DERECHO Y TECNOLOGÍAS DE LA INFORMACIÓN N Y LA COMUNICACIÓN. Firma Electrónica y Certificación n Digital

Transcripción

1 DERECHO Y TECNOLOGÍAS DE LA INFORMACIÓN N Y LA COMUNICACIÓN Firma Electrónica y Certificación n Digital Valencia, 20 de noviembre de 2009

2 Índice Función n de la firma digital: Qué es? Para qué sirve la firma digital Cómo se obtiene: : Entidades de acreditación n y expedición de firma digital Instalación n y uso de la firma digital Identificación n y Autenticación n en la Ley 11/2007 El DNI-e Prevenciones para evitar el mal uso de la firma digital

3 Función n de la firma digital. Qué es?

4 La necesidad de la identificación electrónica Internet y anonimato Seguridad Necesidad de la identificación La Firma Electrónica resuelve: Cuestiones técnicas: t criptografia asimétrica Cuestiones jurídicas: dicas: Marco jurídico que lo regule

5 Solución n técnicat Solución n técnica t informática - matemática: tica: infraestructuras de clave públicap tecnologías de firma electrónica comúnmente aceptadas y estandarizadas sistemas seguros de emisión n y gestión n de certificados

6 Solución n jurj urídica Directiva europea 1999/93/CE, de 13 de diciembre Ley 59/2003,, de 19 de diciembre de firma electrónica Decreto 87/2002,, de 30 de mayo, del Gobierno Valenciano Decreto 18/2004,, de 13 de febrero, del Consell, de creación n del Registro Telemático y regulación n de las notificaciones telemáticas ticas Decreto 98/2005,, por el que se regula el registro de representaciones de carácter cter voluntario ante la Generalitat para la realización n de trámites por vía v a telemática. tica. Decreto 149/2007,, de 7 de septiembre, por el que se aprueba el Estatuto del Ente Prestador de Servicios de Certificación Electrónica de la Comunidad Valenciana. Ley 11/2007, de 22 de junio, de Acceso Electr, de 22 de junio, de Acceso Electrónico de los ciudadanos a los servicios públicos. p Ley 56/2007,, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información Real Decreto 1671/2009,, de 6 noviembre, por el que se desarrolla parcialmente la Ley 11/2007 (AGE)

7 Mecanismos de comprobación n del cumplimiento y establecimiento de garantías as de calidad y seguridad Ministerio de Industria, Comercio y Turismo. Publicar la relación n de Prestadores de Servicios de Certificación n de los que se puede confiar. Información n de contacto. Tipos de certificados que emiten los Prestadores Otros servicios adicionales que prestan

8 Ley 59/2003, de 19 de mayo, de firma electrónica Concepto Firma electrónica de firma avanzada electrónica Firma electrónica reconocida Es la el firma conjunto electrónica de datos que en permite forma electrónica, identificar consignados Es la firma electrónica junto a otros avanzada, o asociados basada al con firmante y comprobar la integridad de los ellos, en un que certificado pueden reconocido ser utilizados y generada como medio datos para identificar firmados, al por firmante estar vinculada al firmante mediante un dispositivo seguro de creación de manera exclusiva y a los datos a que se de firma. refiere y por haber sido creada por medios. que éste mantiene bajo su exclusivo control.

9 Esquema de firma

10 Firma electrónica de PDF

11 Firma electrónica de PDF Firma electrónica de PDF

12 Certificados digitales El Un certificado digital es un vincula documento de forma electrónico inequívoca que está formado por una formado identidad por tres (de bloques una persona de información: o de cualquier otra entidad) con información una n de clave identidad: públicap blica. El certificado digital es fundamental : nombre, en apellidos, proceso NIF, correo electrónico, etc. del titular del El de documento firma electrónica certificado no puede puesto ser manipulado que es herramienta dado que es que un informa documento y garantiza firmado la electrónicamente identidad del firmante y, por tanto, clave su integridad pública p del está titular garantizada. del certificado Además, firma la firma electrónica electrónica de la Autoridad del documento de por parte de una Autoridad Certificación n emisora de Certificación del certificado garantiza el origen de este documento electrónico y su fiabilidad..

