Infraestructura de Clave PúblicaP de la Generalitat Valenciana

Transcripción

1 Infraestructura de Clave PúblicaP de la Generalitat Valenciana Mayo de D.G. de Telecomunicaciones e Investigación Conselleria de Infraestructura y Transportes

2 Agenda Objetivos del proyecto Estado actual y evolución futura Estructura fisica y logica Emisión y gestión de certificados Servicios de Validación Interrelación con otros proyectos Puntos de Registro 2

3 Objetivos del proyecto Implantación de una Plataforma de Certificación Formación Soporte al desarrollo de aplicaciones sobre la PKI Definición y puesta en marcha de estructuras de soporte de la PKI Promoción y participación en proyectos de PKI 3

4 Estado actual y evolución futura Implantación de una Plataforma de Certificación Generadas rootca y CAGVA en julio de Resto de sistemas del núcleo de la PKI puestos en funcionamiento entre julio y octubre de Definición y desarrollo de sistemas propios para emisión, control y gestión de certificados. Otros servicios (OCSP, KAS, TSS, Servicios Web...) 4

5 Estado actual y evolución futura Formación Personal de proyecto Se favorece la obtención de certificaciones (CISA, CISM, etc) Personal de InfoCentre (agentes de CallCenter y responsables de microinformática) Equipos de desarrollo de otros departamentos Cursos sobre e-formación Dos cursos activos - Firma Digital I (Iniciación) - Firma Digital II (Conceptos avanzados) Formación presencial del IVAP Operadores de Punto de Registro de Usuario 5

6 Estado actual y evolución futura Soporte al desarrollo de aplicaciones sobre la PKI Desarrolladas APIs de recubrimiento 1ª Fase. Librerías propietarias (KeyTool). Obsoleta 2ª Fase. Paso a librerías GPL ( o similar). Terminada BouncyCastle Cryptlib (Acceso a las tarjetas)» Utilización de las librerías PKCS#11 de CL API IDEAS versión 3.6 (última versión Abril 2006) Soporte Java 1.3.X y Java 1.4.X En desarrollo soporte Java 1.5 Firma y cifrado de datos Gestión de sellos de tiempo Acceso a los servicios de validación Etc.. 6

7 Estado actual y evolución futura Soporte al desarrollo de aplicaciones sobre la PKI Soporte en todas las fases de desarrollo Utilización y soporte a nuevas herramientas Creación de canales de comunicación entre grupos de desarrollo 7

8 Estado actual y evolución futura Definición y puesta en marcha de estructuras de soporte de la PKI Decreto de firma (87/2002, de 30 de mayo) Asistencia en el desarrollo de otras normas Definición de CPS y CPs Definición de procedimientos para PRUs 8

9 Obtención de sellos de calidad WEBTrust Estado actual y evolución futura Sello orientado a la seguridad de los servicios de información Sello obtenido 1Q 2006 La ACCV se encuentra ahora en la 1ª revisión Adecuación a la LOPD Auditoria finalizada satisfactoriamente en noviembre 2005 Primera revisión en curso. ISO (BS-7799 UNE-71502) CWA Security Requirements for Trustworthy Systems Managing Certificates for Electronic Signatures - Part 1: System Security Requirements 9

10 Estado actual y evolución futura Promoción y participación en proyectos de PKI Listas de distribución Sitio web de proyecto Boletín ACCV-INFORMA Presentaciones del proyecto Ruedas de Prensa Artículos en revistas especializadas Colaboración con universidades Participación en concursos y conferencias Colaboración con otros proyectos de AGE Colaboración con otros Prestadores públicos y privados Más de 650 reuniones dentro y fuera de G.V

11 Estructura Fisica (CPD Primario) DMZ CA RootCA XRAO1 Test XRAO2 Servicios WEB1 Servicios WEB2 FW CA DMZ DB DMZ End User Access Balanceadores RA + ARM RA + ARM WEB1 WEB2 LDAP1+OCSP1+TSS1 LDAP2+OCSP2+TSS2 BBDD PR Gateway Oracle 11

12 Estructura lógica (I) Root CA OCSP LDAP X.509v3 CRL ACCV-CA2 ACCV-CA1 GVA CA KAS GVA1 RA ARM TSS Mail Browser VPN GW SRAO XRAO CRAO 12

