Ha pasado una semana desde que el Ministerio del Interior tomara la decisión de desactivar el certificado digital de parte de los actuales DNIe, pero estos días lo único que ha crecido es la incertidumbre y las dudas sobre un problema que podría ser mayor de lo que parecía en primera instancia.
Las informaciones que llegan en los últimos días nos hablan de fallos aún más graves, de una gestión desastrosa de la crisis, de una comunicación muy mejorable y de una falta de transparencia importante. Todo ello se une a una realidad palpable: la de que el DNIe sigue fracasando como medio para autenticarnos y firmar digitalmente documentos electrónicos.
La vulnerabilidad sigue presente
La vulnerabilidad ROCA (CVE-2017-15361) que afecta a los chips inteligentes integrados en el Documento Nacional de Identidad electrónico (DNIe) de España se detectó hace semanas, pero fue una investigación por parte de expertos de la Universidad Masaryk (en Brno, República Checa) la que confirmó la gravedad del problema.

Al conocerse el problema, el gobierno de Estonia desactivó los certificados digitales de más de 750.000 documentos de identidad del país, y pronto se supo que en España el problema era esencialmente el mismo, lo que generó la misma reacción por parte del Ministerio del Interior, que también anunció la desactivación de tal función de los DNIe emitidos a partir de abril de 2015.
Durante la investigación, expertos de la empresa Enigma Bridge que participaron en el descubrimiento de la vulnerabilidad pusieron en marcha un sitio web informativo que además permitía a los afectados comprobar si estaban afectados por el problema. En España precisamente es esa falta de información la que está siendo preocupante.
La información oficial, prácticamente inexistente en España
Estonia es un país en el que el uso de este documento es de hecho crítico para el funcionamiento de muchos de los servicios públicos, algo que también provocó que los responsables de gobierno y de estas gestiones electrónicas hayan puesto en marcha diversas medidas para tratar de minimizar el problema.

Toomas Ilves, ex-presidente de Estonia, comentaba en ITPro las diferencias entre la gestión que se ha hecho en su país y en España. La única diferencia, explicaba, es que Estonia es transparente, mientras que "otros países y organizaciones permanecen en silencio sobre el mismo problema".
Los investigadorez checos que descubrieron el problema informaron a las autoridades de Estonia en agosto, pero según Ilves Infineon, fabricante de los chips, ya sabía que existía un problema desde febrero de 2017, y ni ellos ni Gemalto —fabricante de las tarjetas en las que se integran esos chips— dijeron nada hasta hace poco.
En nuestro país la información no ha pasado de un breve comunicado en el sitio web del DNI electrónico que no se ha actualizado desde que apareciera en la comunicación original del problema. Ni las cuentas en redes sociales de la Policía ni otros órganos públicos han dado más datos sobre el impacto de la vulnerabilidad y cómo actuar en caso de estar afectados.
Hay excepciones, no obstante, y existen empresas que han hecho uso de esta tecnología y están reaccionando de forma mucho más transparente a la hora de gestionar la crisis e informar sobre ella. La empresa vasca Izenpe, proveedora de servicios de certificación ha publicado información detallada sobre el problema, indicando que ha revocado 30.000 certificados. Además permite comprobar si un usuario está afectado a través de su web e indica los pasos para sustituir los certificados afectados.

El impacto a nivel nacional podría ser enorme a juzgar por diversos estudios preliminares. En El Correo de Andalucía por ejemplo hablaban esta semana de cómo "alrededor de 400.000 sevillanos están afectados por el fallo de seguridad detectado en el DNI".
¿Cuál es el alcance a nivel nacional? El anuario estadístico del Ministerio del Interior revela que en 2016 se produjeron 6.009.848 DNI en toda España, y aunque no se tienen datos cerrados de 2017, las previsiones que la Dirección General de la Policía ha facilitado a Comisiones Obreras se estima que se harán unos 7 millones de documentos. Esos datos permiten deducir que la vulnerabilidad "podría afectar a más de 17 millones de DNI a nivel nacional".
