Dinero electrónico
Net Conexión No. 2. págs. 36-39.
Antonio Bellver
Universitat Jaume I

Se dice que el dinero no es más que información. Por tanto cualquier sistema de intercambio de información es susceptible de utilizarse para intercambiar dinero. Pero la Internet no se diseñó pensando en transacciones comerciales. Estas se realizaban, y se continúan realizando, a través de redes especiales (lo que los americanos suelen llamar Banknet). Los objetivos primordiales de la Internet eran facilitar la circulación de información científica y simplificar la interconexión de redes y equipos diversos, dejando un poco de lado los temas de seguridad. Ni siquiera la influencia militar, que había impulsado el proyecto en sus principios, ayudó a paliar esta deficiencia. El Departamento de Defensa de los Estados Unidos creó su propia red segura de comunicaciones y no consideró pertinente que información sensible circulara por la Internet. El resultado es que la Internet es un canal básicamente inseguro.

La entrada de empresas y servicios comerciales en la Internet atraidas por ventajas competitivas, por el prometedor segmento de mercado formado por los usuarios, o simplemente porque es el único prototipo existente de las llamadas ³autopistas de la información² se ha ido progresivamente acelerando. Incialmente muchas entidades se han limitado a una especie de posición de observación, de hacer notar su presencia en la red por motivos de imagen, esperando poder ampliar el espectro de operaciones posibles cuando consideren el tema maduro. Esta persistente implantación hizo que superaran por primera vez en nodos conectados a las instituciones educativas y de investigación a finales del año 1994 ( a principios de 1995 ya había más de 32.000 empresas conectadas en EEUU según datos de la Internet Society). El cambio de la Internet de una red primariamente dedicada a temas académicos hacia una red de propósitos generales (comercio, información, ocio… ) estaba servido.

Todo ello no hizo sino aumentar la presión y el interés existente para conseguir resolver el problema de la falta de seguridad. El uso comercial de la red requiere transacciones monetarias seguras de acuerdo con estándares reconocidos. Conseguir que se puedan realizar con normalidad pagos a través de la Internet y, especialmente, que el atractivo envoltorio que proporciona el World Wide Web sea el vehículo, ha reunido una cantidad ingente de esfuerzos en los ultimos meses.Y no sólo hay que considerar las operaciones de pago, sino también otras relacionadas, como el manejo de cuentas bancarias desde el domicilio del cliente, o las transacciones entre empresas.

Autenticidad y privacidad

El uso de la Internet o de cualquier otra red insegura para el intercambio de información sensible plantea dos grandes problemas:

• La autentificación, es decir, asegurar que los interlocutores son realmente quienes dicen ser.
• La privacidad e integridad de los datos que circulan, o sea, que un tercero no pueda observar, copiar o modificar el contenido la información mientras se transmite.

Las soluciones a ambos problemas se basan en el uso de criptografía digital, es decir, de sistemas de cifrado. Estos sistemas, conocidos habitualmente como criptosistemas, consisten en aplicar un método (encriptado) a la información de manera que queda convertida en lo que se llama un texto cifrado. El texto cifrado carece de sentido a primera vista. Sólo al aplicarle el método contrario (desencriptado) volvemos a obtener la información original. Actualmente la practica totalidad de criptosistemas utilizan un sistema de claves (ver cuadro).

Claves simétricas y asimétricas

Los sistemas de clave secreta o simétrica son las más obvios. El algoritmo utiliza la misma clave tanto para encriptar como para desencriptar la información. Tanto el emisor como el receptor de un mensaje deben conocer dicha clave secreta. El ejemplo mas habitual es el DES (Data Encription System) que se utiliza por ejemplo para guardar las passwords en máquinas Unix. Otros algoritmos alternativos del mismo tipo son el IDEA o el RC4.Los sistemas de claves asimétricas o públicas difieren del esquema anterior. Usan un conjunto de dos claves, de modo que lo que se encripta con una clave puede ser desentrañado usando su pareja y viceversa. Esto posibilita el hacer pública una de las dos y conservar la otra en secreto, con lo que salvamos el principal problema de las claves simétricas: el tener que compartir la clave con el destinatario. A partir de aquí se pueden poner en juego conceptos como el de la firma digital para solucionar el tema de la autentificación. A cambio son mucho más costosos que los simétricos en cuanto a recursos informáticos. El caso mas conocido es el RSA (iniciales de sus creadores: Rivest, Shamir y Adleman)

El problema más fácil de abordar es el de la confidencialidad de la información. Ya hay productos disponibles o a punto de distribuirse que encriptan los envios entre clientes y servidores usando especificaciones como el SSL (Secure Sockets Layer, de Netscape) o el S-HTTP (evolución con seguridad ampliada del protocolo del WWW de Terissa Systems). La otra cuestión, la autentificación y la integridad, es más compleja y suelea vincularse al concepto de firma digital.

