Firma digital en Costa Rica

Transcripción

1 Firma digital en Costa Rica Ronny Barboza Agenda 1. Firma Digital: Modelo Conceptual 2. Sistema Nacional de Certificación Digital 3. El SINPE dentro de la estrategia de Implementación 4. Uso de Certificados en Gobierno Digital 1

2 Problemática Internet = Ventajas, pero también Riesgos Inseguridad en Internet Suplantación de Identidad Robo de información Fraude Usuario y Password es un mecanismo poco robusto Usuario Password Ciudadano Spoofing Phishing? Internet? Pharming Keyloggers Banca Electrónica Gobierno Digital Comercio Electrónico Cara a cara en el comercio local Las vivencias y experiencias proporcionan la confianza Relación de Confianza Comunicación escrita La escritura manual, la firma, los sellos, proporcionan la confianza El teléfono y el fax El número de teléfono, la voz, el escaneo de la firma, establecen la confianza Internet/servicios Web Requiere nuevos mecanismos para establecer la confianza Cara a cara Escritura Teléfono Internet 2

3 Alternativa de Solución Entregar a los usuarios mecanismos robustos de autenticación y firma Certificados Digitales y Firma Digital Protección de la identidad Autenticación confiable Comunicación Segura Usuario Password Internet Ciudadano Banca Electrónica Gobierno Digital Comercio Electrónico Fortalezas de la Solución La seguridad esta basada en secretos (passwords, pins, llaves) Problemas: Los secretos se exponen, la información sensible viaja Secretos poco complejos pueden adivinarse (fuerza bruta, diccionarios) Factor humano (ingeniería social, uso incorrecto de Passwords) Certificados Digitales y Firma Digital El secreto nunca se expone, se protege en el dispositivo El secreto posee gran complejidad (computacionalmente díficil de descifrar) Combinación de algo que sé y algo que tengo Posibilidad de revocación en línea 3

4 QUÉ NO ES LA FIRMA DIGITAL? Una firma digitalizada (una imagen escaneada) que puede ser pegada en cualquier documento. Firma: Una FIRMA DIGITAL es un valor numérico que se crea realizando una transformación matemática entre los datos a firmar y una clave provista por el "firmante". 4

5 CÓMO FIRMO DIGITALMENTE? Uso mi Clave Privada, así el Destinatario, que conoce mi Clave Pública sabe que sólo yo lo pude haber hecho. Llave Pública y Privada Suponga la existencia de candados especiales que utilizan dos llaves. Si una llave de ellas se utiliza para cerrarlos, solamente la llave correspondiente podrá ser usada para abrirlos. Llave Privada (Cerrar) Llave Pública (Abrir) La Llave Privada debe mantenerse secreta, mientras que la Llave Pública puede ser distribuida. 5

6 Llave Pública y Privada Si una de estas llaves se utiliza para cerrar un candado, solamente la llave correspondiente puede ser usada para abrirlo. Internet Firma Digital En la Firma Digital se pueden identificar dos procesos básicos: Proceso de Firma documento Documento Firmado Llave Privada Proceso de Verificación Llave Pública Firma Verificada La Firma Digital garantiza la integridad y autenticidad de los documentos digitales. 6

7 Firma Digital Comprobación de la firma Qué garantiza que una firma es válida? Proceso de Firma Proceso de Verificación Proceso de Firma Proceso de Verificación Llave Privada Llave Pública Certificación Certificado Digital Documento Físico Documento Digital Utilizar la cédula de identidad en el proceso de emisión del certificado 7

8 Revisión /05/09 rbm 15 Autenticación con Certificados Pasos básicos: Infraestructura + Desarrollo Autenticación 1. Usuario indica el certificado 2. Se valida la posesión del dispositivo (Llave Privada) 3. Se valida el certificado a. Formato b. Pertenencia a la Jerarquía c. Revocación 4. Se obtiene la identificación del certificado ID 8

