Sistema horizontal de identificación y firma electrónica: PIN24H

Transcripción

1 Sistema horizontal de identificación y firma electrónica: PIN24H

2 Sistemas de firma distintos de la avanzada en la Agencia Tributaria Situación Actual RENO - NÚMERO DE REFERENCIA BASADO EN LA CASILLA 620 PARA SU OBTENCIÓN NCC OTROS? CÓDIGO SEGURO DE VERIFICACÓN NINGUNO DE LOS SISTEMAS ACTUALES SIRVE PARA OFRECER CUALQUIER TRÁMITE CON SISTEMAS DE FIRMA NO AVANZADA? PODEMOS TENER PROBLEMAS DE SEGURIDAD POR TANTA DIVERSIDAD ESTÁMOS COMPLICANDO LA VIDA AL CIUDADANO

3 Objetivo Final Dotar de un sistema horizontal para la identificación y autenticación de ciudadanos y el registro de la voluntad de realizar actos, basado en un sistema de firma electrónica distinto de la firma electrónica avanzada y que cuente con las garantías de seguridad y usabilidad suficientes. Sistemas de identificación y firma distinto de la firma electrónica avanzada. Resolución de 17 de noviembre de 2011, de la Presidencia de la Agencia Estatal de Administración Tributaria, por la que se aprueban sistemas de identificación y autenticación distintos de la firma electrónica avanzada para relacionarse electrónicamente con la Agencia Estatal de Administración Tributaria

4 Sistemas de Identificación y Autenticación Clasificación Mayor seguridad jurídica y técnica Password o PIN básico Password o PIN Reforzado Certificados electrónicos software reconocidos Certificados electrónicos en tarjeta criptográfica reconocidos Seleccionados por el usuario o generados automáticamente, pero no se aplican criterios para garantizar su fortaleza o son vulnerables a su deducción por diversos métodos. Seleccionados por el usuarios o generados automáticamente, pero se aplican criterios para mejorar la fortaleza y reducir la posibilidad de su obtención por un extraño. Se trata de un certificado electrónico software que cumple con ciertos requisitos legales y técnicos (Ley 59/2003 o Directiva 1999/93/EC). Se trata de un certificado electrónico almacena en una tarjeta criptográfica y que cumple con ciertos requisitos legales y técnicos (Ley 59/2003 o Directiva 1999/93/EC).

5 Sistema basado en un PIN24H Reforzado El sistema se apoya en lo que se conoce como sistema de doble factor de autenticación, o autenticación en dos pasos (utilizando un teléfono móvil del ciudadano), para obtener un código de acceso que permite identificar y firmar al ciudadano. Este sistema utiliza el NIF del ciudadano como código de usuario y una contraseña dividida en dos partes: La primera parte la elije el contribuyente cada vez que solicita un PIN24H y la llamamos Clave de Acceso Temporal (4 caracteres) La segunda parte la envía la Agencia Tributaria mediante un SMS al móvil del ciudadano registrado cuando solicita el PIN24H (3 caracteres) Estos dos datos conforman el Código de Acceso Código de Acceso = Clave de Acceso Temporal + PIN24H Este código de Acceso caduca a las 2 de la mañana del día siguiente a la petición.

6 Sistemas de Identificación y Autenticación Marco Normativo Directiva 1999/93 Ley 59/2003 Establece un marco y los requisitos para la firma electrónica y regula el uso de certificados electrónicos Establece un marco y los requisitos para el uso de Sistemas de identificación y autenticación y la firma electrónica en el ámbito de las Administraciones Públicas

7 Soporte normativo del sistema PIN24H Ley 11/2007 Sistemas de firma electrónica Ley 59/2003 de firma electrónica Sistemas de firma electrónica distintos de la firma electrónica avanzada Resolución de 17 de noviembre de 2011, de la AEAT Sistemas de firma distintos a la Firma Avanzada Sistema de firma con clave de acceso en un registro previo Acceso y efirma con PIN24H

8 Resumen de las Garantías del uso del PIN24H en la AEAT Registro previo Inscripción del ciudadano en un registro de usuarios Secreto compartido Conocimiento exclusivo por parte del ciudadano y la Agencia Tributaria del PIN, utilizando un segundo factor de autenticación basado en el teléfono móvil PIN Presentación de datos Se garantizará la integridad y no repudio de la información presentada mediante su incorporación inmediata al sistema de información de la Agencia Tributaria, y en particular, al Catálogo de documentos electrónicos, con generación de un acuse de recibo firmado con CSV CSV Trazabilidad Se garantizará la trazabilidad y el no repudio mediante el registro de todas las acciones del usuario y que este registro es inalterable. Limitado a determinados trámites Aplicando el principio de proporcionalidad, según la naturaleza del trámite se podrá definir en que trámites y servicios puede ser utilizado, no siendo posible su uso fuera de dicho ámbito Objetivo. Ámbito Subjetivo Personas Físicas Ámbito objetivo y subjetivo

9 Cuál es la base del sistema PIN24H? Registro previo

10 Registro previo Censo PIN24H Ciudadanos registrados en el servicio PIN24H En el registro online mediante carta-invitación con CSV que envía la Agencia Tributaria al contribuyente objetivo o que solicita el contribuyente en Sede Electrónica, se pedirán datos de contraste: NIF, el CSV enviado, la CCC del que es titular, la fecha de validez del DNI.

