Junta de Comunidades de Castilla-La Mancha. Firma electrónica sin certificados

Transcripción

1 Junta de Comunidades de Castilla-La Mancha Firma electrónica sin certificados

2 La Junta de Comunidades de Castilla-La Mancha, como otras administraciones públicas españolas, está realizando un importante esfuerzo para implantar un modelo de E-Administración. Los objetivos son: acercarnos al ciudadano, facilitarle su relación con la administración, ser más eficientes y más eficientes...

3 Como fruto de ese esfuerzo se han implantado un conjunto de servicios y trámites que el ciudadano puede realizar de forma telemática. Pero

4 El uso de dichos servicios está muy por debajo de lo que sería deseable. Desde nuestro punto de vista hay una barrera que limita la utilización de dichos servicios.

5 La utilización de firma electrónica avanzada ha demostrados ser una opción muy compleja para el ciudadano medio. Los problemas son conocidos por todos: Problemas con los módulos criptográficos para los certificados instalados en tarjetas Dificultad para configurar el equipo que se utiliza para firmar Etc., etc

6 Cuando el ciudadano intenta realizar una firma puede que todo vaya bien, pero en caso contrario le ayudamos a configurar su equipo. Cómo le ayudamos? Con información correcta y adecuada

7 1) Revise si la configuración de su equipo es compatible con el cliente de firma

8

9

10

11

12

13 2) Si, a pesar de todo, la firma sigue fallando; el ciudadano puede leer la lista de problemas comunes, con instrucciones para solucionarlos

14

15 Etc., etc., etc

16 Si queremos que se desarrolle la E-Administración debemos facilitar la vida al ciudadano, no complicársela.

17 Nuestros usuarios han leído la Ley 11/2007

18 Artículo 16. Utilización de otros sistemas de firma electrónica. 1. Las Administraciones Públicas podrán determinar, teniendo en cuenta los datos e intereses afectados, y siempre de forma justificada, los supuestos y condiciones de utilización por los ciudadanos de otros sistemas de firma electrónica, tales como claves concertadas en un registro previo, aportación de información conocida por ambas partes u otros sistemas no criptográficos.

19 Artículo 18. Sistemas de firma electrónica para la actuación administrativa automatizada. 1. ( ) cada Administración Pública podrá determinar los supuestos de utilización de los siguientes sistemas de firma electrónica: b) Código seguro de verificación vinculado a la Administración Pública, órgano o entidad y, en su caso, a la persona firmante del documento, permitiéndose en todo caso la comprobación de la integridad del documento mediante el acceso a la sede electrónica correspondiente.

20 Hemos sido requeridos para desarrollar mecanismos de firma alternativos a los certificados electrónicos. 1) Para que la actuación de la administración sea más ágil 2) Para que el ciudadano no tenga que enfrentarse a la complejidad de los certificados El objetivo es incrementar la implantación de la E- Administración

21 La firma de documentos por parte de la Administración se ha solucionado mediante la implantación de firma con códigos seguros de verificación (CSV). El sistema está en producción desde febrero de 2013 con una alta satisfacción por parte de los usuarios.

22 La Inspección General de los Servicios nos ha solicitado la creación de un sistema de firma para el ciudadano mediante claves concertadas, tal y como contempla la Ley 11/2007.

23 Experiencias en otras Administraciones Públicas: Agencia Estatal de Administración Tributaria (Resolución de 17 de noviembre de 2011). Ministerio de Cultura (Orden CUL/1132/2011, de 28 de abril). Dirección General del Catastro (Orden EHA/2219/2010, de 29 de julio).

24 Nuestra referencia Agencia Estatal de Administración Tributaria (Resolución de 17 de noviembre de 2011, de la Presidencia de la Agencia Estatal de Administración Tributaria, por la que se aprueban sistemas para la identificación y autenticación distintos de la firma electrónica avanzada para relacionarse electrónicamente con la Agencia Estatal de Administración Tributaria). Contempla tres tipos de firma: 1) Con clave o número de referencia 2) Con información conocida por ambas partes 3) Con clave de acceso en un registro previo como usuario

25 El sistema se ha diseñado teniendo como base: CCN-STIC 804: Esquema Nacional de Seguridad, guía de implantación

26 Diferencia los conceptos contraseña y clave concertada Clave concertada: Se entienden por claves concertadas códigos generados previa identificación y autenticación del ciudadano por otros medios. Jurídicamente, el ciudadano expresa su voluntad de utilizar este mecanismo en el proceso de solicitud. Las claves concertadas deberán garantizar que el usuario no puede ser suplantado, ni por otro usuario, ni por la propia Administración.

27 Algunos requisitos de las claves concertadas: Ser razonablemente robustas frente a ataques de adivinación Ser razonablemente robustas frente a ataques de diccionario Ser razonablemente robustas frente a ataques de fuerza bruta Seguir un procedimiento de generación que garantice la autenticidad del ciudadano Seguir un procedimiento de comunicación al interesado que garantice que llega a la persona correcta Disponer de un procedimiento de comunicación de pérdida o robo que suspenda inmediatamente la operatividad de la clave Disponer de procedimientos de custodia de los datos de firma y verificación de la firma durante el periodo de validez de la información firmada

28 Características de las claves concertadas: Deben estar formadas por, al menos, 8 caracteres alfanuméricos para claves con una validez máxima de un año Por otra parte, en la guía CCN-STIC-807 (Criptografía de empleo en el Esquema Nacional de Seguridad), se define clave concertada como una ristra de bits que no hay forma de memorizar ( ) se permitirán aquellas que estén formadas por, al menos, 8 caracteres alfanuméricos A fin de garantizar la robustez, la Administración deberá recurrir a generadores aleatorios que proporcionen suficiente entropía (que hayan tantas claves posibles que sea imposible probarlas todas una por una)

29 Procedimiento de cara al ciudadano Se debe verificar la identidad del ciudadano y éste debe expresar de un modo jurídicamente válido su intención de utilizar el sistema El procedimiento de distribución debe garantizar que sólo se le facilita al titular legítimo, por ejemplo, por doble canal Debe existir un procedimiento que suspenda de forma inmediata la validez de la clave

30 Proceso de firma No podrá considerarse como firma electrónica avanzada, sólo como firma electrónica. Se almacenará como evidencia el HMAC(documento + clave) El ciudadano deberá introducir la clave de forma expresa para la firma de cada documento

31 Nuestra solución: El ciudadano Rellenará un formulario web de pre-solicitud Acudirá a una Oficina de Información y Registro, un funcionario verificará su identidad y el ciudadano tendrá que firmar un documento de aceptación de condiciones Se generará de forma automática una clave aleatoria de 8 caracteres, el ciudadano no podrá decidir su propia clave Se le enviará la clave dividida en dos partes, una parte se envía por SMS y la otra por correo electrónico, de esta forma se evita que el funcionario pueda ver la clave y se dificulta su interceptación El ciudadano podrá repudiar su clave de forma inmediata, si la ha olvidado deberá responder a una pregunta de control establecida de forma previa por el mismo

32 Nuestra solución: La firma Se mostrará al ciudadano el documento a firmar Se le solicitará cuatro posiciones aleatorias de la clave, de esta forma se evita que un sistema tramitador pueda interceptar la clave en su totalidad Se generará un código seguro de verificación (CSV) Con el CSV más el documento se generará un nuevo documento (acuse de recibo) que estará formado por los datos firmados por el ciudadano más el CSV; éste es el documento que se considerará probatorio de la transacción y estará accesible en la sede electrónica, como cualquier otro documento firmado con un CSV. Se generará una huella digital mediante una función criptográfica HMAC-SHA-256, que se almacenará como metadato del documento

33 Nuestra solución: Límites Sólo se admitirá la firma mediante claves concertadas para los sistemas de información y procedimientos administrativos que puedan catalogarse como nivel de seguridad bajo. Sólo se admitirá para personas físicas

34 Nuestra solución: La normativa La Inspección General de los Servicios redactará un publicará la norma que de cobertura legal al procedimiento de firma y que detalle: Los procedimientos de obtención de claves Características de las claves Condiciones de uso Mecanismos de repudio Etc.

35 La firma mediante claves concertadas es la solución para la implantación y extensión de la E-Administración?

36 No

37 Esta solución no es comparable a los mecanismos de firma avanzada / reconocida Se puede garantizar la integridad del documento y la identidad del ciudadano, pero no el no-repudio La seguridad en las transacciones debe tender a formatos de firma longevos (AdES-T, AdES-C, AdES-X, AdES-XL y AdES-A)

38 Nuestra opinión es que debemos considerar estos sistemas como una transición que facilite al ciudadano su relación con la Administración Pública hasta que la tecnología de firma con certificados nos permita superar los problemas conocidos.

39 Muchas gracias por su atención