13 root CA LDAP Estructura lógica (II) LDAP KAS CAGVA CorreoCV creación cuentas Tramitación y gestión distribuida en PRUs OCSP OCSP OCSP Responder WebServices WebServices SRAO XRAO BDD xrao TSS TSS Serv. Sellos de Tiempo Servicios web: validación firma y certificado generación n token registro 13

14 Tipos de certificados emitidos Emisión y gestión de certificados (I) Personales: emitidos exclusivamente a personas físicas Certificados reconocidos en soporte software Formato PKCS#12 Se entrega en un soporte de 3 ½ o en Token USB Funciona en cualquier plataforma (Windows, Linux, etc) Certificados reconocidos en dispositivo seguro Se entrega en tarjeta criptografica Controladores con soporte CSP y PKCS#11 Soporte para Windows y Linux 14

15 Emisión y gestión de certificados (II) Tipos de certificados emitidos Certificados de Entidad: Emitidos para entidades con o sin personalidad jurídica Certificados reconocidos en dispositivo seguro de creación de firma. Se entregan en tarjeta criptografica Controladores con soporte CSP y PKCS#11 El solicitante debe acreditar sus poderes de representación mediante un proceso de bastanteo. 15

16 Emisión y gestión de certificados (III) Tipos de certificados emitidos Servidores con soporte SSL Identifica al servidor, para un servicio dado (http, ldap). Servidores de VPN Permite gestionar al servidor perfiles de usuario con certificado Firma de código Realiza la firma de código (java, ActiveX) Firma de aplicaciones Habilita la firma en procesos no interactivos 16

17 Emisión y gestión de certificados (IV) Tipos de certificados emitidos Certificados de inicio de sesion en Windows Identifica al usuario frente a un dominio de windows Deben seguir el formato de Microsoft campo UPN (usuario@dominio) Solo se emiten en tarjeta Certificados de Controlador de dominio Permiten a un controlador de dominio autenticar a usuarios de un dominio Deben seguir el formato de Microsoft Campo GUID del controlador Nombre DNS del contralador 17

18 Emisión y gestión de certificados (V) Perfil de los certificados personales (Dispositivo seguro de creación de firma) Emitidos como certificados reconocidos según Ley-59/2003 Certificado para firma Número de serie: 3CE15119 Em isor: CA GVA Asunto: Se rial Numbe r= x,g=anto NIO,SN=PER EZ PER EZ CN= ANTO NIO PEREZ PEREZ NIF: X OU=C iudadanos,o =Ge ne ralitat Vale nciana,c =ES Válido desde: 20/05/ :55:54 Válido hasta: 19/05/ :55:54 OID= C lave Pública (1024 bits): fffffffffffffffffffffffffffffffffff Usos de la Clave: Firma Digital certificados cualificados según RFC 3739 (Marzo 2004) Certificado para cifrado Número de serie: 3CE15F1A Em isor: CA GVA Asunto: Se rial Numbe r= x,g=anto NIO,SN=PER EZ PER EZ CN= ANTO NIO PEREZ PEREZ NIF: X OU=C iudadanos,o =Ge ne ralitat Vale nciana,c =ES Válido desde: 20/05/ :56:04 Válido hasta: 19/05/ :56:04 OID= C lave Pública (1024 bits): ccccccccccccccccccccccc Usos de la Clave: Cifrado de clave, Cifrado de datos 18

19 Emisión y gestión de certificados (VI) Perfil de los certificados personales (perfil software) Emitidos como certificados reconocidos según Ley-59/2003 Certificado para firma Número de serie: 3CE15119 Em isor: CA GVA Asunto: Se rial Numbe r= x,g=anto NIO,SN=PER EZ PER EZ CN= ANTO NIO PEREZ PEREZ NIF: X OU=C iudadanos,o =Ge ne ralitat Vale nciana,c =ES Válido desde: 20/05/ :55:54 Válido hasta: 19/05/ :55:54 OID= C lave Pública (1024 bits): fffffffffffffffffffffffffffffffffff Usos de la Clave: Firma Digital certificados cualificados según RFC 3739 (Marzo 2004 Certificado para cifrado Número de serie: 3CE15F1A Em isor: CA GVA Asunto: Se rial Numbe r= x,g=anto NIO,SN=PER EZ PER EZ CN= ANTO NIO PEREZ PEREZ NIF: X OU=C iudadanos,o =Ge ne ralitat Vale nciana,c =ES Válido desde: 20/05/ :56:04 Válido hasta: 19/05/ :56:04 OID= C lave Pública (1024 bits): ccccccccccccccccccccccc Usos de la Clave: Cifrado de clave, Cifrado de datos 19

