Remote QSCD y el control exclusivo en eIDAS 2.0

El uso de firmas electrónicas cualificadas a distancia se ha convertido en una solución práctica para las personas que necesitan firmar electrónicamente desde varios dispositivos. En el marco de una solución de este tipo puede utilizarse un Remote QSCD: un dispositivo cualificado de creación de firma electrónica gestionado a distancia por un prestador cualificado de servicios de confianza.

El Regulamentul (UE) 2024/1183 (el acto que actualiza el marco europeo para la identidad digital) modifica el Regulamentul (UE) nr. 910/2014 (Regulamentul eIDAS; es decir, el Reglamento (UE) n.º 910/2014, conocido como Reglamento eIDAS). Conocido en la práctica como eIDAS 2.0, el nuevo marco concede mayor importancia a los servicios de firma a distancia, al control ejercido por el firmante y a los requisitos técnicos aplicables a los prestadores.

Qué es un Remote QSCD

Un QSCD es un dispositivo de creación de firma electrónica que cumple los requisitos previstos en el anexo II del marco eIDAS. En el caso de un Remote QSCD, el dispositivo es gestionado a distancia por un prestador cualificado de servicios de confianza. Por regla general, no se encuentra físicamente en posesión del firmante, y este lo utiliza a través de una aplicación o de una interfaz en línea.

Un certificado en la nube no significa que la clave privada sea libremente accesible

En el lenguaje habitual se habla de «certificado digital en la nube». Desde el punto de vista técnico, el certificado es el documento electrónico que vincula la identidad del firmante con la clave pública. El elemento que debe protegerse especialmente es la clave privada, utilizada para crear la firma.

En una arquitectura Remote QSCD, la clave privada se genera y se conserva en un entorno seguro, normalmente en un HSM, es decir, un Hardware Security Module. La clave no se descarga en el teléfono ni en el ordenador del usuario. Sin embargo, el HSM es únicamente un componente técnico. La existencia de un HSM no convierte automáticamente una solución en un QSCD ni un certificado en un certificado cualificado.

Qué significa el control exclusivo (sole control)

Por control exclusivo (sole control) se entiende que el firmante mantiene el control sobre el uso de los datos de creación de la firma. Este control exclusivo no presupone necesariamente la posesión física de la clave privada ni el acceso directo al HSM.

En un servicio a distancia, el control exclusivo debe garantizarse mediante procedimientos y mecanismos que impidan utilizar la clave para crear una firma sin la autorización del firmante. En función de la arquitectura del servicio, pueden ser relevantes la autenticación reforzada, la confirmación de la operación, la vinculación de la autorización al documento o a los datos que se vayan a firmar y la protección de los datos de activación de la firma.

El control exclusivo no significa que el prestador deje de desempeñar cualquier función técnica. El prestador puede administrar la infraestructura, operar el HSM y proporcionar el servicio de firma. Lo que debe excluirse es la posibilidad de que este u otra persona cree de forma independiente firmas utilizando la clave del firmante, al margen del procedimiento autorizado.

Qué cambia eIDAS 2.0 para la firma a distancia

Un marco más claro para Remote QSCD

El Regulamentul eIDAS ya contenía requisitos para los dispositivos cualificados de creación de firma y permitía, en la práctica, la prestación de servicios de firma a distancia. eIDAS 2.0 aclara, sin embargo, el marco aplicable a los dispositivos cualificados de creación de firma electrónica a distancia y la responsabilidad del prestador que los gestiona.

En esencia, un Remote QSCD debe mantener el nivel de protección de un QSCD, aunque el dispositivo sea administrado en un entorno controlado por el prestador. Son relevantes tanto la seguridad del dispositivo como los procesos mediante los cuales el firmante activa y autoriza su firma.

Qué no cambia eIDAS 2.0

eIDAS 2.0 no convierte automáticamente cualquier solución de firma en la nube en una solución cualificada. Para que una firma sea cualificada, deben analizarse acumulativamente varios elementos:

• la identidad del firmante debe verificarse de conformidad con los requisitos aplicables;
• el certificado debe ser un certificado cualificado para firma electrónica;
• los datos de creación de la firma deben estar protegidos en un QSCD, incluido un dispositivo cualificado de creación de firma electrónica gestionado a distancia (Remote QSCD);
• la firma debe crearse mediante un servicio y un procedimiento conformes;
• el prestador y el servicio cualificado deben tener la condición correspondiente en la lista de confianza pertinente.

Por tanto, el simple almacenamiento de la clave en un HSM, el uso de una contraseña o la existencia de una aplicación móvil no son suficientes, considerados por separado, para demostrar el carácter cualificado de la firma.

Cómo funciona un servicio Remote QSCD

El flujo concreto depende de la solución proporcionada y de la política del prestador, pero una arquitectura típica comprende las siguientes etapas:

1. el prestador verifica la identidad del usuario y, en su caso, emite o pone a disposición el certificado cualificado;
2. los datos de creación de la firma se generan y se protegen en el entorno seguro del servicio;
3. el certificado y la clave privada se asocian al perfil del firmante, sin que la clave privada se transfiera al dispositivo de este;
4. el usuario inicia la firma y se autentica mediante el mecanismo previsto por el servicio;
5. el servicio verifica la autorización y transmite la operación al entorno criptográfico protegido;
6. se crea la firma y el documento firmado se devuelve al usuario o a la aplicación que solicitó la operación.