13 Certificado X.509 Sujeto X.500 Clave públicap Emisor X.500 Fecha de expiración Número de serie Extensiones Información Firma elect. de la CA Certificado El titular del certificado, CN=Bernardo, O=Generalitat Valenciana, C=ES La clave pública p e información n sobre ella El firmante del certificado, CN=CAGVA, O=Generalitat Valenciana, C=ES Más s adelante se verá por qué es importante la fecha de expiración Información n adicional de la CA emisora, claro

14 Estados de un certificado Válido Caducado Revocado Pleno efecto El plazo de validez ha expirado Su número n de serie se ha incluido en la CRL, marcándolo como revocado. Este estado es irreversible Suspendido Revocado de forma reversible

15 Certificados reconocidos Identificación n de que se expiden como tales. Código identificativo único Identificación n del PSC que expide el certificado y firmado Identificación n del firmante La clave pública p que corresponden a la clave privada que está bajo el control del firmante. El comienzo y el fin del periodo de validez del certificado Límites de uso del certificado, si se prevén Límites del valor de las transacciones para las que pueda utilizarse el certificado, si se establecen

16 Extinción n de la vigencia de un certificado Expiración del período de validez Revocación por el firmante Violación n o puesta en peligro de los datos de creación n de firma, o utilización n indebida de los datos por un tercero. Resolución judicial o adminsitrativa que lo ordene. Fallecimiento o extinción n de la personalidad jurídica del firmante, incapacidad sobrevenida, disolución n de la personalidad jurídica Cese de la actividad del Prestador de Servicios de Certificación. Alteración n de los datos aportados para la obtención n del certificado, o modificación n de las circunstancias verificadas. Otras causas previstas en la Declaración n de Prácticas Certif.

17 Garantías as de la firma electrónica: Integridad El documento/mensaje es íntegro y no ha sido modificado. Autenticidad El documento es de quien dice ser Confidencialidad Garantiza que nadie puede leer la información n transferida aunque intercepte la comunicación. n. No repudio No rechazo de su autoría. a.

18 Para qué sirve?

19 Para relacionarse telemáticamente ticamente con las Administraciones Públicas, P colegios profesionales, entidades bancarias Nos identifica ante los portales web, registros telemáticos, ticos, aplicaciones Para firmar documentos. Para firmar correos electrónicos. Para cifrar documentos y correos electrónicos.

20 Cómo se obtiene el certificado de usuario?

21 Solicitud del certificado digital (presencial o por internet) ante un Prestador de Servicios de Certificación. Solicitud Públicos: blicos: Dirección n General de la Policía ACCV CERES-FNMT CATCERT IZENPE Privados: AC Abogacía ANCERT ANF de España Camerfirma Firmaprofesional Banesto CA EDICOM CICCP Registradores

22 Autoridades de Certificación Entidades encargadas de la verificación n de la identidad de las personas (o de las entidades) para las que emitir un certificado digital Relación n de servicios propios de los Prestadores de Servicios de Certificación: 1. Identificación n de los solicitantes de certificados 2. Emisión n de certificados 3. Revocación n de certificados 4. Validación n de certificados 5. Servicios de Información n (manuales, guías, declaración n de prácticas de certificación n, ubicación n de las oficinas de acreditación n y atención n a usuarios, horarios, etc.) 6. Opcionalmente, Servicios de Sellado de tiempo 7. Opcionalmente, Servicios de Provisión n de dispositivos relacionados con la firma electrónica y la certificación digital

23 Documentos públicos p de los PSC Prácticas de Certificación Declaración n de Pr Se especifican los procedimientos y prácticas operativas empleadas en la emisión n de certificados digitales para garantizar que los servicios de certificación n prestados cumplen los requisitos de seguridad, disponibilidad y funcionalidad. Se detallan las obligaciones que se comprometen a cumplir en el ejercicio de su actividad como PSC. Políticas de Certificación Declaración n de Pol Se define el uso para cada tipo de certificado emitido, los usuarios posibles, niveles de seguridad y confianza, responsabilidades y obligaciones de los titulares de los certificados y controles de seguridad aplicados.

24 Identificación n física f sica en el Punto de Registro del Prestador de Servicios de Certificación Identificación n mediante DNI, pasaporte o cualquier otro medio de identificación n admitido en derecho. PSC públicos: p vía v a convenio PSC privados: oficinas propias Entrega del certificado: : diversos soportes Entrega Instalación en el propio ordenador.