Desactivación masiva de los PADs para actualizar el DNIe
Otro de los errores a la hora de gestionar el problema lo ha cometido la Dirección General de la Policía, que como revelan en ElDiario.es apagó todos los Puestos de Actualización del DNI electrónico (PADs) que están presentes en la mayoría de Oficinas de Documentación de España.

Este organismo emitió un comunicado que ordenaba a los empleados de esas oficinas a apagar los PADs a partir de las 8 de la mañana del 6 de noviembre, además de no entregar el "sobre ciego que contiene el número secreto o PIN", y tampoco realizar duplicados de los documentos de ciudadanos que acudan alegando que el chip no funciona o que tiene un error.

El problema es que esa desconexión de los PADs afectaba a todos los ciudadanos, tuviesen o no el problema en sus DNIe. Para corregir el problema, la DGP envió un nuevo comunicado el pasado 10 de noviembre para tratar de solventar el desastre.

En dicho comunicado se explicaba que sí se permitiría cambiar el PIN o clave secreta del DNI y la renovación de sus certificados a aquellos ciudadanos con un DNIe anterior a abril de 2015. Son los funcionarios de estas oficinas los que deben comprobar si dichos DNIs están o no afectados, en función de lo cual podrán usar esos terminales para actualizar esos datos sin problemas.
¿De verdad se han revocado los certificados digitales?
La gestión de esta vulnerabilidad parecía en parte resuelta con la decisión del Ministerio del Interior de deshabilitar la función de certificados digitales de los DNI electrónicos afectados, pero lo cierto es que dicha desactivación no parece haberse realizado de forma completa.
Spanish government hasn't revoked all DNIe. Some users claim they can use their DNIe normally:https://t.co/yJw2Ua8gLehttps://t.co/GVkFoPC15Nhttps://t.co/kigRG8w8mm
— Julio Perales (@Jperales2) 15 de noviembre de 2017
Information given by spanish police is really confusing. Our article is about that.
Así lo revelan mensajes en Twitter de ciudadanos que confirman que han podido seguir utilizando su DNIe para firmar documentos digitalmente y seguir realizando gestiones en la administración pública como hasta ahora.
Yo tengo un DNIe 3.0, de septiembre, y puedo seguir usándolo en carpeta ciudadana, justicia, registro electrónico común...😱😳😱
— maria lorenzo (@opositora2000) 14 de noviembre de 2017
Tengo chip afectado (03/2017) y en este momento valide/redsara/es valida certificado y documento firmado. No me importaría que siguiera así (por coste/beneficio) hasta que pudiera haber nuevos certificados.Igual es esa la estrategia de #DGP #DNIe
— Juan Arana Perez (@jaranper) 15 de noviembre de 2017
Esos datos se confirmar con investigaciones como la que han realizado en la Universidad de Zaragoza, donde el autor, Juan Arana, explicaba cómo habían comprobado con un DNIe posterior a abril de 2015 que se puede entrar en la Carpeta del Ciudadano a través de Cl@ve y también en la DGT para consultar los puntos con certificado digital.
Esas operaciones son de autenticación y no requieren clave privada, destacaba en su estudio Arana, pero añadía algo más preocupante: la prueba para firmar digitalmente documentos también funcionaba. "Hemos firmado con la aplicación Cliente @Firma del Ministerio de Hacienda y Función Pública (¡vale!, esa aplicación no comprueba si el certificado está revocado) y a continuación hemos comprobado que esa firma es correcta en valide.redsara.es, servicio de MINHAFP que si que comprueba que el certificado no está revocado."
Eso parece revelar que la DGP, como concluía este estudio, no ha revocado los certificados de momento de forma completa, y no hay ninguna comunicación oficial que permita obtener detalles específicos sobre esa revocación (o ausencia de ella) en los canales oficiales.
