La Policía ha desactivado la función de certificado digital de los DNI electrónicos que fueron expedidos desde abril desde 2015 para reforzar su seguridad, después de que un estudio de una universidad checa haya alertado de su posible vulnerabilidad. Ese posible fallo está siendo analizado por el Organismo de Certificación español, según informa la Dirección General de la Policía, que ha comenzado a modificar las funcionalidades de esos documentos para garantizar "la máxima seguridad y confidencialidad en la utilización de la autenticación".





Un fallo de seguridad obliga a suspender el certificado digital de los DNI expedidos desde abril de 2015

Para reforzar la seguridad de los certificados electrónicos del DNIe, a la vista del estudio publicado recientemente por una Universidad de la República Checa, cuya viabilidad está siendo objeto de análisis por el Organismo de Certificación español, la Dirección General de la Policía ha comenzado a modificar dichas funcionalidades, garantizando con ello la máxima seguridad y confidencialidad en la utilización de la autenticación y firma electrónica en España.

Hasta no estar implementadas las soluciones técnicas necesarias (lo que se hará en fechas próximas) se desactivará la funcionalidad de los certificados digitales de parte de los actuales DNIe para que, cuando estén disponibles, puedan ser actualizados directamente por sus titulares en las Oficinas de Documentación.

En el momento que esto sea posible se informará puntualmente. Entretanto, se comunica que los documentos cuyos certificados pudieran resultar afectados, son los que tienen número de soporte posterior al ASG160.000 (ver imágenes), que fueron expedidos a partir de abril de 2015.

Se recuerda que el DNIe sigue siendo válido como documento de identificación (para cualquier tipo de trámite administrativo, mercantil, privado) y como documento de viaje (para viajar a la práctica totalidad de los países de la U.E.). 

Fuente:
https://www.dnielectronico.es/PortalDNIe/

CARACTERÍSTICAS TÉCNICAS DNIe 3.0

• Chip:
• SLE78CLFx408AP de Infineon Technologies.
• Características:
• 400KB memoria Flash (código + personalización)
• 8 KB memoria RAM
• Dual Interface.
• Criptolibrería RSA
• CC EAL5+

  Los certificados electrónicos del DNIe serán sustituidos para garantizar la máxima seguridad


El bug en la generación de claves RSA afecta a chips de Infineon y el DNIe español es Infineon.

El conocido como DNI 3.0 supuso una importante mejora frente a las versiones anteriores, escasamente utilizadas. Su chip, hasta ahora considerado seguro, permite firmar documentos con la misma validez jurídica que una rúbrica manuscrita, facilitando asimismo su empleo como tarjeta de identificación para viajar a los países que lo aceptan como alternativa al pasaporte.

Estonia también retira certificados

Cabe mencionar que hace apenas unos días Estonia también se vio obligada a renovar los certificados digitales de sus tarjetas de identificación. Las autoridades señalaron el descubrimiento en septiembre de un fallo de seguridad en el chip, fabricado por una compañía suiza. Dicho error permitiría a terceras personas suplantar la identidad de los usuarios afectados. Por el momento se desconoce si existe una relación entre este suceso y el caso español.

Estonia es posiblemente el país más digitalizado del mundo, por lo que la renovación de los certificados digitales ha supuesto un mayor problema. El programa de residencia digital del país báltico permite a los ciudadanos realizar todo tipo de operaciones en unos minutos, desde acceder a las oficinas online de los distintos ministerios a acceder a servicios bancarios o crear una empresa con unos pocos clics.

ROCA: descubierta grave vulnerabilidad en la librería de claves RSA Infineon 

Utilizando ROCA, un atacante podría suplantar identidades, firmar malware con un certificado malicioso o descifrar mensajes que utilicen claves vulnerables, por ejemplo.




 - Actualizar el firmware de los dispositivos cuanto antes.
 - Generar la clave mediante otra librería, como OpenSSL, y actualizar la del dispositivo con la nueva clave.
 - Usar otro algoritmo de cifrado como ECC, en vez de RSA.
 
 
  
 

Fuentes:
http://unaaldia.hispasec.com/2017/10/roca-descubierta-grave-vulnerabilidad.html
https://www.lainformacion.com/amp/espana/desactivada-la-firma-digital-de-los-dni-por-un-posible-fallo-de-seguridad/6336504
https://www.elotrolado.net/noticia_la-policia-nacional-desactiva-la-firma-digital-de-los-dni-por-un-posible-fallo-de-seguridad_34102