CONSOLIDADO COMENTARIOS FORO ALADI

Transcripción

1 CONSOLIDADO COMENTARIOS FORO ALADI PROPUESTA CHILE PROPUESTA ARGENTINA PROPUESTA BRASIL COMENTARIOS ALADI VALIDACION DE COD Si el repositorio Aladi verificase (contra las respectivas CA) todos los días la vigencia Queremos recordar al grupo que en la propuesta argentina enviada al foro el 20 de Almacenar las firmas electrónicas y manuales de Más interesante considero la opción de los C.O.en una base central de la ALADI de los certificados digitales reconocidos, se febrero recomendamos un esquema de simplificaría la labor de validación pues no validación de CODs a través de un servicio sería necesario consultar las CRL originales OCSP (online certificate status protocol) que residirá en ALADI. Si bien este sistema de validación se puede utilizar para delegar la comprobación de validez de los certificados de identidad digitales (CIDs) y automatizar esta consulta delegada sobre las autoridades certificantes, se puede adaptar para realizar la validez del COD como conjunto que incluye al CID con el que se firmó digitalmente el documento.sin embargo, entendemos que ALADI debería expedirse acerca de cual será el rol técnico que desempeñará en este proyecto y en consecuencia señalar el mecanismo de validación y de eventual almacenamiento de certificados digitales (CID) que llevarán a la práctica localmente según lo que ellos han planificado. ofrecer un pequeño software para la verificación de los COD, que se pueda descargar libremente desde el servidor de la ALADI y que todos los actores puedan usar sin costo alguno para verificar la autenticidad e integridad de los COD

2 En mi opinión la validez del CD de la persona que firma el COD ha de darla siempre Aladi y no la AC. En cuanto Aladi Entendemos que se acepta la propuesta de un mecanismo de validación de Certificados Digitales centralizado en ALADI, según lo La conferencia de la validad del certificado digital (y la signatura digital en el COD) será efectuada contra el repositorio seguro de Les recuerdo que en el proceso de validación de los COD se deberá tener en cuenta el factor tiempo. Un CD puede haber expirado o sería mas restrictivo que la AC. En Aladi mencionado "Por lo que pienso que un sistema certificados de la ALADI, no sendo necesaria (es puede estar incluido en una CRL en el podría encontrarse un simple archivo o DB de consultas cruzadas, redireccionadas a través opcional) la conferencia junto a la Autoridad momento de validación de un COD, sin donde se encontrara algún dato del servidor-aladi a las respectivas AC, es Certificadora que, en un dato país emitió el embargo en el momento de emisión del identificativo del certificado, el nombre de la perfectamente viable y aceptable por todas las Certificado, COD, el FH estaba debidamente habilitado persona, institución autorizada, pais, inicio de validez y final de validez. partes".y lo confirmado posteriormente por él mismo en su comentario del para firmarlo. Con ésto quiero recordar, que en el proceso de validación del COD se deberá consultar un registro histórico que deberán guardar las EH y que se deberá consultar en el caso de que un CD haya expirado o esté en una CRL. También se podría utilizar "time stamping", pero me gustaría escuchar a los expertos. Con respecto al ejemplo de proceso de validación de los CD, y para garantizar una comprensión cabal de lo expuesto, agradeceríamos una ampliación del mismo detallado los niveles de verificación de CD (Certificado digital) y COD (Certificado de Origen Digital) por separado. Finalmente, quanto ao software que - nas aduanas - vai autenticar los COD, los mismos son relativamente simples, e cada pais pode desarollar-los, o utilizar uno que esteja listo. En Brasil estamos desarollando una aplicacion em software libre, que sera demonstrada em mayo, e que estara a disposicion de los interessados. Soy de la opinión de que la primera opción de la Propuesta Argentina (10/03/06) sobre validación de los COD (punto p.22), aquella que se refería al "upload" al servidor- ALADI del COD, no sea implementada. Creo que la segunda, la de tener un software para verificar el COD, me pareció más atractiva. A lo cual añadí que sería, incluso, muy interesante tener "un directorio en el sitio web donde se puedan colocar varias aplicaciones, no una, sino varias, que presenten los países y puedan ser usadas para verificar los COD, con independencia del país que emita los COD a verificar".

