Listas de certificados revocados
Conforme a lo establecido en la Declaración de Prácticas de Certificación de ANF AC, los terceros de confianza que reciban firmas electrónicas generadas con certificados emitidos por ANF AC tienen la obligación de verificar el estado de vigencia del certificado utilizado.
La extinción de la vigencia de un certificado electrónico tiene efecto desde que la Autoridad de Certificación la indica en su Registro General.
La revocación de un certificado es definitiva: supone la pérdida de su eficacia e impide al usuario el uso legítimo del mismo. Este proceso tiene efectos inmediatos e imposibilita la renovación del certificado y el funcionamiento del dispositivo homologado de creación de firma.
La capacidad de revocar los certificados de entidad final la ostentan: el propio titular del certificado, su representante legal, la Autoridad de Registro que tramitó el certificado, el Responsable de Dictámenes de Emisión o una Autoridad Judicial.
MARCO LEGAL
“Art. 8.3 La extinción de la vigencia de un certificado electrónico surtirá efectos frente a terceros, en los supuestos de expiración de su período de validez, desde que se produzca esta circunstancia y, en los demás casos, desde que la indicación de dicha extinción se incluya en el servicio de consulta sobre la vigencia de los certificados del prestador de servicios de certificación.”
Las Listas de Revocación de Autoridades de Certificación (ARL)
recogen los números de serie de aquellos certificados de Autoridades de Certificación Intermedias que han sido revocados antes de que expire su plazo de vigencia. Para cada certificado se especifica fecha, hora y causa de revocación.
Las Listas de Revocación de Certificados (CRL)
recogen los números de serie de aquellos certificados electrónicos de entidad final que han sido revocados antes de que expire su plazo de vigencia. Para cada certificado se especifica fecha, hora y causa de revocación.
Los certificados de Autoridades de Certificación Raíz
que hayan sido revocados antes de que expire su plazo de vigencia, serán publicados en la página corporativa de ANF AC. Durante la prestación de servicios de certificación de ANF AC, ningún certificado de CA Raíz ha sido revocado.
- Las firmas generadas con certificados revocados o caducados carecen de validez legal.
- Conforme a lo establecido en la Declaración Prácticas de Certificación de ANF AC, los receptores de firmas electrónicas tienen la obligación de verificar el estado de vigencia del certificado utilizado antes de confiar en ellas.
- Los certificados revocados pueden ser retirados de una CRL una vez transcurridos tres meses desde su caducidad. No obstante, ANF AC mantiene de forma permanente y accesible al público un historial de todas las CRL emitidas.
- En el campo "Next Update" (próxima actualización), se hace constar que la norma de referencia RFC-3280 v.1 no establece como obligatorio el citado valor, pero la versión 2 sí que lo requiere. Con el fin de garantizar la interoperabilidad con otros sistemas PKI se ha procedido a su inclusión.
- La fecha que se reseña en el citado campo, indica exclusivamente la fecha límite en la que se publicará una nueva CRL. En ningún caso supone que no se vaya a publicar una nueva actualización antes de ese momento.
- Queda expresamente prohibido utilizar los servicios de validación de ANF AC para prestar servicios de validación a terceros. La Política de Validación establece las penalizaciones por incumplimiento.
- La descarga de una CRL no acredita la obligación de verificación de una firma electrónica recibida. Tampoco permite determinar el momento en que se descargó, ni cuando se llevó a cabo la consulta.
RESPONSABILIDAD DE LOS SUSCRIPTORES
La posible pérdida, sustracción del dispositivo o simple temor de que esté en riesgo el PIN de activación de firma, obliga a su responsable notificar este hecho a ANF AC, a fin de revocar el certificado que contiene. Estos hechos entre otros, constituyen causas de extinción del certificado, de conformidad con lo dispuesto en los artículos 8 (b y c) y 9 de la LFE. El responsable del dispositivo está obligado a realizar una custodia adecuada y mantener la privacidad de las claves, el riesgo de uso indebido del certificado son asumidos por el titular de la firma, por ser quien tiene el control sobre su utilización. La falta de notificación de una situación de riesgo del certificado, o cambio de la información registrada en él, presupone por parte de su titular una grave negligencia en el cumplimiento de sus obligaciones de conservación de sus datos de creación de firma, en el aseguramiento de su confidencialidad y en la protección de todo acceso o revelación (art. 23.1.c LFE). Esta previsión guarda relación con la constancia expresa en el Certificado, de que el suscriptor tiene el control sobre los datos de creación de firma (art. 11.2.f LFE); de la verificación de su posesión por parte ANF AC, con anterioridad a la expedición del certificado (art. 12.c LFE). Tan sólo podría rechazarse la excepción opuesta por el prestador de servicios de certificación, si el hecho de la pérdida, sustracción o uso indebido del Certificado se puso en conocimiento del mismo e incumplió o se retrasó en anotar la contingencia en el Servicio de consulta sobre la vigencia de los certificados (art. 22.3, en relación 10.2 LFE).
