La elección por defecto de una seguridad media a la hora de almacenar los certificados digitales en ordenadores con Windows XP podría permitir a un pirata informático la creación de herramientas capaces de sustraer y utilizar a su antojo estos documentos identificativos, que permiten realizar todo tipo de gestiones ante la administración, como la declaración de Hacienda.
Yago Jesús, un consultor independiente de seguridad, ha revelado hoy la existencia del problema, que según explica no se refiere tanto a una vulnerabilidad de los certificados expedidos por la Fábrica Nacional de Moneda y Timbre (FNMT) como a la elección por parte de Windows de "unas protecciones inadecuadamente bajas" para la clave privada asociada al certificado.
Esto, unido al uso de Internet Explorer 6, crea el agujero. Para demostrar esta afirmación Jesús ha creado un programa informático que, tras colarse en el ordenador de sus víctimas con la ayuda de un troyano, podría exportar el certificado digital y enviarlo al atacante. Éste luego tendría libertad para utilizarlo, pues no se le requeriría la introducción de ninguna contraseña.
El problema tiene su origen en el almacenamiento del certificado en el ordenador de su propietario. Por defecto, Windows propone un nivel de seguridad medio, que permite usar el documento digital identificativo sin necesidad de clave.
Como los certificados son exportables junto a su clave privada, puede construirse un programa que realice esta tarea de forma automatizada y masiva, poniendo en riesgo la seguridad de sus titulares. Para garantizar la seguridad del certificado, Jesús recomienda almacenarlo en un dispositivo externo, como una llave USB.
La FNMT podría remediarlo
El problema no sólo afecta a los certificados expedidos por la FNMT, pero son estos los que resultan más críticos, pues permiten realizar todo tipo de gestiones ante decenas de organismos públicos y privados.
El consultor achaca también a la FNMT cierta responsabilidad porque "si quiere, puede forzar al uso de la máxima protección de la clave privada", pero no lo han hecho.
Técnicamente, "el escenario que describen es posible, pero bastante improbable" pues se dan pocos casos en los que se den todas las circunstancias descritas. Además, para realizar la declaración no suele bastar con el certificado, Hacienda te pide otros datos", asegura.
Sáenz de Santamaría viaja a EE UU para recabar apoyos del Tesoro y del FMI
El PSOE pide una comisión sobre Bankia
España se gusta y Torres y Negredo demuestran que hay '9'
Enviados a prisión dos de los detenidos por los incidentes de Barcelona en la huelga general
La casa del creador de 
El realizador Romain Gavras regresa a la 'guerra social'
Rouco: "No es el Estado el que sostiene a la Iglesia"
¡Sé el primero en hacerlo!