25 . Entrega del certificado: : diversos tipos de certificados y diversos soportes Personales De ciudadano o persona físicaf en soporte software: disquete, token usb, navegador) en dispositivo seguro de creación n de firma: tarjeta criptográfica)

26 . Entrega del certificado: : diversos tipos de certificados y diversos soportes Personales De ciudadano o persona físicaf De entidad Para administradores o representantes de entidades con o sin personalidad jurídica, en tarjeta criptográfica. De empleado públicop

27 . No personales De firma de código c informático De aplicación De servidor web seguro De servidor de VPN De controlador de dominio Windows. De sede electrónica De sello de órgano

28 Instalación en el propio ordenador: en en el propio ordenador: navegador (y en correo electrónico) Certificados de la ROOT CA y CA s s Intermedias Lector de tarjetas (para tarjetas criptográficas) y drivers de la tarjeta Certificados (en caso de certificados en sw) Contraseña a de paso

29 Instalación n del certificado: Guías de soporte

30 Identificación n y Autenticación n en la Ley 11/2007

31 LEY 11/2007 AECSP Artículo 3: Finalidades Art. 3.3: crear condiciones de confianza en el uso de medios electrónicos, con medidas para presevar la integridad y los derechos fundamentales por medio de la garantía de seguridad de los sistemas, datos, comunicaciones y servicios.

32 LEY 11/2007 AECSP Artículo 4: Principios Principio de Protección de Datos de Carácter Personal- Interoperabilidad. Principio de seguridad: mismo nivel de garantías que en la utilización de medios no electrónicos. Principio de proporcionalidad: medidas de seguridad y garantías adecuadas a la naturaleza u circunstancias de los trámites y procedimientos.

33 LAECSP: Derechos de los ciudadanos Artículo 6: Los ciudadanos tienen derecho a relacionarse electrónicamente con la Administración. Además, tienen derecho: A elegir el canal para relacionarse A no aportar datos que ya contengan las Administraciones. A la igualdad de acceso electrónico a los servicios A conocer por medios electrónicos el estado de tramitación de los procedimientos.. A obtener copias electrónicas de documentos electrónicos. A la conservación en formato electrónico de los documentos electrónicos de un expediente administrativo. A obtener los medios de identificación electrónica y sistemas de firma-e. A la garantía de la seguridad y confidencialidad de los datos A la calidad de los servicios públicos prestados por medios electrónicos. A elegir los sistemas y aplicaciones (estandares abiertos)

34 Art. 6: Derechos de los ciudadanos Derecho a Seguridad y confidencialidad Derecho a Derecho a la garantía a de la seguridad y confidencialidad de los datos que figuren en los sistemas y aplicaciones de las Administraciones Públicas Derecho a obtener el certificado digital Derecho Derecho a obtener los medios de identificación electrónica necesarios

35 LAECSP: Formas de identificación Admitidos por las Administraciones Públicas: P - Dni-electr electrónico, en todo caso. - Firma electrónica, a través s de certificado reconocido de persona física o jurídica. - Sistemas de claves concertadas, de forma muy restrictiva y para casos determinados. Utilizados por las Administraciones PúblicasP - Certificados de sede electrónica - Certificados de sello electrónico de Administración n PúblicaP - Certificados de empleado públicop - Intercambio electrónico de datos (en entornos cerrados de comunicación) n)

36 DNI ELECTRÓNICO

37 El DNI: servicio público, p cuya gestión n está legalmente encomendada en exclusiva al Cuerpo Nacional de Policía desde su creación, hace ya más s de 60 años. a El DNI acredita de forma inequívoca la identidad de su titular. El DNI es un elemento presente en la mayoría a de las relaciones de los ciudadanos entre sí, s, y de éstos con instituciones públicas p y privadas. Su número figura como dato en el 97% de los registros de entidades y organizaciones. El DNI es referente obligado para la expedici El DNI para la expedición n de otros documentos (pasaporte, permiso de conducir, seguridad social, Identificación n fiscal (NIF), etc.) La seguridad se configura como un factor esencial en el documento nacional de identidad: en todo momento los datos de filiación n expresados en el documento se corresponden exactamente con los de su titular

38 El Documento Nacional de Identidad: Origen y evolución Las Cédulas Personales fueron el origen de los documentos de identidad en España. Estas cédulas eran expedidas por la Diputaciones Provinciales

39 El Documento Nacional de Identidad: Origen y evolución Por Real Decreto el 2 de marzo de 1944 se crea el Documento Nacional de Identidad con carácter nacional y eficiencia plena en la acreditación indubitada de la personalidad individual... a partir de 1944 el Documento Nacional de Identidad ha tenido sucesivas emisiones, en las cuales se han ido incorporando nuevas medidas para mejorar la seguridad.

