Mobile signature

A mobile signature is a digital signature generated either on a mobile phone or on a SIM card on a mobile phone.

The mobile signature can have the legal equivalent of your own wet signature, hence the term "Mobile Ink", commercial term coined by Swiss Sicap. Other terms include "Mobile ID", "Mobile Certificate" by a circle of trust of 3 Finnish mobile network operators implementing a roaming mobile signature framework Mobiilivarmenne, etc.

Según las directivas de la UE para firmas electrónicas ^{[ 1 ]} la firma móvil puede tener el mismo nivel de protección que la firma manuscrita si todos los componentes de la cadena de creación de la firma están debidamente certificados. El estándar que rige los dispositivos de creación de firmas móviles y el equivalente de una firma manuscrita se describe en la Decisión de la Comisión 2003/511/CE de 14 de julio de 2003 sobre la publicación de números de referencia de estándares generalmente reconocidos para productos de firma electrónica de conformidad con la Directiva de Firmas Electrónicas . ^{[ 2 ]} Si la solución de firma es evaluada por un tercero independiente según los Criterios Comunes y recibe la designación EAL4+, la solución puede producir lo que la directiva de la UE y las aclaraciones subsiguientes denominan una firma electrónica cualificada . El estándar actual data del año 2002/2003 y está en proceso de renovación y publicación para finales de 2012. ^{[ 3 ]} La mayoría, si no todas, las implementaciones de firmas móviles hasta la fecha generan lo que la Directiva de la UE denomina firma electrónica avanzada .

Las soluciones de firma móvil más exitosas se pueden encontrar en Turquía , ^{[ 4 ]} Lituania , ^{[ 5 ]} Estonia ^{[ 6 ]} y Finlandia ^{[ 7 ] [ 8 ]} con millones de usuarios.

Técnicamente, la firma móvil se crea mediante un módulo de seguridad cuando el dispositivo ( tarjeta SIM ) recibe una solicitud. Tras presentar la solicitud al usuario con algunas indicaciones explicativas, el dispositivo solicita un código secreto que solo el usuario autorizado debe conocer. Normalmente, este código es un PIN . Si el código de acceso se introduce correctamente, el dispositivo obtiene acceso a datos secretos que contienen, por ejemplo, la clave privada RSA , la cual se utiliza para realizar la firma u otras operaciones solicitadas.

El sistema PKI asocia la clave pública correspondiente a la clave secreta almacenada en el dispositivo seguro con un conjunto de atributos contenidos en una estructura denominada certificado digital . La elección de los detalles del procedimiento de registro durante la definición de los atributos incluidos en este certificado digital permite generar diferentes niveles de garantía de identidad, desde una identidad anónima pero específica hasta una identidad real de alto nivel. Mediante una firma, el propietario del dispositivo seguro puede certificar dicha identidad.

Por lo tanto, la firma móvil es una característica única para:

• Cómo demostrar tu identidad real a terceros sin comunicación cara a cara.
• Realizar un compromiso legalmente vinculante mediante el envío de un mensaje de confirmación a otra parte.
• Resuelva los problemas de seguridad del mundo en línea con la confirmación de identidad (una identidad anónima pero específica suele ser igual de buena que una identidad de alto nivel).

Cuando un usuario móvil crea el sPIN (PIN de firma) y la clave secreta en línea dentro de la tarjeta SIM segura durante el proceso de registro, esto se conoce como "generación de clave a bordo". ^{[ 20 ]} Esto requiere un poco más de interacción por parte del usuario durante el registro, pero, por otro lado, hace que el proceso de interacción del modo de seguridad sea familiar y les permite practicar el uso del servicio. Además, si el usuario olvida o bloquea el PIN asociado con la clave generada, es sencillo generar una nueva clave y asignarle un nuevo sPIN, eliminando las versiones anteriores mediante el mismo proceso que con el registro original y, lo que es más importante: sin necesidad de reemplazar la tarjeta SIM. En estos sistemas, normalmente no existe ningún código de desbloqueo del PIN de firma secundario (sPUK), ya que la revelación de dicho código tiene los mismos requisitos para la verificación de identidad de la persona solicitante que los que se requerían para el registro de identidad original. ^{[ 21 ]}

Comparemos esto con el modelo anterior de "claves generadas en fábrica" ​​para tarjetas SIM de tecnología antigua que no tenían suficiente potencia de procesamiento para generar claves internamente. La fábrica de tarjetas SIM realizaba la generación de claves con un acelerador de hardware especial y almacenaba el material de la clave en la tarjeta junto con los códigos sPIN y sPUK iniciales. En ocasiones, la generación real se realizaba dentro de la tarjeta SIM, que funcionaba en un modo de fabricación especial. Tras la generación, esta capacidad solía desactivarse fundiendo un fusible de control especial. La entrega, en particular, de los códigos sPUK crea considerables problemas logísticos de seguridad de la información, que pueden evitarse por completo con la generación de claves interna.

Turkcell fue el primer proveedor en implementar un servicio de firma móvil con la funcionalidad de "Generación de claves a bordo", que permite a los clientes crear su par de claves de firma y validación después de recibir la tarjeta SIM. De esta manera, los operadores GSM no necesitan distribuir PIN de firma a los clientes. Los clientes pueden crear su sPIN por sí mismos. ^{[ 22 ]}

En la introducción del servicio finlandés Mobiilivarmenne ^{[ 23 ]} en 2010, solo uno de cada tres operadores optó por utilizar esta capacidad de generación de claves integrada con interacción del usuario. Las razones citadas alegaban que era demasiado difícil para el usuario. La experiencia real demostró que quienes no la utilizaban creaban fácilmente registros no funcionales sin ninguna indicación en línea del estado, mientras que el uso de la generación de claves integrada siempre resultaba en una indicación positiva de éxito cuando el servicio se volvía completamente funcional para el usuario. Además, si una versión del teléfono móvil tenía problemas con el protocolo SIM Application Toolkit , esto se hacía evidente de inmediato durante un proceso de registro utilizando la generación de claves integrada.

• mSign: Anuncio de la formación de MSign (solo en alemán), 17.10.2000 ^{[ 24 ]}
• MoSign: Materna Monitor - revista de la empresa, diciembre de 2004 ^{[ 25 ]}
• MoSign: Boletín técnico del International Herald Tribune , 26 de marzo de 2001 ^{[ 26 ]}
• MobilImza: Turkcell Mobil Imza 10.3.2008 ^{[ 27 ] [ 28 ]}