9 Gestión para la comprobación de la Identidad Revisión /05/09 rbm 17 Registro fuerte Garantice una cadena de seguridad del proceso Salvaguarde los datos durante el proceso de identificación Revisión /05/09 rbm 18 9

10 Confianza electrónica Autenticación Permite probar la identidad de un ciudadano Integridad Prueba Certificados que la información no ha sido alterada Confidencialidad Capacidad Firma Digital de intercambiar información de forma secreta No repudio Certifica Cifradoque el ciudadano ha realizado una transacción Certificado y Firma Digital Revisión /05/09 rbm 19 Certificados digitales Tercera Parte Confiable (PKI) Los ciudadanos entregan su clave pública en un proceso de registro suficientemente fuerte. La PKI firma las claves públicas de los ciudadanos mediante el empleo de su clave privada. La PKI firma también los datos del ciudadano capturados durante el proceso de registro y los asocia a la clave pública (CERTIFICADO X.509v3) Se publica en un directorio junto con la clave pública de la PKI Revisión /05/09 rbm 20 10

11 CON QUÉ SE FIRMA? TOKEN TOKEN BIOMÉTRICO TARJETAS CRIPTOGRÁFICAS HACIENDO CLICK EN LA COMPUTADORA (depende del nivel de seguridad) Revisión /05/09 rbm 21 Dispositivo Seguro Mecanismo de Autenticación y Firma sustituye los actuales Utilizado para firmar digitalmente y autenticarse en forma segura. Protege la Llave Privada. También se utilizan Tokens USB Uso de PIN o huella Las Llaves Privadas nunca son expuestas Protección física y lógica 11

12 Certificado Digital El Certificado Digital es un documento electrónico que relaciona una identidad con una Llave (Pública). Sus componentes principales son: Titular Una Llave Pública Emisor Periodo de validez Solamente contendrán información inherente a la persona subject = Oscar Solís Solís serial number = Mecanismo de Verificación Se entrega con el dispositivo Ley: Alcance de la Firma Digital Valor Equivalente (art. 9): Los documentos y las comunicaciones suscritos mediante firma digital, tendrán el mismo valor y la eficacia probatoria de su equivalente firmado en manuscrito. Presunción de autoría (art. 10) Todo documento [ ] asociado a una firma digital certificada se presumirá, salvo prueba en contrario, de la autoría y responsabilidad del titular del correspondiente certificado digital [ ] Identificación unívoca Vinculación jurídica Validez y eficacia probatoria Presunción de autoría No Repudio 12

13 Firma Autógrafa y Firma Digital Mundo Físico Mundo Electrónico Firma No Repudio Verificación Sistema Nacional de Certificación Digital Nivel 1 MICIT Tribunal Supremo de Elecciones Banco Central Registro Nacional Poder Judicial CONARE CAMTIC Migración CAP Comité Asesor de Políticas (Policy Approval Authority) Asesora a la DCFD EC Raíz Convenio BCCR Nivel 3 DCFD (Dirección de Certificadores de Firma Digital) Nivel 2 Nivel 4 Entidad Financiera Gobierno Digital Institución Pública Empresa Privada 13

14 ISO Competencia Técnica 1. Controles Ambientales Capacidad de Custodia Alta Disponibilidad Personal de Seguridad Monitoreo Recuperación ante desastres 2. Controles de Administración Gestión de Dispositivos Criptográficos (FIPS 140-2) Personal con Roles de Confianza Mancomunados Implementación de Servicios de Validación Sistema de Gestión de la Seguridad de la Información 14

15 15

16 16

17 17

18 Competencia Administrativa ISO Sistema de Gestión de Calidad 2. Competencia del Personal 3. Gestión de los procesos organizacionales: Imparcialidad Estrategia en SINPE Barreras Interoperabilidad Infraest. Emisión Infraest. Distribución Registro Proceso Robusto Validación Oficial Costo Certificado Costo Dispositivo Entidad Financiera X Raíz Entidad Financiera Y $50+ Aprovechamiento en del sucursales Modelo Sistema SINPE de: Financiero Negocio de: del de: SINPE: Red Seguridad Capacidad Economía de telecomunicaciones de física escala custodia, Infraest. existente tecnológica y segura y Personal capacitado Cultura Capacidad Experienca Costo Anual Conozca de en del registro el Certificado desarrollo a su cliente y distribución estimado de servicios (1000 en de centavos sucursales) misión de crítica dólar (vs $30-$60) Regulación Experiencia Implementación y en consenso, entrega de buenas de confianza documentos practicas (ISO-27001, sensibles ISO-9000) 18

19 Documento de Identidad Electrónico España Bélgica Finlandia Estonia Italia Suecia Costa Rica (mediano plazo) Diseño de tarjetas Espacio para logotipos xxxxxxxx Anverso Reverso En línea con TSE y Migración Bajos costos de impresión y capacidad de inventario Posibilidad de personalización local Posible aprovechamiento de tarjetas en blanco 19

20 Diseño de tarjetas Anverso Reverso xxxxxxxx Aportes del Sector Financiero S I N P E Web Entidades Financieras I N T E R N E T Bancos Web Entidades Públicas Banco Central Mutuales Ciudadano SUGEF Tributación /Aduanas Migración CCSS Registro Nacional Gobierno Digital Cooperativas E-banking 20

21 Costo de Dispositivos Costo promedio por cantidad (estimados) Tarjetas Inteligentes $11.25 $8.23 $4.36 $3.74 $30.75 aprox. $10 Lectores de Tarjetas Objetivos: 1. Precio por volumen 2. Estandarización de la infraestructura Simplicidad en el desarrollo e integración Lector Huella Cámara Escáner $600 aprox $500 aprox $120 aprox Certificados para Entidades Asociadas al SINPE Servicio CA-SINPE - Entidad Registro de clientes Precio Homologado Modelo General C C C C3 Registro de Clientes Entidad Asociada al SINPE (Bancos. M.Hacienda, ICE, BNV, CCSS, INS, Otros Bancos ) Emisión c600 Dispositivo c3.000 Lector c Entrega de Certificados Banco X Entrega de Certificados Banco Y 21

22 Alcance de la CA SINPE Emisión de Certificados Nacionales - Personas Servicios de Validación de Certificados Raíz Certificación Digital Banca Electrónica Gobierno Electrónico Comercio Electrónico Internet C C C C3 Entrega de Certificados Registro de Clientes Banco X Entidad Asociada al SINPE Servicios que soportan certificados y firma digital Tipos de Certificados Digitales Certificado de Persona Física Firma Digital y Autenticación de Personas Físicas Implementa Equivalencia Funcional con Firma Autógrafa Certificado de Agente Electrónico Firma Digital y Autenticación de Entidades Implementa Servicios Electrónicos Automatizados Certificado de Sellado de Tiempo (TimeStamping) Garantizar la existencia de una firma o un documento en el tiempo 22

23 Funcionamiento Tipos de Certificados Digitales Servicios de Validación de las CAs Servicios Sellado de Tiempo Registro Nacional Dirección de Notariado Internet Sitio Web Institución Pública Persona Física Agente Electrónico Ciudadano Sellado de Tiempo Usos Generales de PKI Personas Autenticación Firma Digital No Repudio Certificados de Servicios Estampado de Tiempo Firma de código Encripción de datos Licenciamiento Certificados de Equipos Sitios Web SSL, Webservices Servidores, Computadores Routers, Concentradores VPN Certificados de Atributos Roles de Administración de TI 23

24 Alcance del Sistema Nacional Personas Físicas Autenticación Firma Digital No Repudio Certificados de Servicios Estampado de Tiempo Firma de código Encripción de datos Licenciamiento Certificados de Equipos Sitios Web SSL, Webservices Servidores, Computadores Routers, Concentradores VPN Agente Electrónico Autenticación Firma Digital No Repudio Certificados de Atributos Roles de Administración de TI Certificados de Prueba 24

25 Muchas Gracias! 25