3 Compartimos lo comentado en el primer párrafo Gostariamos tambiem de discutir con todos los No creo que sea aconsejable hacer un de su mensaje, en cuanto a que quienes participantes que la verificacion - por Aladi - del "upload" del COD al servidor-aladi para su necesiten verificar la firma de un COD consulten COD nos es necessaria, ni conveniente, porque verificación, porque le estaría traspasando la a ALADI respecto a la validez de los CD, siempre y cuando ALADI pueda garantizar mediante consulta en línea con la AC emisora del certificado digital del firmante habilitado, su estado de validez (ver punto 1. Consulta y Validación del CD, en este documento) no agregaria valor al processo, e no hace parte de sus atribuiciones. responsabilidad que hoy le corresponde a las aduanas y no a la ALADI. Además, este proceso supondría un aumento de la demanda de recursos de cómputo (procesamiento) de la aplicación que se estaría ejecutando en el servidor-aladi, pues ya no solo tendría que realizar las verificaciones correspondientes de los CD, sino que también tendría que ocuparse de la autenticidad e integridad del COD. La Secretaría General de la ALADI implementará el sistema informático que sea necesario de acuerdo a los requerimientos técnicos y operativos que los expertos que participan en este GT consideren sean necesarios para garantizar la estabilidad (24x7) y credibilidad del sistema de validación y de consultas de los CID, con independencia de la complejidad del mismo.

4 El ejemplo que propuse fue para ilustrar el proceso de validación temporal de un COD, pensado en el caso de que el CID del FH hubiera expirado. Por supuesto que un CID es un documento cuya validez es finita, predecible y autocontenida, por sus fechas de emisión y expiración, pero ésto no determina la invalidez "per se" de un COD que se quiera validar y que haya sido firmado por el portador del respectivo CID. El modelo sintetizaba lo siguiente: - se recibiría en ALADI la solicitud de verificar un CID; - el servidor-aladi redireccionaría la consulta a la respectiva AC que lo emitiera, para verificar que no estuviera en una CRL; - si fuera válido (o sea, no estuviera en la CRL), se devolvería al solicitante de la verificación, el OK de confirmación, a través del servidor- ALADI. - en caso que estuviera en la CRL, se verificaría, en un registro "histórico" (en el propio servidor-aladi o en el de la EH), si el COD fue firmado por el FH, cuyo CID se pretende verificar, para lo cual se deben considerar las fechas de emisión del COD y Lo siento, pero sigo insistiendo en que la validez del CD ha de pasar necesariamente por Aladi y no solo por la AC. Con relación a la extinción del CD o su plazo de validez, entendemos que no es necesario que las EH comuniquen a ALADI la fecha de extinción, ya que esa información se encuentra contenida en el mismo CD y si estuviera revocado, se evidenciaría en la consulta de ALADI a la Autoridad Certificante emisora. 4) Finalmente, quanto ao software que - nas aduanas - vai autenticar los COD, los mismos son relativamente simples, e cada pais pode desarollar-los, o utilizar uno que esteja listo. En Brasil estamos desarollando una aplicacion em software libre, que sera demonstrada em mayo, e que estara a disposicion de los interessados. Releyendo de nuevo la sección de la propuesta argentina, y a la luz de los últimos comentarios, creo que se debería implemantar en el servidor-aladi un sistema de verificación anidada, a partir del CID corriente, cuyos elementos sean los que se proponen en el gráfico de la p. 23. Esto, por supuesto, presupone que se deban almacenar no solo los CID vigentes, sino los que lo estuvieron antes, de acuerdo al tiempo que decidan las partes mantenerlos, según los acuerdos signados.

5 De otra forma tendremos que exigir que los CD de firma sean exclusivos para este fin, cosa que nos complicaría en extremo si hay mas de un acuerdo que trabaje con COD pues sería necesario disponer de un CD para cada uno de ellos. El principal basamento es que los CID que se usarán en este proyecto, independientemente de que el FH lo utilice para otros menesteres, será validado a partir de su incorporación al Directorio Seguro en el servidor-aladi. Algo de lo que, por cierto, se harán responsables las AH de cada país. Por supuesto, las fechas de incorporación/habilitación y de exclusión/deshabilitación del CID deberán registrarse debidamente en el servidor- ALADI, pues serán los detalles que, junto a las fechas de emisión y expiración del CID, se utilizarán en el proceso de validación del COD. Es, sin lugar a dudas, una de mis principales preocupaciones en este foro, la de manejar las fechas debidamente y evitar "huecos" en el proceso de validación, por éso he sido reiterativo con este tema. Entiendo que un CID puede caducar por dos razones: por su fecha de expiración o porque el FH dejó de serlo. Pongamos, por ejemplo, la situación de una persona en una oficina de emisión de COD, esta persona también firma facturas electrónicas de la misma oficina y accede a las notas de su hijo a través e página web y en los tres casos utiliza el mismo CD. Si deja de estar autorizada para firmar COD pero sigue trabajando en contabilidad podríamos excluirla de capacidad de firma en ALADI (COD) pero su certificado sigue siendo válido para los demás usos. En este último caso, será responsabilidad de la EH de comunicárselo a la AH para que ésta, a su vez, lo registre en el servidor- ALADI. Resumiendo: un CID se incorpora en el Directorio Seguro de la ALADI, y mientras permanezca en él, será considerado válido para la verificación de un COD, mientras no haya expirado. Una vez que expire o sea deshabilitado por la AH, deberá incorporarse a una base de datos de consulta/referencia que estará disponible en el servidor-aladi, y que será utilizada para las validaciones de COD correspondientes a fechas anteriores.