20 Perfil de los certificados personales Emisión y gestión de certificados (VII) Certifican el vínculo entre una identidad y una clave pública No contienen atributos dependientes de aplicaciones Simplicidad en procesos de registro, que se limitan a la comprobación de la identidad del solicitante Reusabilidad entre aplicaciones y reducción de costes de despliegue Posibilitan el Archivado de Claves de Cifrado, respetando la legislación 20

21 Emisión y gestión de certificados (VIII) Perfil de los certificados de entidad (Dispositivo seguro de creación de firma) Emitidos como certificados reconocidos según Ley-59/2003 certificados cualificados según RFC 3739 (Marzo 2004) Certificado con usos de firma y cifrado Núme ro de se rie: a ab a6 f9 Em iso r: ACC V-C A1 Asunto: Se rial Numbe r=s h,g=anto NIO,SN=PER EZ PER EZ, = X, C N= EMPR ESA S.A. OU=Entidade s,o =Gene ralitat Vale nciana,c =ES Válido desde: 20/05/ :55:54 Válido hasta: 19/05/ :55:54 OID= C lave Pública (1024 bits): fffffffffffffffffffffffffffffffffff Usos de la Clave: Firma Digital, Cifrado de claves, Cifrado de datos 21

22 Emisión y gestión de certificados (VIII) Tasa para kits criptograficos Preferencia de soporte en tarjeta No se encuentra como informatica de consumo Es necesario habilitar un mecanismo para su adquisición sin: Cargar los gastos a la ACCV Depender de los circuitos habituales de suministros Solución: El usuario decide Tarjeta Paga la tasa por el hardware Software Gratuito Para entidades: Siempre en tarjeta 22

23 Emisión y gestión de cerificados (IX) Tasa para kits criptograficos Se añaden por ley de acompañamiento a la ley 16/2003, de 17 de diciembre, las siguientes tasas: Kit criptografico (tarjeta + lector USB): 43,70 Tarjeta: 22,90 Lector USB: 18,73 Se solicita por Internet, pagandose en entidades financiaras colaboradoras y se recoge en el PRU de elección del usuario 23

24 Servicios de Validación(I) Mecanismos proporcionados por la PKI Estado del certificado OCSP SCVP CRL Sellos de Tiempo Servicios Web de validación Punto de contacto entre Aplicaciones e Infraestructura 24

25 Servicios de Validación (II) OCSP Online Certificate Status Protocol RFC-2560 Encapsulado sobre protocolos ya existentes. HTTP SMTP LDAP Rapido, eficiente y ligero Sustituto natural de la consulta por CRL Devuelve el estado: Revoked, Good, Unknown 25

26 Servicios de Validación (III) SCVP Server-based Certificate Validation Protocol En Draft de enero 2007 (caduca en 6 meses) Proporciona mas información que OCSP Construye la cadena de certificación Estado del certificado Estado de la cadena de certificación La petición es configurable El cliente le dice al servidor lo que necesita Descarga la validación en el servidor 26

27 Servicios de Validación (IV) CRL Certificate Revocation List RFC-3280 (RFC-4325 y RFC-4630) Es el metodo mas simple Solo proporciona un almacén firmado de: Números de serie de certificados Fechas Motivos de revocación Define un algoritmo para la comprobación 27

28 Servicios de Validación (V) CRL Los clientes realizan todo el proceso: Descarga Comprobación de la firma de la CRL Recorrido por los números de serie Obtención de los datos Los certificados incluyen la posición de la CRL Extensión CDP (CRL Distibution Point ) LDAP URI, HTTP URI, etc 28

29 Sellos de Tiempo Conjunto de especificaciones: Servicios de Validación (VI) TSP (Time Stamp Protocol) RFC-3161 TSA (Time Stamping Authority) TSU (Time-Stamp Unit) Garantiza la existencia de un dato en un tiempo Garantiza el No Repudio TSA se encarga de firmar el Token junto con la fecha. 29

30 Servicios de Validación (VII) Sellos de Tiempo TSP define la comunicación Utilizando Especifica la codificación ASN1 Protocolo basado en fichero Protocolo basado en Sockets Utiliza puerto 318 Define la estructura del paquete TCP Utilizando HTTP Define tipos de contenido especifico» Content-Type: application/timestamp-query» Content-Type: application/timestamp-reply» Content-Type: application/timestamp-response 30

31 Servicios de Validación (VIII) La Infraestructura PKI de la GVA Ofrece un conjunto replicado de servidores OCSP ocsp.pki.gva.es Mantiene la CRL actualizada en: HTTP LDAP Ofrece Servicios de Sellado de Tiempo sobre HTTP (implementación de OpenTSA) tss.pki.gva.es Puerto

32 Servicios de Validación (IX) Servicio web de validación Desarrollo propio Tomcat (Contenedor Servlets, proyecto Apache Jakarta) Axis (Servidor SOAP, proyecto Apache XML ) BouncyCastle (librerías criptograficas) Servicios actuales 25 metodos agrupados en tres categorias Manejo de certificados Manejo de sellos de tiempo y tokens de validación Comprobación de firmas Ampliaciones en curso Compatibilidad XAdES 32

33 Servicios web de validación Motivación Servicios de validación (X) Facilitar el desarrollo de aplicaciones con soporte de varios PSC El SW se ocupa de obtener los datos de los distintos perfiles Implementar sistemas para verificaciones a largo plazo Estandar ETSI TS RFC 3126 El token incluye:» Firma original» Sello de tiempo» Token OCSP La Autoridad de validación firma el token como TTP 33

34 Servicios de Validación (XI) Servicio web de validación Objetivo: Clientes que soporten firma sin código criptográfico Toda la carga en el servidor Balanceo Tolerancia a fallos Ventajas: Control sobre el producto y la seguridad asociada Basado en herramientas gratuitas 34

35 Interrelación con otros proyectos (I) La función de la PKI es dar servicio TTP Proporcionar las herramientas para que los proyectos: Desarrollen servicios Hagan seguras aplicaciones Implementen la logística Formen a sus usuarios 35

36 Interrelación con otros proyectos (II) E-Formación Servicio de e-learning Complemento de los cursos tradicionales Implementa: Autenticación de usuarios con certificado Firma de los ejercicios Firma de los resultados Garantiza autenticidad y no repudio Cursos igualmente valorados 36

37 Interrelación con otros proyectos (III) Servicios interactivos del SERVEF Puestos a disposición de sus usuarios para: Consulta de Curriculum Modificación de los datos personales y académicos Envio de ofertas personalizadas Renovación de la demanda de empleo TODOS LOS SERVICIOS Utiliza: Certificados para autenticar a sus usuarios Firma electrónica de las modificaciones Objetivo: Realizar de forma no presencial todos sus tramites (Cumplido) 37

38 Interrelación con otros proyectos (IV) Mastin Registro telemático de expedientes Todos los tramites administrativos se registran Utiliza: Firma electrónica de los documentos Certificado para seguimiento del estado de los expedientes Garantiza la integridad, autenticidad y no repudio 38

39 Interrelación con otros proyectos (V) CorreoCV Correo del ciudadano Asigna una cuenta de correo gratuita a los ciudadanos Formaliza la relación telemática entre el ciudadano y la administración Utiliza: Firma digital y cifrado Vincula el certificado con la dirección CV Garantiza autenticidad, confidencialidad y no repudio 39

40 Interrelación con otros proyectos (VII) Abucasis II Proyecto de la Conselleria de Sanidad Ámbitos: Acceso a los expedientes médicos Receta electrónica Datos de nivel 3 (LOPD) Solo se acepta dispositivo seguro (tarjeta) Criticidad de los servicios y tiempos de respuesta 40