Se pueden seguir falseando firmas
El problema de hecho se ha agravado con un descubrimiento que va más allá de la vulnerabilidad original. El pasado fin de semana se publicaba en VozPopuli otra información según la cual la brecha de seguridad del DNIe era más amplia de lo que se pensaba.

Un experto en seguridad español llamado Héctor M. ha descubierto que además de la vulnerabilidad ROCA existe otra en la emisión de la firma digital. Según sus investigaciones, explicaba este experto:
Todo contrato que se haya formalizado con esas firmas que se acaban de anular no tiene garantía. No vale solo con anular la firma, porque tal y como está diseñado el DNI 3.0 no se puede saber cuándo han sido firmados esos documentos. Al no haber una fecha de firma en el sistema diseñado por la DGP no se sabe en el momento en el que algo ha sido firmado o no. Para descubrirlo habría que acudir a la tercera parte implicada, el banco con el que se ha utilizado la firma o el organismo público, que tendrán que estudiar cada caso para saber el momento en el que se formalizó el certificado.
Eso significa que como explicaba Héctor M., un ciberdelincuente "podría firmar un contrato haciéndose pasar por otra persona, con una firma falsa y con fecha en el pasado o el futuro, y no habría forma de saber si la firma es falsa o no". De hecho aunque la DGP marque esos certificados como no válidos, no pueden bloquear su uso.
La solución al problema existe —él mismo apuntaba a mecanismos como el llamado 'sellado de tiempo'—, pero esa opción no está integrada en el sistema utilizado en el DNIe 3.0 puesto que "cada prestador de servicios decide tener una tercera parte que certifique la fecha de las firmas, y no todos lo hacen"
Las buenas noticias: casi nadie usa el DNIe porque es una pesadilla
Irónicamente el alcance del problema podría minimizarse gracias a una realidad palpable: la de que el uso práctico del DNI electrónico es muy reducido. En Cinco Días por ejemplo indicaban que según datos de 2014 (los más recientes que existen, aquí la transparencia vuelve a ser un problema) estos documentos solo se habían utilizado para un 0,02% de los trámites públicos.

Ese reducidísimo uso del DNIe con la función con la que nació es como decimos lo único "bueno" de esta crisis: los certificados digitales integrados en los DNIe emitidos a partir de abril de 2015 son vulnerables, pero dado que la inmensa mayoría de la población no los utiliza, el impacto del problema es muy diferente al de Estonia, donde estos documentos son básicos para realizar todo tipo de gestiones públicas.
El fracaso de este sistema de identificación y realización de gestiones digitales era ya patente en 2013, tal y como revelaban en ElDiario.es. Entonces se habían emitido 36 millones de unidades, pero indicaban que tras esos más de siete años y medio de funcionamiento, el certificado digital era "un fracaso generalizado en su falta de adopción".
Eso, argumentaban entonces, llevó a la DGP a crear el DNIe 3.0, un documento que precisamente se presentó en enero de 2015 con novedades como algunos elementos adicionales de seguridad o el soporte de NFC.
Aquella propuesta parece haberse convertido en otra oportunidad perdida, y hay algunos relatos de terror sobre experiencias de uso que parecen la norma. En El Diario de Navarra ya nos hablaban de los numerosos problemas que conllevaba hacer cualquier gestión con un DNI electrónico: desde la propia obtención del certificado digital hasta su uso. Los lectores de DNI, navegadores compatibles y servicios que funcionan hacían el funcionamiento errático en el mejor de los casos.

Esas experiencias no parecen haber cambiado tras la aparición del DNIe 3.0, y en la Asociación de Internautas también hablaban de los numerosos problemas con controladores de dispositivos, las versiones de los navegadores adecuados y sus opciones o la usabilidad de un sistema que no está pensado para el ciudadano de a pie.
Eso es en sí un buen resumen de la realidad del DNIe en España. Infrautilizado y con una gestión y transparencia por parte de los organismos oficiales que no facilitan las cosas. Para muchos la alternativa, obtener un certificado de la Fábrica Nacional de Moneda y Timbre, acaba resultando mucho más fácil y no suele dar ni mucho menos tantos problemas.
