Seguridad en certificados digitales

Los certificados digitales (en los 2 modos, homologación o producción) una vez convertidos a *.pfx contienen no solo el certificado *.crt sino también la firma digital única del cliente (originalmente creada al solicitar el certificado). Aunque la criptografía y seguridad informática excede el alcance de esta documentación los certificados *.pfx son autocontenidos. Es decir: el archivo en si contiene todo lo necesario para conectar al servidor de AFIP de autenticación y acceso (WSAA). Como este archivo puede ser copiado y pegado a cualquier pc. Quien posea el archivo puede autenticarse frente a los servidores de AFIP para operar con todos sus web service (emitir comprobantes, recuperar comprobantes emitidos, etc).

Por esta razón es recomendable tomar minimas medidas de seguridad sobre estos archivos (y en general sobre la carpeta openssl bin usada al solicitar el certificado). Esto incluye:

• • Realizar copias de seguridad de la carpeta openssl bin usada al generar la solicitud y luego eliminar o protegar esta carpeta.

  • Dar acceso al archivo de certificado *.pfx solo a usuario autorizados.

  • O mejor aun proteger el archivo *.pfx con una contraseña (recordar que el archivo *.pfx puede ser copiado, pegado y usado desde cualquier pc) esto se hace de la siguiente forma:

Al seguir los pasos de la guia para convertir el certificado *.p12 a *.pfx en algún punto el sistema operativo solicita una contraseña (de hecho en algunos windows es obligatorio ingresarlo) en este paso crear e introducir una contraseña de seguridad.

Luego en el código al usar la interfaz (versión 10.6 o superior), después de ejecutar el método "iniciar" cargar la propiedad "ArchivoCertificadoPassword" con la contraseña usada. De esta forma quien copie y pegue el archivo de certifciado *.pfx no podrá usarlo directamente sin conocer la contraseña creada al convertirlo. La propiedad "ArchivoCertificadoPassword" es implementada en todas las planillas de test y en sus macros es posible ver como es usada en el código.

En caso que la contraseña cargada en la propiedad "ArchivoCertificadoPassword" no coincida con la creada al convertir el certificado a *.pfx se recibirá el error:

"contraseña de red especificada no válida" o "clave no existe".