41 Interrelación con otros proyectos (VIII) Generalitat en RED Macroproyecto de e-administración Crea las infraestructuras para facilitar el paso de procedimientos a la red Pasarela de pagos Registro telemático Notificación electrónica Modulo de firma Se basa en los servicios web Crea un API diseñado específicamente para tramitación electronica 41

42 Interrelación con otros proyectos (IX) Otros proyectos Envios al DOGV ( Diario Oficial de la Generalitat ) Gestión de las Oficinas Liquidadoras ( Hacienda ) CAVI Catarroja Ayuntamiento Virtual Carnet JOVE Envio de la información del IVAJ a las entidades bancarias Mas proyectos:

43 Interrelación con otros proyectos (X) A.E.A.T Desde enero de 2004, los certificados de persona física emitidos por la ACCV son validos para operar con la AEAT Es el primer PSC que lo consigue, además de la FNMT Catastro Acceso a la oficina virtual del catastro Tesorería de la Seguridad Social Acceso completo a la oficina virtual (consulta de la vida laboral, etc..) Lexnet Tramitación de informes jurídicos a nivel nacional (Ministerio de Justicia y TSJ) Fomento Acceso a la oficina virtual. 43

44 Interrelación con otros proyectos (XI) Proyecto CLAUER Iniciativa de la UJI Se han repartido certificados Profesores Alumnos Personal administrativo La UJI suministra un dispositivo de memoria (Pen- Drive) con un CSP de desarrollo propio Duración de la 1º emisión Abril-Junio 2005 Todos los procesos internos con acceso con certificado 44

45 Puntos de Registro (I) Difusión de los certificados Descentralización de los tramites Desarrollo propio: XRAO Apoyo logístico 45

46 Difusión de los certificados Enfoques: Puntos de Registro (II) Realizar aplicaciones que utilicen los certificados Ideal Emitir certificados para que se desarrollen aplicaciones Realista Fomentar el primero facilitando el segundo Objetivo: Conseguir el mayor impacto posible 46

47 Puntos de Registro (III) Descentralización de los tramites Necesaria presencia física solicitante Objetivo: Facilitar al usuario la recogida del certificado Realizar desde la petición a la recogida en un paso Convenios con Administraciones Locales (42 Convenios) Catarroja Valencia Alicante Villena..etc 149 puntos de registro públicos en toda la comunidad y creciendo 82 puntos de registro para personal de la Administración 47

48 Puntos de Registro (IV) Descentralización de los tramites Convenios con otros PSC Se consigue reconocimiento mutuo Realizados: Camerfirma Firma Profesional ACA (Autoridad de Certificación de la Abogacía) ANCERT (Agencia de Certificación del Notariado) DNI-e. Se validan los certificados del nuevo DNI (convenio MAP) Convenios con entidades (publicas) Se consigue sinergia Se difunden los certificados Sus usuarios no tienen que ir a otro PRU SUMA Colegio Oficial de Ing. Telecomunicación de la C. Valenciana Colegio Oficial de Ing. en Informática de la C. valenciana etc

49 Puntos de Registro (V) Desarrollo propio XRAO Aplicación web Desarrollada en Java (JSP), sobre Tomcat Utiliza IDEAS como librería criptográfica Instalación mínima en cliente Informes ActiveX impresión de documentos JARS de la aplicación Soporte hardware (tarjeta-lector) Autenticación basada en certificado sobre dispositivo seguro 49

50 Puntos de registro (VI) Desarrollo propio XRAO Realiza todos los tramites: Recoge los datos Envía la petición Recoge el cerificado Imprime el contrato Imprime el PIN ( sobre ciego o en el propio contrato ) Imprime el soporte Genera el soporte (tarjeta o software) Revocación, suspensión y activación de certificados Cancelación de datos 50

51 Punto de Registro (VII) Apoyo logístico Instalación y mantenimiento de la aplicación Cesión de equipamiento (si necesario) Formación de operadores Uso de la aplicación Deben firmar contratos de responsabilidad 51

52 Contactos: direcciones y teléfonos soporte@pki.gva.es José Antonio Amador Tel Fax jamador@accv.es 52