enchufado
   RSS
#
Seguridad en el uso de Firma Digital para organismos públicos (Seguridad) 2010-08-25 22:16:39

Como siempre, otra nueva aventura que esta vez no le tocó sufrir a un servidor, sino a un compañero. En pocas palabras, él tenía que solicitar un documento público (creo era a la DGT) y la Firma Digital no le funcionaba (le terminaba dando un casque). Cuando se puso en contacto con los técnicos de dicho ente, le instruyeron para que habilitara una opción del navegador que estaba usando (Firefox/Iceweasel) para "permitir que se abrieran los popups".

¿De qué opción se trata? De la opción signed.applets.codebase_principal_support, que puede ser encontrada dentro de las tripas de la configuración de Firefox/Iceweasel si en la barra de URL's ponemos el archiconocido about:config. A modo de tip, para ir más rápido en su búsqueda podemos usar el campo filter y escribir ahí 'signed' para que nos lleve directamente. Como podemos ver, por defecto está desactivada. ¿Y para qué sirve exactamente esta opción? Se puede ver p.ej. en mozillazine o en sus foros, pero explicado más llanamente, permite que los scripts en Javascript se ejecuten con privilegios ampliados sin estar firmados (con Firma Digital).

Una explicación más larga la podemos encontrar en el propio site de Mozilla, pero os haré un resúmen. Los scripts pueden ir firmados con una Firma Digital basada en un Certificado Digital emitido por una CA. Esto es lo ideal de cara a la seguridad de la identidad del firmante y de la integridad del propio script. Pero Javascript también soporta los llamados codebase principals, que son un mecanismo a través de los cuales la fiabilidad del script radica en su origen de procedencia (en concreto, desde la confiabilidad de una URL origen dada). Al no ofrecer una prueba de identidad del firmante para el usuario, por defecto su uso viene deshabilitado en Firefox/Iceweasel, y es por ello que en la propia página se recomienda a los escritores de aplicaciones no fiarse de poder usarlos (y de querer usar estos privilegios extendidos, insta a firmarlos previamente).

Entonces debe haber alguna explicación para que varios organismos públicos (como la Diputación de Badajoz, el Ministerio de Política Territorial, el Ministerio de Industria, Turismo y Comercio, Hacienda...) esten recomendando saltarse esta protección. ¿Alguien la conoce? Porque yo no.

Soluciones:

  • ¡Que la entidad firme los scripts! Esta entiendo que es la solución ideal, ya que el uso de los codebase principals sólo se recomienda para code testing.
  • Si tenemos que rebajarnos a usar los codebase principals, podemos activarlo y desactivarlo en base a su necesidad, pero en cualquier caso, acordándonos siempre de desactivarlo.
  • Si usamos (o no nos importa hacerlo) varios perfiles de usuario en el navegador, se puede activar en el user.js de uno de los perfiles (ver este enlace), dejándolo desactivado en el otro.

Y esto es to, esto es to, esto es todo amigos.


Comentarios (2)


Volver al indice

login, admin, form, register