11 Registro telemático. Características El ciudadano solicita en la Sede Electrónica el Alta en el Servicio

12 Registro telemático. Características Se envía la carta de invitación con los datos exclusivos para ese Contribuyente a su domicilio fiscal En el articulo 17 (Obligación de comunicar el cambio de domicilio fiscal) del RGAT (Real Decreto 1065/2007, de 27 de julio, por el que se aprueba el Reglamento General de las actuaciones y los procedimientos de gestión e inspección tributaria y de desarrollo de las normas comunes de los procedimientos de aplicación de los tributos) se expone que: -Las personas físicas que deban estar en el CEPR (Censo de Empresarios, Profesionales y Retenedores) han de comunicar el cambio de domicilio fiscal en el plazo de un mes a partir de que se produzca dicho cambio. - Para las personas físicas que no deban de estar en el CEPR, la comunicación se debe de realizar en el plazo de 3 meses desde que se produzca el cambio salvo si con anterioridad al vencimiento de ese plazo finalizase el plazo de presentación de la autoliquidación o comunicación de datos correspondiente a la imposición personal que el obligado tributario tuviera que presentar después del cambio de domicilio. Entonces en ese caso la comunicación deberá efectuarse en el correspondiente modelo de autoliquidación o comunicación de datos, salvo que se hubiese efectuado con anterioridad.

13 Registro telemático. Características El contribuyente recibe la invitación con los datos exclusivos para ese contribuyente Código Seguro de Verificación

14 Registro telemático. Características El ciudadano solicita en la Sede Electrónica el Alta en el Servicio

15 Uso del PIN24H en la Agencia Tributaria Petición del PIN24H Autenticación Firma electrónica de usuarios autenticados Trazabilidad

16 Uso del PIN24H en la Agencia Tributaria Petición del PIN24H Autenticación Firma electrónica de usuarios autenticados Trazabilidad

17 Solicitud de un PIN24h en la Agencia Tributaria Obtención del PIN Para acceder a la Sede Electrónica de la Agencia Tributaria necesita un código de acceso compuesto de una clave, que deberá elegir en este momento, más un PIN, que recibirá vía SMS en el teléfono móvil que ha registrado. Este código personal será válido hasta las 2 de la mañana del día siguiente al de su solicitud. Este dato está bajo el control del contribuyente y lo define cada vez que pida un PIN24H Si el contribuyente se ha dado de alta y el NIF y la Fecha de validez del DNI son correctos se envía un PIN24H al teléfono móvil

18 Características del PIN24H Calidad de la clave de acceso. Código alfanumérico de 7 caracteres Comunicación disociada. El PIN se envía por un SMS en el que no tiene porqué haber ninguna referencia completa al NIF asociado Almacenamiento del PIN. Sólo se guarda su huella digital cifrada Caducidad del PIN. Gestión simplificada con expiración a las 2:00 AM del día siguiente (validez de entre 2 y 26 horas) minimizando las molestias al usuario

19 Uso del PIN24H en la Agencia Tributaria Petición del PIN24H Autenticación Firma electrónica de usuarios autenticados Trazabilidad

20 Sistema horizontal de acceso y firma electrónica no avanzada mediante PIN Identificación y Autenticación Autenticación Introducirá el PIN24H enviado al teléfono móvil Introducirá la clave de acceso que definió en el momento de la petición De la misma forma que en la propuesta anterior, si el contribuyente borrara el SMS y olvidara el PIN24H, podría volver a solicitarlo, en la nueva propuesta si el contribuyente olvidara su clave de cuatro caracteres que ha introducido en la petición del PIN24H, podría volver a solicitar uno nuevo, siguiendo el mismo proceso.

21 Uso del PIN24H en la Agencia Tributaria Petición del PIN24H Autenticación Firma electrónica de usuarios autenticados Trazabilidad

22 Firma Electrónica Acto de voluntad Para confirmar este acto de voluntad, se vuelve a pedir el PIN24H y se realiza la firma en cliente mediante algoritmos de cálculo de huella digital. Se envían datos + firma a los sistemas de la AEAT para comprobar la validez de la firma.

23 Firma Electrónica Firma En la Firma el ciudadano vuelve a introducir: Código de Acceso = Clave de Acceso + PIN24H TOKEN-PIN24H= HASH((HASH(Clave de Acceso) + HASH(PIN24H)) FIRMAPIN24H = SHA-512(DATOS, TOKEN-PIN24H)

24 Firma Electrónica Acuse de recibo Si la firma es correcta, la aplicación deberá generar un acuse de recibo, firmado con CSV y catalogado, que devolverá al usuario. Catálogo CSV

25 Uso del PIN24H en la Agencia Tributaria Petición del PIN24H Autenticación Firma electrónica de usuarios autenticados Trazabilidad

26 Trazabilidad y no repudio Registro de la Actividad como garantía de NO REPUDIO El sistema PIN24H gestiona el no repudio de origen de las acciones del usuario asegurando la trazabilidad de todas las acciones del usuario e impidiendo cualquier posible manipulación posterior. La trazabilidad se establece a través de un LOG que permitirá determinar la actividad del ciudadano: Asociada a Censos, se registrará la progresión del usuario entre los distintos estados en que puede encontrase en el sistema: alta, baja, renuncia, revocación o modificaciones. Asociada al proceso de autenticación del usuario: solicitudes de PIN24H, móviles a los que se enviaron, horarios de conexión y PINes con los que realizó autenticaciones y firmas y direcciones IP asociadas, etc. Asociada a las acciones de consulta del usuario autenticado: para poder determinar si un contribuyente ha realizado determinada consulta, se deberá registrar cada consulta junto con los datos identificativos asociados al usuario y a la autenticación. Asociado a la firma: se deben registrar los datos que se firmaron, la fecha y hora y dirección IP, con qué TOKENPIN24H y datos de identificación asociados al usuario, etc. La información de este log debe permitir trazar la actividad de un usuario en el sistema.

27 Resumen Garantías PIN24H vs Certificado Electrónico Garantías de Seguridad PIN24H Certificado Electrónico Soporte Legal Diferente nivel probatorio en un juicio Registro Autenticidad Se realiza un Registro para uso del servicio que puede ser presencial o telemático Secreto Compartido donde una parte del secreto sólo la conoce en claro el ciudadano Se realiza un Registro para la obtención del certificado presencial. Clave privada siempre en posesión del ciudadano Confidencialidad Canales Seguros de Comunicación Canales Seguros de Comunicación Integridad y No repudio Se utilizan algoritmos de firma generados con el TOKEN-PIN24H compartido con el ciudadano. La firma se puede reproducir. Se utilizan algoritmos de firma generados con la clave privada en posesión del ciudadano. La firma se puede reproducir. Conservación de los datos y las firmas Auditabilidad Se incorpora la información presentada inmediatamente al Sistema de Información Cátálogo y se garantiza la inalterabilidad de los datos y las firmas realizadas. Hay que conservar esta información en el tiempo. Se debe poder trazar la actividad del ciudadano y almacenar los TOKEN- PIN24H activos y así garantizar el no repudio de origen. Hay que garantizar la conservación de los datos y las firmas realizadas. Como el certificado electrónico tiene caducidad es necesario gestionar la validez en el tiempo de estas firmas. Se debe poder trazar la actividad del ciudadano utilizando un determinado certificado electrónico a su nombre y así reforzar las garantías del no repudio de origen.

28 Uso del sistema por terceros Siguientes pasos

29 Uso del sistema por terceros Ofrecer nuevos servicios en la Sede Electrónica con el sistema PIN24H, de acuerdo al principio de proporcionalidad y a los criterios de los propietarios de los procedimientos y trámites que ofrece la Agencia Tributaria. Trabajar para que otros organismos puedan utilizar este sistema de identificación y autenticación para ofrecer servicios a los ciudadanos. Estamos trabajando con la Dirección General de Modernización Administrativa, Procedimientos e Impulso de la Administración Electrónica. Evolucionar el servicio PIN24H de acuerdo a nuevas necesidades o requisitos de seguridad que puedan surgir.

30 Conclusiones

31 U Usabilidad Seguridad y Usabilidad Gestión del Olvido Características PIN24H: Seguridad VISIO CORPORATION $ Usabilidad Sencillez desde el punto de vista del usuario Ampliar el tiempo de caducidad del PIN hasta 24 horas reduce el trasiego de SMS y el coste Doble factor + código acceso: La seguridad del sistema no se basa solo en la fortaleza y secreto del PIN. No hay que almacenar el PIN de forma permanente durante largo tiempo No hay que gestionar las credenciales del ciudadano: no hay revocación, cambio ni recuerdo 31

32 Medidas de seguridad 32

33 Fin