Las firmas digitales son conjuntos de datos que se añaden al contenido de una transmisión y permiten que el receptor pueda comprobar la integridad de la información enviada y la veracidad de la fuente. Para ello usa un sistema de clave asimétrica con el que el firmante codifica un resumen del contenido del mensaje. Solo la clave pública del firmante puede desentrañar el conjunto y permitir comparar el resumen con el contenido real. Para poder usar de forma realmente segura este esquema se necesita una fuente de confianza externa (un ³notario digital² llamado Certificate Authority) que dé fe de esta firma digital como válida y precise detalles como por ejemplo su plazo de validez.

La vulnerabilidad de un sistema criptográfico basado en claves es objeto de discusión, pero se suele aceptar que el único método de ataque conocido y eficaz sería el de la fuerza bruta. El método de la fuerza bruta consiste, a grandes rasgos, en calcular todas las posibilidades existentes para descubrir la verdadera por comparación. Y la defensa frente a tan burdo ataque es que o bien es técnicamente imposible aún (requiere una capacidad de cálculo excesiva), o bien no es rentable. El coste de romper por fuerza bruta un texto cifrado, sumando las horas de computación y otros gastos, puede ser mucho más alto que el valor real de la transacción interceptada y desentrañada. El pasado verano un experimento consiguio romper la protección (de un nivel de seguridad mínimo) de un envío entre un cliente y un servidor calculando en decenas de ordenadores durante varios dias. La conclusión es que se tuvieron que gastar decenas de miles de dólares para romper una operación que, con suerte, involucraba decenas o pocos centenares de dólares.

Todo este conjunto de herramientas correctamente aplicadas permite asegurar, dentro de unos niveles razonables, la transmisión de información en medios presuntamente inseguros. La implementación puede basarse sólo en software o añadir elementos de hardware: tarjetas más o menos inteligentes, por ejemplo. La ventaja de usar hardware radica en que el usuario no ha de confiar sólo en su memoria para las claves pero al mismo tiempo requiere la instalación de estos elementos en las máquinas, con el coste y la incomodidad que ello puede suponer.

Una vez solucionados o en vías de solución los problemas técnicos, queda aún por determinar cómo se conectan las redes financieras con la propia Internet, y qué especificaciones y protocolos de actuación se establecen.

Monedas, cheques y plástico

Cuando se habla de dinero electrónico en la red se tiende a pensar en cómo usar una tarjeta de crédito. Pero no es sólo eso. Internet, como en otras tantas cosas, es un espejo del mundo real: hay, o habrá, dinero en metálico, cheques, y dinero de plástico (tarjetas de crédito o débito). Cada una de estas clases de dinero virtual conservará sus funcionalidades actuales: no intentamos comprar nuestro periódico en el quiosco con una tarjeta de crédito, sino que usamos dinero en metálico. Sin embargo, si compramos un billete de avión es probable que recurramos a la tarjeta.Así pues, lo primero que hay que diferenciar es la cuantía de los pagos, independientemente de qué sea lo que se vende, información o bienes. La frontera se suele establecer alrededor de los 10 $ USA. Las razones son evidentes: el coste de la operación con tarjeta para pagos menores de 10 $, o es mayor que la operación en sí o, al menos, no suficientemente rentable para la entidad financiera.

Sin embargo es obvio que el desarrollo más rápido va a ser el del área de las tarjetas. Presenta una ventaja clara: cuenta ya con una infraestructura global en funcionamiento, y por tanto sólo necesita adaptar al nuevo medio unos esquemas preexistentes. Además las grandes entidades financieras del sector estan muy interesadas y ya están creando estándares apoyados por otras empresas. Se han formado dos grandes consorcios que parece que van ser los que se enfrenten por la supremacia en este sector:

SEPP (Secure Electronic Payment Protocol) <http://www.mastercard.com/Sepp/sepptoc.htm>.

Abanderado por Mastercard, incluye, ademas de otros como GTE Corp. e IBM, a Netscape (quizás la empresa de software mas influyente en temas relacionados con el WWW ya que más del 60% de clientes Web presentes en Internet son Netscape Navigator) y a CyberCash (una de las empresas pioneras en sistemas de pago electrónicos).

STT (Secure Transaction Technology) <http://www.visa.com/visa-stt/index.html>.

Liderado por VISA y Microsoft, que necesitan pocos comentarios, y con otros socios como Spyglass, una empresa de software que fue una de las pioneras en clientes WWW comerciales.

SEPP vs. STT

La comparación entre las dos especificaciones a nivel técnico presenta diferencias de filosofía notables. STT sólo contempla las transacciones con tarjeta, y sus certificados digitales no usan el estándar. SEPP es más ambiciosa: soporta transacciones con tarjeta, pero también pagos off-line y de otros tipos. Sus certificados sí cumplen con los estándares, y en general es modular y de fácil crecimiento. Sin embargo en cuanto a tecnología criptográfica todos utilizan un esquema similar (RSA y DES).Respecto a los socios no hay duda que en ambos casos hay un importante transfondo de recursos monetarios, tecnológicos e influencias. La STT ha tenido un eco mayor en la prensa por la presencia de Microsoft, mientras que la SEPP ha pasado más desapercibida. Pese a ello la experiencia en Internet parece ser mayor en el caso de la SEPP y la batalla promete ser muy reñida.

Los cheques constituyen un modelo intermedio, más cerca de las tarjetas que del dinero en efectivo, ya que funcionan contra cuentas bancarias. Se les puede aplicar la mayor parte del modelo de las tarjetas. Aún así se han producido esquemas independientes muy interesantes dirigidos a gestionar pagos de poca cuantía útiles para el sector de venta de información (prensa, documentación).

El desarrollo del dinero digital en efectivo (e-cash) será indudablemente más lento. Se trata de unidades con valor monetario, sin necesidad de estar vinculadas a una cuenta bancaria. Están destinados a transacciones de valor más bajo en principio que las tarjetas y permitiran cosas como el intercambio de dinero entre dos particulares. En algunos casos se ha puesto bastante énfasis en que permitan el anonimato (al menos del que paga) sin que pierdan seguridad. Son planteamientos muy innovadores, y por tanto generan muchas más reservas y recelos en el entorno financiero. Hay dos grandes tendencias, la que se basa sólo en software y la que utiliza tarjetas inteligentes, pre-cargadas o recargables.

Panorama actual

Naturalmente hay muchas iniciativas que no han esperado a que las posibles soluciones sean definitivas o a que las especificaciones se transformen en aplicaciones reales y en funcionamiento. Algunas de ellas han sido modelos experimentales para adquirir experiencia y/o para ocupar el mercado antes que la competencia y tienen un caracter transitorio. Una somera visión del panorama actual podría ser como la siguiente:Banca

Bancos en Internet:

• First Virtual <http://www.fv.com/> Primer banco creado en la propia Internet aunque algunas operaciones, como la apertura de la cuenta, por seguridad son telefónicas. El usuario solo paga si queda satisfecho.
• First Bank of Internet (FBOI) <http://ganges.cs.tcd.ie/mepierce/Project/Press/fboi.html> el banco opera de intermediario entre vendedor y comprador.

Banca tradicional con servicios a traves de Internet como:

• Wells Fargo Bank <http://wellsfargo.com/>,
• Bank of America <http://www.bankamerica.com/>

En España hay algunos presentes por motivos de imagen, ofreciendo básicamente publicidad:

• Banesto <http://www.banesto.com>
• Banco Central Hispano <http://www.offcampus.es/bch/>
• La Caixa <http://lacaixa.datalab.es>.
• Caja de Arquitectos <http://www.arquired.es>

Tarjetas

El sector de las tarjetas parece estar reagrupándose en torno a las especificaciones STT y SEPP . Pero mientras estas toman cuerpo hay iniciativas en activo. La mayor parte consideran suficiente el encriptado de datos de la transacción usando clientes seguros, algunos ejemplos son:

• First Data/Netscape <http://www.mcom.com/>
• BarclayNet <http://www.barclaycard.co.uk/barclay.htm>
• Secure Courier <http://www.netscape.com/newsref/std/credit.html>
• Cybercash <http://www.cybercash.com/>.

– Cheques

El proyecto más genérico es el Electronic cheque <http://www.llnl.gov/fstc/> Pero tienen especial interes los dedicados a micropagos como el NetBill <http://www.ini.cmu.edu/> basado en un sistema de clave simétrica y capaz de gestionar pagos de sólo decenas de centavo de dolar.– E-cash

Entre la iniciativas que incluyen hardware destaca Mondex <http://www.mondex.com/> una especie de ³tarjeta-monedero² inteligente impulsado, entre otros, por el Wells Fargo Bank y el Natwest Bank.El más representativo de los esquemas sólo software es Digicash <http://www.digicash.com/> que provee un sistema que garantiza el anonimato del pagador, defendido como un derecho individual, sin perder seguridad. El usuario se conecta on-line a su banco y retira una cantidad de monedas electrónicas a cargo de su cuenta que guarda en su disco duro (un ³monedero² software). Este dinero digital puede utilizarlo a su gusto para realizar pagos a vendedores o individuos que acepten este tipo de transacción.

El Mark Twain Bank <http://www.marktwain.com/> ya permite las operaciones con este método.