Plataforma de Autenticación y Firma

Transcripción

1 Plataforma de Autenticación y Firma

2 Introducción

3 Objetivo El objetivo principal de es impulsar la tramitación electrónica completa de los ciudadanos en su relación con la Administración proporcionando servicios de identificación y firma electrónica. eliminando barreras técnicas potenciando la usabilidad.

4 Situación actual Finalizada la Fase 1 - registro de ciudadanos y autenticación mediante Cl@ve- PIN y Cl@ve-permanente En producción desde el 17 de noviembre de 2014 actualmente en evolución por mejoras En ejecución la Fase 2 - Firma electrónica con certificado centralizado Entrada en producción de la infraestructura de firma el 19 de Enero de 2016 Entrada del primer servicio de firma (alta de beneficiario en la cartilla sanitaria) el 21 de Enero de En proceso la integración de otros servicios de firma (TuSS, SEPE, DGT, ) Servicios de Registro y Autenticación Servicios de firma centralizada CIUDADANO ADMINISTRACIÓN

5 Qué se ha conseguido? Un Registro único de ciudadanos. Dos proveedores de servicios de autenticación distintos, con dos modos de autenticación. Cada organismo puede elegir como se accede a sus servicios electrónicos en base a la calidad de Registro, nivel de seguridad y tipo autenticación. El ciudadano podrá escoger en la pasarela Cl@ve el proveedor de identidad, en función del servicio electrónico con el va a tramitar. Única identificación entre servicios de diferentes Organismos, con la implantación futura de sesiones SSO (Single Sig-On). Ofrecer al ciudadano la posibilidad de realizar firma electrónica centralizada para la tramitación electrónica completa.

6 Plataforma de Autenticación y Firma Centralizada

7 Firma centralizada. Características y ventajas Los certificados de los ciudadanos están en un servidor centralizado custodiados con fuertes medidas de seguridad. Para acceder a ellos el titular necesita autenticar con usuario y contraseña e introducir un código de un solo uso enviado por teléfono (autenticación de doble factor). La firma se realiza en el servidor y no en el equipo del usuario. El ciudadano no tiene que preocuparse de la gestión de los certificados y puede firmar desde cualquier dispositivo.

8 Firma centralizada. Requisitos Firma avanzada Firma reconocida (cualificada) Certificado de firma reconocido Datos de creación de la firma electrónica que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo. Certificación de la solución. Cumplimiento de la reglamentación y normas técnicas europeas. Misma contraseña para autenticación y para firma Solución técnica única: mismo nivel de protección de la contraseña. Emisión del certificado de firma desacoplada de la activación de la contraseña.

9 Firma centralizada. Actores y funciones Registro Presencial (AEAT) AEAT/GISS Activación Cl@ve (GISS) AEAT Registro presencial Asociación segura DNI/NIE con Móvil BBDD de ciudadanos con datos DNI/NIE + Tf.Móvil + Código Activación GISS Activación de usuarios Generación y Custodia de clave privada de autenticación (Cl@ve permanente) Generación y custodia de clave privada de firma y emisión de certificado DNInb Gestión de contraseñas Proveedor de servicios de firma centralizada Gestión de Contraseñas Cl@ve (GCC) - DGP DGP Autoridad de certificación DGP SIAVAL Safecert DGP - GISS GISS Sedes electrónicas Sedes electrónicas Custodia de replica de clave privada de firma (DNInb) y de autenticación (Cl@ve Permanente) Proveedor de servicios de identificación y firma centralizada

10 Firma centralizada. Arquitectura de producto SIAVAL Safecert Appliance SW para la gestión y uso seguro de claves privadas de firma HSM certificado FIPS L3 para la protección de las claves privadas La clave privada de firma solo puede utilizarse dentro del HSM La clave privada se cifra por el HSM con las claves maestras del mismo y la contraseña del titular. El objeto cifrado se almacena en una BBDD externa Appliance BBDD Safecert Almacena la información de titulares y los objetos que contienen las claves privadas SIAVAL Safecert Runtime Pasarela de firma que garantiza que el usuario solo realiza operaciones con su contraseña en un entorno seguro Todas las operaciones de autenticación y firma que requieran del uso de la contraseña de firma y el OTP SOLO SE REALIZAN en este componente Da servicio a las sedes electrónicas mediante un conector de autenticación y firma (API) que requiere de autenticación fuerte con certificado Gestor de Contraseñas Cl@ve Software de Autoridad de Registro que interactúa con Safecert, con la AC y con el usuario en cualquier operación de emisión de certificados o gestión de contraseñas SIAVAL Safecert Manager SIAVAL Safecert Runtime Conector Runtime (API) Sedes Electrónicas SIAVAL Safecert Appliance Safenet LunaPCI 1700KE PED Auth Appliance BBDD Safecert GCC - Web de registro telemático Safecert (proceso de activación)

11 Firma centralizada. Certificación de producto Utilización de HW criptográfico integrado para la custodia y uso seguro de las claves de firma Solución ajustada al estándar CEN/TS Garantiza técnicamente la vinculación objetiva entre documento firmado y el contenido del mismo - Cobertura a servicios con necesidades de no repudio. Certificada Common Criteria EAL4 + ALC_FLR.1 AVA_VAN.5 Target of Evaluation: SIAVAL SafeCert Manager v es un software de firma electrónica en servidor, que asegura el control exclusivo de las claves de firma por parte del firmante y genera tanto firma electrónica avanzada (AdES) como firma electrónica cualificada o reconocida (QES), diseñado para ser usado como dispositivo cualificado de creación de firma electrónica (QSCD), tal como se especifica en el reglamento eidas, Reglamento (UE) nº 910/2014 del Parlamento Europeo (Electronic Identification and Signature (Electronic Trust Services)), y construido para ser usado en un entorno operacional seguro como un sistema confiable de firma en servidor, Trustworthy Systems Supporting Server Signing (TW4S), según se define en la norma CEN/TS que rige este tipo de sistemas.

12 Procesos de autenticación y Firma con Cl@ve Permanente

13 Proceso de activación de la Permanente Registro Presencial 1.Activación Permanente - DNI/NIE + Cod.Activación +OTP por SMS Sistema de Cl@ve Permanente (GISS) Datos DNI/NIE + Tf.Movil + Cod.Activación 2.Cesión de control de sesión a GCC - Datos DNI/NIE + Tf. Movil *En el registro y activación NO se obliga al ciudadano a emitir su certificado de firma Inicio del proceso de emisión Cl@ve Permanente - Elección por parte del ciudadano de contraseña de protección de clave privada de autenticación Gestión de Contraseñas Cl@ve (GCC) - DGP 4.Proceso de emisión de claves de autenticación* - Creación del titular (Datos DNI/NIE+Tf.Movil) - Solicitud de generación del par de claves y protección mediante contraseña de usuario - NO SE ALMACENAN CONTRASEÑAS 5. Devolución de control a Registro Cl@ve SIAVAL Safecert DGP Replica de datos a GISS DNI/NIE+ Movil+ Clave privada autenticación Replica BBDD GISS

14 Proceso de autenticación con Permanente 9. Generación y envío de Segundo Factor de Autenticación por SMS si procede* SIAVAL Safecert (GISS/DGP) BBDD DGP/ Replica GISS SIAVAL Safecert Runtime Pasarela (GISS/DGP) 8. Validación de DNI/NIE + Contraseña 11. Validación OTP* 7. Recuperación de transacción y solicitud autenticación: - DNI/NIE - Contraseña Cl@ve Permanente 10. Solicitud OTP recibida por el usuario* 4. Solicitud de transacción de autenticación <WS>: - Método autenticación - URL OK/KO retorno 5. Obtención de ID transacción 1. Acceso a sede electrónica 6. HTTP 302 (redirección) con ID transacción 3. Redirección a IdP Cl@ve Permanente para autenticación SIAVAL Safecert Runtime (conector) IdP Cl@ve Permanente Plataforma de intermediación 2. Elección de Autenticación con Cl@ve Permanente * GISS/DGP pueden acceder directamente a Runtime

15 Proceso de Firma con 6. Inicio de transacción y generación y envío de Segundo Factor de Autenticación por SMS SIAVAL Safecert Runtime Pasarela (GISS/DGP) SIAVAL Safecert (GISS/DGP) 8. Creación firma - HASH documentos - ID Titular (DNI/NIE) - Contraseña DNInb - OTP por SMS 9. Redirección a sede electrónica (URL OK + ID Transacción) BBDD DGP/ Replica GISS 7. Recuperación de transacción y Firma de datos: - Contraseña DNInb - OTP recibida por SMS 3. Solicitud de firma <WS>: - HASH documentos - DNI/NIE titular - Descripción de la transacción - URL OK/KO retorno 4. Obtención de ID transacción 1. Acceso a sede electrónica autenticado* 5. HTTP 302 (redirección) con ID transacción SIAVAL Safecert Runtime (conector) Sedes electrónicas Sedes electrónicas 2. Solicitud de firma de documentación: - Consulta de certificado de firma (DNInb) - Generación de HASH del documento - Cesión de control de la firma a Firma Centralizada Custodia 10. Construcción de formato de firma, validación y uso/custodia de documentos firmados

16 Ejemplo de Firma con Alta de beneficiario de Asistencia Sanitaria

17 Ejemplo de Firma con Alta de beneficiario de Asistencia Sanitaria

18 Ejemplo de Firma con Alta de beneficiario de Asistencia Sanitaria

19 Ejemplo de Firma con Alta de beneficiario de Asistencia Sanitaria

20 Ejemplo de Firma con Alta de beneficiario de Asistencia Sanitaria SI, CREAR CERTIFICADO

21 Ejemplo de Firma con Alta de beneficiario de Asistencia Sanitaria

22 Ejemplo de Firma con Alta de beneficiario de Asistencia Sanitaria

23 Ejemplo de Firma con Alta de beneficiario de Asistencia Sanitaria

24 Ejemplo de Firma con Alta de beneficiario de Asistencia Sanitaria

25 Datos estadísticos

26 Datos estadísticos Autenticación y Firma A fecha 11 de Abril de 2016 Nº Usuarios registrados en Cl@ve; Nº Usuarios activados en Cl@ve Permanente: Nº Certificados de Cl@veFirma: Desde el 19 de Enero de 2016 Nº Autenticaciones con Cl@ve Permanente: Nº Autenticaciones con Cl@ve Permanente + OTP: Nº Firmas con Cl@veFirma: 1.705

27 Plataforma de Autenticación y Firma