40 Implantado en el Año A o 1990

41 Documento Nacional de Identidad Obtención obligatoria a partir de los 14 años Se renueva periódicamente (cada 5 años para los menores de 30 años; cada 10 años para los que tengan entre 30 y 60 años; a partir de los 70 años tienen validez permanente) Cada año se expiden del orden de 6 millones de documentos El DNI es también válido como documento de viaje Las tarjetas de identificación expedidas por Organismos oficiales o por Empresas o Entidades privadas podrán servir para acreditar condiciones del titular en el cargo, empleo o actividad a que se refieran y para los fines específicos a que están destinados, pero en modo alguno sustituirán al documento nacional de identidad, ni excusarán de obtener éste: Carnet de conducir, carnet universitario...

42 El DNI-e: regulación Ley 59/2003, de 19 de diciembre, de firma electrónica (art.15) Es el Documento Nacional de Identidad que acredita electrónicamente la identidad personal de su titular y permite la firma electrónica de documentos Todas las personas físicas f y jurídicas reconocerán n su eficacia para acreditar la identidad del firmante y la autenticidad de los documentos firmados. El Prestador de Servicios de Certificación n es el Ministerio del Interior. Real Decreto 1553/2005, de 23 de diciembre, por el que se regula la expedición n del DNI y sus certificados de firma electrónica El certificado tiene una validez de 30 meses. Para su renovación requieren presencia física y se mantiene la misma tarjeta mientras continúe vigente el DNI. La renovación del DNI o la expedición de duplicados implica la revocación de los certificados y expedición de otros nuevos

43 El DNI-e: obtención 1º. El ciudadano deberá acudir a una Oficina de Expedición del DNI electrónico. 2º. Para solicitar la expedición del Documento Nacional de Identidad será imprescindible la presencia física de la persona a quien se haya de expedir, el abono de la tasa legalmente establecida en cada momento y la presentación de los documentos necesarios (2 fotos y tasa pagada, además de certificación literal de nacimiento si se solicita por primera vez) 3º. La entrega del Documento Nacional de Identidad y de los certificados asociados se realizará personalmente a su titular en el mismo acto en que solicite su expedición. 4º. Se comprueba la documentación aportada, se personaliza la tarjeta físicamente y comienza la fase de personalización lógica con la carga de datos en el chip de la tarjeta soporte. La generación de claves se realizará, en la tarjeta y en presencia del titular, tras la habilitación de un PIN aleatorio que se entrega en un sobre ciego.

44 El DNI-e: entidades y personas intervinientes Autoridades de emisión Dirección General de la Policía y de la Guardia Civil: Órgano competente para la expedición y gestión del DNIe. Se aprueba por Orden del Ministro del Interior. Autoridades de Registro: Red de oficinas de expedición del dni que ya funciona en la actualidad. Autoridad Validación: comprobación del estado de los certificados emitidos por el DNIe, : MAP (para Administraciones Públicas) FNMT (universal: ciudadanos, empresas y Administraciones Públicas). La ACCV valida los certificados del DNI-e en el ámbito territorial de la Comunitat Valenciana Ciudadano: Persona física de nacionalidad española que en nombre propio y previa identificación solicita la expedición o renovación del DNI. Terceros aceptantes: Personas o entidades diferentes del titular que aceptan y confían en un certificado emitido por DNIe.

45 El DNI-e: situación n actual El DNI-e inició su emisión en Burgos en marzo de dni-electrónicos emitidos hasta hoy. En la Comunidad Valenciana iniciaron su expansión el 20 de septiembre de Desde junio de 2008 todas las Comisarías del territorio nacional están expidiendo el dni electrónico. Habrá que esperar 10 años para que todos los ciudadanos españoles tengan el DNI Electrónico, puesto que los DNI que se hayan emitido con el formato antiguo seguirán en vigor hasta la fecha de su renovación (5 O 10 años).

46 Mal uso de la firma digital

47 Revelar a un tercero su clave de seguridad Dar el certificado a un tercero para que haga uso de él. Dejar una tarjeta criptográfica que contiene el certificado y la clave privada en el lector del ordenador y sin estar presente. No revocar el certificado cuando ha desaparecido (pérdida, robo o deterioro) No guardar el certificado en lugar seguro. Guardar la clave de desbloqueo (PIN) junto al certificado.

48 Prevenciones para evitar el mal uso de la firma digital Proteger su acceso: no dejarlo nunca en el lector de tarjetas No entregarlo a otra persona para que acceda. Cambiar la contraseña a de paso en la primera utliización y memorizarla (no escribirla) La contraseña a tenga una composición n segura. En caso de pérdida p o robo revocarlo inmediatamente Renovarlo antes de que finalice su período de validez

49 Mar Ibáñ áñez Martí Autoritat de Certificació de la Comunitat Valenciana ACCV Boletín mensual ACCV-Informa Canal RSS