En Xataka | El DNI electrónico, uno de los grandes fiascos de los últimos años
Ver 51 comentarios
51 comentarios
Dani
No entiendo como se han podido gastar el dinero en un sistema que no tiene un rumbo claro. El sistema no está pensado para la población y si lo está, tendrían que rodar cabezas. Hay que ser un usuario avanzado y con ganas de comerse el coco cuando quieres usar el DNIe.
Si los lectores de tarjeta dan problemas, que el estado venda su propio lector por unos 5 o 10 € en cualquier tienda de electrónica.
El uso tendría que ser sencillo y "para tontos", un proceso como el de crearse una cuenta de correo electrónico o navegar por una web bien diseñada, en plan: "¿que quieres hacer?" y un buscador para los trámites con un listado de todos ellos y actualizado, expresados con palabras que el ciudadano de a pie entienda y use. Después de rellenar el trámite, que te pida introducir el DNIe la propia página web, se introduce y se hace todo solo.
Ahora te tienes que ir a una página X, de una comunidad autónoma Y y de una delegación Z y luego ponte a buscar el trámite que necesitas o si tienes suerte y aparece en Google te has quitado todo el problema anterior.
Yo conseguí usarlo para la matrícula de la universidad y me ahorré tener que desplazarme 1 hora en coche para entregar los papeles. Luego en Windows 10 no he podido usarlo para nada.
piratastur
El gran error del DNI-e en España es que el Cuerpo Nacional de Policía se agenció las competencias en exclusiva, para tenerlo aparcado y mal gestionado, pero eso si, suyo y solo suyo.
Durante mucho tiempo las máquinas para cambiar el pin, renovar el certificado (que caduca mucho antes que el propio DNI) estaban sólo en las comisarias (que por algo era competencia exclusiva suya, no sea que alguien tenga una más a mano...) y por norma general no funcionaban o funcionaban mal.
Millones de euros invertidos entre los DNI, las máquinas, los lectores que se repartieron con el plan E... para al final, tener que acabar yendo a la Seguridad Social a por un certificado digital que si funciona correctamente.
kl0x
Es que en Españistán las crisis se llevan muy bien..
clawgrip
La vulnerabilidad descrita por "Héctor M." no es tal. Es una noticia hecha desde el desconocimiento y para aprovechar el estado de alarma.
Si yo pierdo mi certificado de firma el miércoles (con lo que lo revoco ese mismo día) pero hice una firma sin sello de tiempo el martes... ¿cómo se sabe si se hizo antes o después de la revocación? No se sabe. Efectivamente, para eso están las firmas longevas (AdES-A, por ejemplo) y los sellos de tiempo, pero claro, es mejor decir "ALARMA, ¡¡TODO ES INSEGURO!! ".
Llevado al mundo "analógico", si un apoderado de una empresa firma el martes de forma manuscrita un contrato en el que no figura la fecha y le despiden el miércoles (con lo que deja de tener poderes de firma)... ¿Cómo sabemos si se firmó siendo apoderado o cuando ya estaba despedido? No lo sabemos. Solución: Poner la fecha en la firma, así de sencillo, lo mismo que en su equivalente digital (el notario que certificaría la fecha de firma se sustituye por una TSA).
Por favor, dejemos de divulgar falsas alarmas, ya tenemos bastante con las de verdad...
db1234
En el Pais Vasco tenemos además la tarjeta Izenpe para los trámites con la administración. Si la utilizas con la esperanza de ahorrarte un desplazamiento y dos horas de colas acabas perdiendo toda la mañana peleándote con la página web.
Parece ser que si no tienes la versión del sistema operativo y del navegador que tienen ellos y con su configuración exacta no hay manera de hacer nada sin que te den ganas de tirar el ordenador por la ventana (a ser posible sobre la cabeza del que ha implementado el sistema).
Deben creer que en todas las empresas y autónomos tenemos un informático de guardia que nos soluciona los problemas. Y os aseguro que, por lo que he visto, como usuario tengo conocimientos por encima de la media.