6 En definitiva, si exigimos que el uso del CD Más interesante considero la opción de sea exclusivo para la firma del COD-ALADI ofrecer un pequeño software para la podremos comprobar su validez solo con la verificación de los COD, que se pueda consulta al la CRL de la respectiva AC, en descargar libremente desde el servidor de la caso contrario debe ser ALADI quien me ALADI y que todos los actores puedan usar diga si admite o no ese CD aunque no haya sin costo alguno para verificar la autenticidad sido revocado ante la AC. e integridad de los COD. Pienso más, creo que manteniendo la neutralidad que le corresponde a la ALADI, se debería crear un directorio en el sitio web donde se puedan colocar varias aplicaciones, no una, sino varias, que presenten los países y puedan ser usadas para verificar los COD, con independencia del país que emita los COD a verificar. Por supuesto, todas estas aplicaciones deberán cumplir con determinados requisitos técnicos y de seguridad y deberán ser testeadas por un comité independiente que se instale para la ocasión. Creo que de esta forma se le estará ofreciendo la oportunidad de participación (con todo lo que implica en términos de imagen, publicidad, revalorización, etc) a todas las compañias y grupos desarrolladores de software. RECEPCION DE CERTIFICADOS DE ORIGEN

7 Me parece muy buena idea que al emitir un En base a lo expuesto entendemos que sería El esquema propuesto para la circulación y certificado de origen, cada entidad conveniente, al menos en la etapa de la prueba utilización de los CODs seria: el mismo ser certificadora envíe los datos a la aduana de piloto, mantener el esquema de envío del COD enviado por la Entidad Habilitada para un sitio destino. De esta forma cada aduana tiene por parte del exportador del país origen al central en el país de destino, en el cual las la posibilidad de adaptar el sistema según importador del país destino y la presentación a aduanas procurarían el COD para su los programas que ya tenga instalados. En la Aduana de Destino por parte del Importador fiscalización normal. Como el archivo (COD en cualquier caso, además de la verificación (Lazos 4 y 7 en el "Gráfico 3 - Proceso Digital - XML) será procurado por las aduanas en un interna de las aduanas, se debería Operatoria" de la página 13 del Documento directorio de este sitio, debe haber un medio considerar la consulta directa a través de "Propuesta Argentina (10/03/06), (archivo propar-cod pdf) simple y rápido de localizarlo en aquel directorio internet al emisor del certificado. Este disponible en la sección (incluso para no dejar los carros esperando). sistema de respaldo permitiría, a las Download del sitio ALADI Una forma seria por lo nombre de lo archivo, que aduanas que no tengan todavía un sistema debería entonces seguir el siguiente interno de consulta, aceptar una impresión formato:país-entidad Habilitada-Numero de la cualquiera de los certificados electrónicos Factura Comercial-Numero del Certificado de de origen y verificar su validez. Origen-campo adicional.xml", por ejemplo: "BR- FIESP-0987A67-AHT569-h78y xml". OBS: el campo adicional (que seria del conocimiento del conductor del carro) pretende tan solamente evitar ambigüedades, y agilizar la búsqueda del archivo por lo inspector. Puede ser fortuito, o tipo hash, y no necesita ser estandardizado en la ALADI o en el país. Lo importante es que todos los certificados contengan, por lo menos, las siguientes informaciones: País Emisor; Nombre del Titular; Nombre de la Entidad Competente a la cual el titular vinculase. Tales informaciones podrían estar en campos distintos, según el país. Entendimos que esto no afectará los sistemas que cada país utilizará para cotejar la validad del Certificado de Origen Digital (COD), solamente necesitando programarlos para un análisis distinto, según el país emisor del certificado. ASPECTOS A CONTEMPLAR EN LOS CERTIFICADOS DIGITALES

