La AFIP comunico por diferentes medios del cambio de certificados que realizara a partir del primero de noviembre de 2016 ( ver 01. Comunicación de AFIP). Ante este aviso, nos pusimos en contacto con las áreas de comunicación de AFIP realizándole preguntas y según sus respuestas llegamos a la siguiente conclusión:
El cambio NO afectara el normal desenvolvimiento del Modulo GCSFE. Lo que cambian son los certificados de los servidores y no la utilización del certificados clientes (PFX). (ver 03. Respuesta 2 de AFIP)
Según 02. Respuesta 1 de AFIP nos dice que una forma de probar si la aplicación funcionara bien es utilizar los web services de homologación (testing) que ya poseen estos nuevos certificados desde el año pasado. Las pruebas que hemos realizado no dieron ningún tipo de inconveniente.
01. Comunicación de AFIP
El 01/11/2016 se renovarán los certificados SSL utilizados por los Webservices de AFIP. Los nuevos certificados utilizarán el algoritmo de encripción SHA-2.
SHA-1 vs SHA-2
El algoritmo SHA-1 es ampliamente utilizado en los certificados SSL que permiten mantener una comunicación cifrada y segura en la Web. Desde
el año 2005, se conocieron ciertas deficiencias en dicho algoritmo, que demostraron que el mismo dejó de brindar la seguridad para el
cual había sido desarrollado. Debido a ello, en 2011 la Organización de Autoridades Certificantes y Proveedores de Navegadores Web (CA/B),
determinó dejar de utilizar este algoritmo, declarándolo como obsoleto.
Microsoft, Google, Apple, Mozilla y Opera entre otros, como miembros del CA/B, anunciaron que sus navegadores: Internet Explorer, Google Chrome,
Safari, Opera, etc. dejarán de aceptar como válidos los certificados que utilicen el algoritmo SHA-1 a partir del año 2017.
Asimismo, las Autoridades Certificantes Comerciales, también miembros del CA/B, que emiten los Certificados SSL utilizados por los servicios del
Organismo, no emiten certificados empleando SHA-1 con vencimiento posterior al 31 de diciembre de 2016.
Por ello, antes del 31 de diciembre de 2016, resulta necesario actualizar todos los certificados utilizados por esta Organización para las comunicaciones SSL,
reemplazándolos por nuevos certificados que empleen el algoritmo SHA-2.
Los usuarios de Webservices provistos por AFIP deberán analizar si estos cambios generan algún tipo de impacto en sus desarrollos. Para ello se actualizaron
en el mes de abril de 2015 los Certificados Digitales del entorno de Homologación, utilizando ya para los nuevos certificados
el algoritmo SHA-2. Los principales servicios de Homologación que ya están actualizados con certificados SHA-2 son:
WSAA- WebService de Autenticación y Autorización
Factura Electrónica – Webservices de Factura Electrónica (WSFE/WSFEX/WSFECA/WSMTXCA/WSCDC)
BFE – Webservice de Bonos Fiscales Electrónicos
CTG – Webservice de Código de Trazabilidad de Granos
Webservice de Juegos de Azar (JAZA)
Webservice de Consulta a Padrón
Webservice de Consulta y Lectura de Comunicaciones de eVentanilla
Los cambios en el entorno de Producción se harán efectivos el día Martes 01/11/2016. Por lo tanto se sugiere efectuar las modificaciones pertinentes
antes de esa fecha.
Es importante aclarar que este cambio NO AFECTA a los usuarios que utilizan los servicios web de la AFIP con sus navegadores de Internet.
Sólo deberán evaluar el impacto aquellos usuarios de Webservices SOAP.
Todo lo informado en el presente correo se encuentra publicado en el micrositio de Webservices (http://www.afip.gob.ar/ws/)
DIRECCION DE INFRAESTRUCTURA TECNOLOGICA
DIRECCION DE OPERACIONES INFORMATICAS
SUBDIRECCION GENERAL DE SISTEMAS Y TELECOMUNICACIONES
02. Respuesta 1 de AFIP
“Como se informa en el micrositio de WS, para la AFIP resulta necesario actualizar todos los certificados utilizados por esta Organización para las comunicaciones SSL, reemplazándolos por nuevos certificados que empleen el algoritmo SHA-2.
Por lo tanto deberan considerar en su desarrollo si esto afecta o no…para ello cuentan con el entorno de testing en donde la AFIP ya posee el certificado con algoritmo en sha2”
03. Respuesta 2 de AFIP
“Estimado:
Sha256 es sólo para los certificados de los servidores, que es independiente al certificado que se utiliza para obtener el ticket de acceso en el WSAA. Puede usar sha1 en ese certificado sin problemas
Atte
_________________________________________
División Mesa de Ayuda
Departamento de Soporte Técnico
Dirección de Operaciones Informáticas”
Guillermo Campolongo 