Sinceramente, no se como en la administración hay tanto inutil.
krollian
Yo tengo un lector de DNI-e y está acumulando polvo.
Y sí. Hacer una gestión usando la tecnología de certificados digitales y tal es intentarlo. Conseguirlo es de titanes. Qué cosa mas farragosa y complicada. Desistí.
informatico_loco
"Para muchos la alternativa, obtener un certificado de la Fábrica Nacional de Moneda y Timbre, acaba resultando mucho más fácil"
Coño, al menos no enlacéis a la página de la FNMT para solicitar el certificado....¡¡¡¡con el DNIe!!!!
Mejor ésta:
https://www.sede.fnmt.gob.es/certificados/persona-fisica/obtener-certificado-software
que es la que te obliga a pasar físicamente por una oficina a identificarte... ¡¡¡que es precisamente lo que se quiere evitar usando el DNIe!!! Debe ser usa de esas paradojas que destruyen el universo que decía Doc Brown en Regreso al futuro XD
Zero
Curiosidad para los que sepan de JavaScript:
Os diré que en una de las páginas de certificados de la sepe (creo que la de descargar el certificado) hurgando en el código —el cual está completamente (mal) comentado y sin minificar— encontré evals para meter valores dentro de un objeto JSON.
Con eso digo tó.
josemicoronil
Para mí el DNIe perfecto sería a través de algún lector el cual al meter la tarjeta te pidiera una contraseña o que metieras tu huella dactilar en el sensor de huella del lector de la tarjeta para darte acceso a tu DNIe, y con ello acceder a cualquier trámite telemático o poder firmar documentos privados con un certificado tan válido como dicho DNI.
La última vez que hice un trámite con el DNIe fue hace 5 ó 6 años, usaba Windows 7 64 bits y para usarlo tuve que usar software distinto al que me proporcionaban las webs de la administración, y por lo que vi no sólo no fui el único sino que además los problemas se agravaban en Mac OS y en Linux. Al menos no fue como mi primer DNIe, el cual tuve que acceder con Internet Explorer porque la web para hacer el trámite usaba un ActiveX que sólo era compatible con IE y no con Firefox...
Un saludo !
Usuario desactivado
Yo si lo uso a menudo para ciertas gestiones a pesar de la usablidad de mierda, te ahorra visitas en muchos casos.
Lo que ha ocurrido ahora no me sorprende, la misma gestión nefasta y comunicación propia de gobiernos autoritarios, a saber si detrás de las concesiones no hay más casos de corrupción.
La cuestión es que ahora muchos no podemos usarlo, y tendremos que apañarnos con otros medios o visitar las oficinas. Seguro que luego son capaces de querer cobrarte la renovación en caso de ser necesaria.
sanamarcar
Vergüenza máxima, pero vamos siempre que hablo con un funcionario sobre el tema del DNI y compañeros míos que han trabajo para organismos públicos, se ríen por no lloran... Pero bueno el Estado es coherente con lo que ha hecho en los últimos años, nada. Piden competencias en la ESO que ellos mismo no tienen xD. Claro que si!
rayban71
Correcto: "Para muchos la alternativa, obtener un certificado de la Fábrica Nacional de Moneda y Timbre, acaba resultando mucho más fácil y no suele dar ni mucho menos tantos problemas".
Llevo usándolo desde que lo lanzaron (10 años?) y cero problemas. El del DNIe nació muerto por la necesidad de necesitar un lector y consiguientes incompatibilidades y problemas varios.
vortexwong
Allá por 2002 mi familia se acogió al plan Activa (no recuerdo el nombre) en el que el estado te financiaba al 0% interes un PC nuevo, si este cumplia ciertos requisitos. El lector de DNI-e era el primer requisito de la lista.
Dias despues volví a casa con mi flamante PentiumII y mi lector DNI-e. El lector aun lo tengo por ahí, con sus driver para Windows98SE. Solo lo intente usar (sin exito) 1 vez.