8 yo tampoco veo conveniente que cada certificado emitido termine en un repositorio de Aladi, mas bien creo que deben estar en los servidores de cada entidad emisora o -al máximo- uno centralizado por cada país. El COD debería contener un campo indicante la URL desde donde se podría consultar el certificado o descargarlo para verificar su integridad. ALMACENAMIENTO DE COD La decisión sobre el alcance de este PROYECTO PILOTO y sus etapas de implementación, incluido el rol que la Secretaría Gral de la ALADI jugará en cada una de ellas, saldrá del consenso de los miembros de este GT. Cada emisor de COD tenga el respositorio en el que se puedan consultar los COD o descargar en XML. No las aduanas de destino (pueden tenerlo si quieren pero el origen es quien tendría que manterner todo en línea) Si cada certificado tiene dentro la URL de procedencia, cada aduana o ente interesado se puede conectar con el repositorio de origen. Esta Delegación entiende que la propuesta de incluir un repositorio centralizador de los COD en cada país de destino, agregaría un nuevo actor, con funciones, infraestructura, costos y responsabilidades que agregarían complejidad al modelo, particularmente en la etapa de prueba piloto.en caso de ser ese repositorio la Aduana del país de destino, como se interpreta en el comentario del usuario barance (Chile), no estamos en condiciones de asegurar, a priori, en este ámbito, el acuerdo de todas las Aduanas de los países miembros, para cumplir con esta función.considerando que siendo los importadores, los depositarios de los COD, tal como se propone, hay coincidencia entre la prioridad para su gestión formal (presentación ante la Aduana respectiva), y la prioridad logística de manejo del transporte y las mercaderías. A17

9 UNIFICACION FORMATO CERTIFICADOS DE ORIGEN Teniendo como objetivo manejar un formato único de archivo XML para gestionar todos los COD, con accesorios de formato en archivos XSL para la presentación según el diseño de Certificado de Origen de cada acuerdo, consideramos conveniente unificar también los nombres de los tags, en un único idioma, elección de los países miembros OTROS Se estudia la posibilidad de que la factura sea enviada por el exportador en forma electrónica y firmada Sugerimos en la reunión de diciembre que haya una recomendación de la ALADI sobre seguridad para las instalaciones de las Entidades Habilitadas, y que en cada país sería adoptada por la autoridad gubernamental encargada de COs. Repetimos el anterior, con pequeña actualización: las instalaciones de la Entidad Habilitada, y de las empresas/representantes, deberán garantizar que las máquinas utilizadas para la signatura digital estarán razonablemente aisladas del acceso de personas no autorizadas a esta signatura, as computadoras donde las signaturas son colocadas deberán cuentear con un sistema de seguridad razonable, tales como anti-virus y firewall, y de preferencia tener el sistema de elaboración de Certificados de Origen, y su signatura, acezados vía certificado digital del técnico autorizado en su login a transmisión de los datos, de la empresa exportadora o su representante, para la Entidad Habilitada deberá darse de forma exclusivamente online, los Certificados Digitales deberán quedar almacenados en `storage` razonablemente seguro, con backup (por lo tiempo que la legislación normal y vigente obligar). el proceso que lleva a la elaboración del COD debe ser también automatizado, o sea, elaborado vía Internet en sistema propio de la Entidad Habilitada, utilizado por las empresas que esta atiende

10 El proceso que lleva la elaboración del COD debe ser también automatizado, o sea, elaborado vía Internet en sistema propio de la Entidad Habilitada, utilizado por las empresas que atiende, en este caso, es importante que la Declaración del Producto también sea hecha de forma electrónica, y debidamente signada digitalmente por lo exportador, en este caso no avería más Declaración del Producto en papel. De esta forma, cuando este documento fuese solicitado, la autoridad gubernamental del país emisor lo enviaría, así dando fe de su validad, pero el mismo no contendría signatura manual del exportador (verificar se una Norma ALADI es necesaria para esta equiparación). En anexo, también podría ser enviado el archivo electrónico, este signado digitalmente (esta signatura no podrá ser validada contra el directorio de la ALADI, pero solamente junto a la Autoridad Certificadora que lo emitió). Un formato para el envío de la Declaración de lo Producto, del exportador para la Entidad Habilitada, podría ser el siguiente: