La Unión Europea trabaja en la reforma del reglamento eIDAS, una normativa destinada a regular la identificación electrónica y los servicios de confianza dentro del mercado europeo.
La propuesta incluye el desarrollo de una identidad digital europea, pero algunos aspectos del texto generan preocupación entre expertos en ciberseguridad, organizaciones y desarrolladores de navegadores. Uno de los puntos más discutidos es el artículo 45 y su tratamiento de los certificados utilizados para autenticar sitios web.
Por qué el artículo 45 de eIDAS genera preocupación
El debate se centra en los certificados cualificados de autenticación de sitios web (QWAC). Estos certificados son emitidos por prestadores cualificados de servicios de confianza y permiten verificar la identidad asociada a una página web.
La propuesta establece nuevas obligaciones para que los navegadores reconozcan estos certificados. Organizaciones como Mozilla y expertos en seguridad advierten de que limitar la capacidad de los navegadores para aplicar sus propios criterios podría debilitar los mecanismos utilizados para proteger las conexiones web.
Una de las preocupaciones es que una autoridad de certificación que no cumpla los requisitos de seguridad exigidos habitualmente por los navegadores pueda seguir siendo reconocida. Esto podría dificultar la respuesta ante certificados emitidos de forma incorrecta o ante otros problemas de seguridad.
Los críticos también señalan posibles consecuencias para la privacidad. Una gestión inadecuada de estos certificados podría aumentar el riesgo de interceptación de comunicaciones cifradas. Sin embargo, esto representa un riesgo señalado por los expertos y no significa que la reforma permita directamente a los gobiernos instalar software espía en los navegadores.
Identidad digital europea, seguridad y privacidad
La reforma de eIDAS tiene un alcance mucho más amplio que los certificados web. Uno de sus principales objetivos es establecer un marco común para una identidad digital europea que pueda utilizarse en diferentes países de la Unión Europea.
El reto consiste en facilitar la identificación y las transacciones digitales sin reducir la seguridad de las comunicaciones. Por este motivo, el artículo 45 se convierte en uno de los puntos más debatidos durante la negociación de la normativa.
Mozilla, la Electronic Frontier Foundation y diferentes especialistas en ciberseguridad han pedido cambios en el texto. Consideran necesario que los navegadores puedan mantener sus propios requisitos de seguridad y actuar cuando detecten problemas con una autoridad o un certificado.
La reforma continúa su proceso legislativo europeo. El texto definitivo deberá determinar cómo se aplican estas obligaciones y qué garantías se incorporan para proteger tanto la seguridad como la privacidad de los usuarios.
Fuente: Xataka.