En una solución conforme, el mecanismo de autorización debe ofrecer, de acuerdo con los requisitos aplicables, garantías de que la operación aprobada por el firmante corresponde al documento o al conjunto de documentos respecto de los cuales este manifestó su intención de firmar. Los detalles pueden variar en función del tipo de servicio, de la evaluación de seguridad y de los requisitos aplicables.

El papel de las normas ETSI

El Regulamentul eIDAS establece los requisitos jurídicos y de seguridad a escala europea, mientras que las normas técnicas explican cómo pueden aplicarse y evaluarse dichos requisitos. En el ámbito de la firma a distancia, las normas ETSI contribuyen a armonizar los servicios y a crear criterios verificables para los prestadores y los organismos de evaluación de la conformidad.

Normas relevantes para los servicios de firma a distancia

• ETSI TS 119 431-1 establece requisitos generales de política y seguridad para los prestadores de servicios de creación a distancia de firmas y/o sellos electrónicos;
• ETSI TS 119 431-2 aborda los requisitos aplicables al mecanismo de activación de la firma, conocido como Signature Activation Module;
• ETSI TS 119 432 aborda los protocolos para la creación a distancia de firmas electrónicas;
• las normas de la serie EN 419 241 ofrecen, adicionalmente, requisitos para los sistemas de confianza que respaldan la firma de tipo servidor y para la protección del QSCD utilizado en este contexto.

Estas normas abordan aspectos como la gestión del ciclo de vida de las claves, la separación de responsabilidades, la autenticación del firmante, la activación de la firma, la protección de las comunicaciones, el registro de eventos y la resistencia de la infraestructura frente al uso no autorizado.

Qué nivel de confianza ofrecen las normas

Las normas ETSI no representan, por sí mismas, un certificado jurídico de que cualquier servicio que las mencione sea cualificado. El nivel de confianza resulta de la combinación de los requisitos del Regulamentul eIDAS, la evaluación de la conformidad, la auditoría del prestador, la certificación de los componentes pertinentes y el mantenimiento del servicio en régimen cualificado.

Cuando determinadas normas son reconocidas mediante los actos pertinentes de la Unión Europea, su cumplimiento puede respaldar la presunción de conformidad respecto de los requisitos que cubren. Esta presunción no elimina la necesidad de evaluar el servicio en su totalidad ni se extiende automáticamente a los componentes o funcionalidades que no estén incluidos en el ámbito de aplicación de la norma.

Desde la perspectiva del usuario, las normas ofrecen un nivel importante de confianza, ya que convierten nociones generales como el control exclusivo, la protección de la clave y la activación de la firma en requisitos técnicos que pueden verificarse. No obstante, la conformidad debe analizarse respecto del servicio concreto, no solo respecto del producto HSM o de la aplicación utilizada.

Qué debe verificarse antes de utilizar un certificado cualificado en la nube

Antes de contratar un servicio Remote QSCD, el usuario debería verificar, como mínimo, los siguientes aspectos:

• si el prestador es un prestador cualificado de servicios de confianza;
• si el servicio concreto de firma a distancia tiene la condición de cualificado, y no solo el prestador en general;
• si el certificado emitido es un certificado cualificado para firma electrónica;
• cómo se realiza el control exclusivo y qué mecanismo activa la firma;
• si existen medidas para vincular la autorización al documento o a los datos firmados;
• qué normas y evaluaciones de conformidad cubren el servicio efectivamente utilizado;
• cómo se gestionan la revocación del certificado, la suspensión del servicio, la recuperación de la cuenta y los incidentes de seguridad.

También es importante la diferencia entre la firma electrónica cualificada y el sello electrónico cualificado. Un Remote QSCD destinado a la firma por una persona física no debe confundirse con la infraestructura utilizada para los sellos de una persona jurídica, ya que los requisitos y las responsabilidades pueden ser diferentes.

Conclusión

Remote QSCD permite utilizar una firma electrónica cualificada sin que el usuario tenga que llevar físicamente un token ni conservar la clave privada en su propio dispositivo. Sin embargo, la seguridad de la solución depende del sistema en su conjunto: la generación y conservación de la clave en una infraestructura protegida, el mecanismo de activación, el control exclusivo ejercido por el firmante, la condición cualificada del prestador y la evaluación de la conformidad.

eIDAS 2.0 no elimina estas condiciones, sino que las hace más visibles y crea un marco más claro para los servicios de firma a distancia. Las normas ETSI ofrecen referencias técnicas y operativas importantes, pero la condición cualificada debe verificarse respecto del servicio concreto y del prestador que lo proporciona. En consecuencia, el hecho de que un certificado se presente como «en la nube» o de que una clave se conserve en un HSM no es, por sí solo, suficiente para demostrar la existencia de una firma electrónica cualificada.