¿Fracaso? Para el amiguito del gobierno que ha vendido miles de lectores, NO. 15 años y la administracion estatal electronica aun no funciona. El SIP muy electronico, pero necesitas la receta impresa, si no nada.
Toyandboy
Lo que mas me gusta de la cagada del DNIe es ques 3.0, es la tercera vez que la hacen, jejeje.
Marca España.
osesno89
Los del DNI y lexnet debe ser el mismo sobrino de algunos de los políticos. No pasa nada chicos no os quejeis la culpa y la responsabilidad no es de nadie y el dinero va y viene.
cgnavarro
Pues os cuento mi experiencia. He usado el DNIe durante años para diversas gestiones y debo decir que no está hecho para el usuario "de a pie" (no se puede exigir al ciudadano medio que sepa de drivers, certificados, clave públicas y privadas, etc.), por no decir que, para saber lo que hacía, en su día tuve que leer y releer mucho sobre el tema. Al final funcionaba...cuando quería (lo de pedirte la clave cada 3 s no era infrecuente) pero no me imagino a un ciudadano medio peleándose con este sistema, sabiendo qué certificados instalar -aparecían tropecioentos certificados redundantes cuya diferencia nadie explicaba,- o cuáles no (luego vienen los agujeros de seguridad),. SI, ingenuo, intenta enterarse an la web del DNIe o de lFNMT, probablemente, le pergará fuego a su lector y jurará en arameo. En fin, a mí me funcionaba (pero no soy un usuario "medio" precisamente) pero...tras instalar W10 he desistido, tras instalar y desinstalar certificados el comportamiento no puede ser más errático, funciona en las web de prueba pero imposible entrar en webs de Hacienda, con constantes "errores de seguridad"," certificados de la página obsoletos", bloqueos de acceso y demás zarandajas que dejé de analizar y leer porque no me pagan para eso. En resumen, un pantallazo azul de MS me parece una coña al lado de los problemas que da un sistema que debe ser "universal". Si MS o Apple comercializasen algo en ese estado, no de beta, sino de omega, los pondríamos a caldo, y con razón.
imf017
Juas, y a mí que se me jodió el chip a los pocos días de renovar el DNI. Por no mecionar que hay algunos ejemplares a los que se les cae el chip.
mgml
Año:
1999: Mi amigo me comentó en la secundaria: ¿tienes internet? Descarga el ICQ y te pasó una canción que está muy buena de Limp Bizkit. También descarga el Napster para tener más música.
2001: Acababa de entrar al bachillerato y conocí una chica. Le dije que me agregara al ICQ y me dijo ¿qué es eso? mejor agrégame al MSN Messenger, tienes que tener cuenta de hotmail.
2010: En un bar conocí a una chica muy atractiva. A ella le comenté si tenía Messenger para conversar con ella. Me dijo que me actualizara, que ahora se utiliza whatsapp. No me dio su número de teléfono jajajja
Lo curioso de esto es que nunca estuve actualizado, desde el inicio de los tiempos.
xivcia
Y como esta el asunto a día de hoy, marzo de 2018??
Tengo el DNIe de 2017 y lo uso ocasionalmente por trabajo. También tengo la firma de mi comunidad autónoma y la de la FNMT que instalo en mis ordenadores habituales y uso con mayor frecuencia porque es mas cómodo, pero para realizar tramites en otra comunidad autónoma que no me admiten la firma de la FNMT usaba el DNIe, ahora que hago??
Me acabo de enterar hoy, 5 meses después que mi dnie esta revocado, llevo desde las 9h de la mañana con este problema, probando en mi pc , en el de mis compañeros, con los dnie de mis compañeros.... y ahora que??
juanjofm
País de pandereta usando tecnología privativa que no puede ser 100% auditada y encima usando certificados de RSA 2048 bits. Si hubiera sido yo el responsable en aquel año, hubiera puesto el límite mínimo en 4096 o mejor aún hubiera cogido y hubiera puesto Curve25519.