte el PDF, y después uses sinadura, intecoFirma o los plugins para acrobat, outlook, etc para encarguarse de la firma electrónica.

[URBANO]

Bueno, Bueno, gracias por vuestros comentarios.

Neftali voy a revisar las opciones que me has dado y luego te comento que es lo que me han parecido.

Lo de no necesitar la conexión a internet es por que solo quería firmar el pdf y así asegurar que lo que hay en este no se ha modificado (como ha comentado Neftali). Vamos igual que el programa adobe acrobat prof. cuando inserta una firma (de la FMNT) en un documento pdf. El acrobat no verifica si el certificado ha sido revocado. Pero entiendo que comprobar que ha experidado no hace falta internet ya que todas las firmas incluyen la fecha de caducidad del certificado.
Como comenta Lepe, para comprobar que el certificado en el momento de la firma no esta revocado, hay que conectarse por medio los OCSP a la entidad que ha emitido el certificado que origina la firma. Pero me han comentado que esto la FMNT (por poner el organismo más común) no lo permite de forma gratuita y que vale una pastaaaa.

Estoy de acuerdo con Lepe, en lo de tener el certificado en un tarjeta criptográifica.

Con respecto a lo que comenta Lepe de si el programa que yo desarrolle cumple con las politicas de seguridad de la firma electrónica, es una cosa que si me preocupa y que me gustaría comentar. Entiendo que tanto si utilizo un ActiveX o un componente, estos son los que van a generar la firma y se encargar de cumplir con las politicas de seguridad. Ya que viendo un poco el funcionamiento del ActiveX de la aeat, desde mi programa lo único que hago es llamar a la función firma y esta genera el fichero ya firmado. Y llamando a la función verificar (pasando el fichero firmado) esta devuelve si el fichero es correcto. Entiendo que el resto de ActiveX o componentes funcionarán de forma similar. Asi pues, creo que lo que tendría que asegurarme es de que el componente o ActiveX que utilice cumpla con esas normas de seguridad. Que pensais ustedes?


He encontrado una utilidad que me valdría, PDFSigner de ANF. Esta utilidad la puedo llamar desde mi programa, pasando una carpeta de origen donden se encuentre los pdf que quiero firmar y una carpeta destino donde colocará los nuevos ficheros firmados. El programa no es caro (100 €) ,pero te obliga a utilizar para firmar solo los certificados emitidos por ANF y te cobran por cada firma realizada. Lo de la obligación de solo poder firmar con su certificado es por lo que comenta Lepe de verifcar si el certificado a expirado. Ya que este programita antes de firmar se conecta a internet a ANF y verifica el estado del certificado e incluso introduce un sello de tiempo del notario que posee ANF.

He encontrado también el componente "VisPDF -http://www.vispdf.com-", el cual me voy a descargar y voy a probar. Según he leido, permite generar pdf de tus informes y además te da la posibilidad de firmarlos digitalmente. No son muy caros (300 €). Lo conoceis?

Bueno, veo las distintas opciones y enlaces que me habeis comentado y os vuelvo a comentar.

Gracias de nuevo y saludos.