Incorporación de Organismos a la plataforma

Transcripción

1 Incorporación de Organismos a la plataforma Cl@ve

2 ÍNDICE Pasarela de identificación Single-Sign-On Acceso a la plataforma de firma centralizada

3 ÍNDICE Pasarela de identificación Single-Sign-On Acceso a la plataforma de firma centralizada

4 ESQUEMA GENERAL Proveedor del servicio de administración electrónica (SP) AEAT Servicio de e- Admon Gestor de identificación GISS Comunicación mediante redirecciones del navegador (aserciones STORK / eidas Proveedores de servicios de identificación y autenticación (IdP) Intermediador de DNIe y certificados Intermediador de eid extranjeros

5 Círculos de confianza IdP STORK IdP Servicio de e- Admon Servicio de e- Admon Gestor de identidades Intermediador de eid extranjeros AEAT Servicio de e- Admon Proveedores de identidad (IdP) Proveedores de servicio IdP GISS Intermediador de DNIe y certificados IdP

6 Protocolo SAML Usado en sistemas de federación de identidades Framework basado en XML para reunir y organizar información de seguridad e identidad e intercambiarla entre diferentes dominios Integra tecnologías de seguridad ya existentes en lugar de inventar nuevas tecnologías Sus perfiles ofrecen interoperabilidad para una variedad de casos de uso, pero pueden ser extendidos para casos especiales Base de SAML: aserciones acerca de sujetos Autenticación Atributos Derechos de acceso SAML 2.0 (OASIS): Integra SAML 1.0 y 1.1, Liberty Alliance, y Shibboleth

7 Niveles de identificación Niveles de aseguramiento de la calidad de la autenticación, en base a: Como se verifica la identidad de la persona antes de darle el mecanismo de identificación. Requiere registro fiable. Aspectos técnicos de los medios de autenticación. El proveedor del servicio define el nivel de calidad en la autenticación que requiere para su servicio. Recogidos en el Reglamento Europeo eidas: Básico Sustancial Alto Obligatoriedad de reconocimiento de credenciales extranjeras con nivel mayor o igual al requerido para las nacionales

8 Información intercambiada El proveedor del servicio define: Qué proveedores de identidad deben ser intermediados por El nivel de calidad de la credencial (QAA) que se debe usar para autenticarse en su servicio El proveedor de servicio recibe como respuesta: Resultado del proceso de autenticación (OK, KO) Datos de identidad: identificador (DNI), nombre y apellidos Datos del proceso de autenticación: QAA, proveedor de identidad El proveedor de identidad recibe datos de identificación del proveedor del servicio Proveedor de servicio, aplicación del proveedor

9 Navegación Con interacción con el usuario Sin interacción con el usuario 2 1 SP Portal Ae Identificarse 3 5 Cl@ve DNIe / Certificado Usuario/Contraseña STORK PIN24H Cl@ve Navegador del usuario 4 IdP IdP Usuario Pwd Mensajes SAML 2 - Servicio que invoca (SP), nivel de calidad de eid exigido, firmado por SP 3 - Servicio que invoca (SP), nivel de calidad de eid, firmado por Cl@ve 4 Respuesta de la identificación, firmada por IdP 5 Respuesta de la identificación, firmada por Cl@ve

10 Integración de en las Sedes Electrónicas

11 Intermediador de IdP

12 PIN de la AEAT

13 Permanente de la GISS

14 ÍNDICE Pasarela de identificación Single-Sign-On Acceso a la plataforma de firma centralizada

15 Single Sign On (SSO) en Objetivo: El ciudadano solo tiene que autenticarse una vez con En la primera autenticación se genera una cookie en la pasarela y en el Proveedor de Identificación (IdP)

16 Single Sign On (SSO) en En sucesivas autenticaciones: Si el nivel QAA es igual o inferior, la petición se redirige automáticamente al mismo IdP Si el nivel QAA es superior se envía al mismo IdP si éste soporta ese nivel. En otro caso se vuelve a mostrar la pantalla de selección de IdPs

17 Single Sign On (SSO) en Timeout de Session en y los IdP: 60 minutos El Proveedor de Servicio (SP) puede forzar la autenticación Parámetro SAML: forcedauth Se resetea la sesión SSO Necesario integrar el botón de desconexión del SP con la desconexión de Cl@ve

18 ÍNDICE Pasarela de identificación Single-Sign-On Acceso a la plataforma de firma centralizada

19 Base Legal Formalizado por el Acuerdo del Consejo de Ministros del 19 de septiembre de 2014 Se aprueba el sistema un sistema de identificación, autenticación y firma electrónica común para todo el Sector Público Administrativo Estatal podrán adherirse al sistema mediante convenio otras Administraciones Públicas en las condiciones técnicas, económicas y organizativas que se determinen en las prescripciones técnicas de desarrollo a las que se refiere el apartado Quinto de este Acuerdo. La Dirección de Tecnologías de la Información y las Comunicaciones de la Administración General del Estado podrá acordar ampliar la red de Oficinas de Registro con aquellos organismos públicos que dispongan de despliegue territorial y cumplan los requisitos técnicos necesarios establecidos por resolución de esta Dirección.

20 Firma Kit de Integración Componente Central Se instala uno en cada organismo. Tecnología Java Funciones: Gestión de la firma trifásica y de las comunicaciones con los sistemas de la GISS/DGP. Componente Distribuido - API cliente API a integrar en cada una de las aplicaciones de Administración Electrónica. Tecnología Java, PHP o.net Se encarga de la interacción con el ciudadano y la comunicación con el componente central.

21 Firma - Arquitectura Organismo 1 Aplicación 1 Aplicación 2 API Firma Centralizada API Firma Centralizada Componente Central Aplicación 3 API Firma Centralizada DGP Organismo 2 Aplicación 1 Aplicación 2 API Firma Centralizada API Firma Centralizada Componente Central GISS Aplicación 3 API Firma Centralizada

22 Firma - Arquitectura Librerías PHP, JAVA,.NET ORGANISMO PÚBLICO Servicio JAVA 2 Datos a firmar Servidor Componente de Firma DOCUMENTO 3 1 Solicitud de Firma APP. 7 Firma con Formato API PASARELA Calculo del Hash 6 4 Hash firmado Envío de Hash 5 GISS/DGP Introducción de La clave PASARELA APPLIANCE FIRMA CENTRALIZADA HSM Almacén de Claves Privadas

23 Proceso de Firma Centralizada I Se consulta a la GISS/DGP para saber si el ciudadano identificado con ese NIF posee certificados en la nube. Se pide al ciudadano que seleccione el certificado de firma e indique el documento a firmar. Se prepara la prefirma (parte de la firma trifásica anterior al cifrado de los datos con la clave privada), con los documentos y el hash que debe ser cifrado. Se solicita a la GISS/DGP el uso de la clave privada, devolviendo al usuario una URL en la que debe introducir su contraseña y la clave OTP para el uso del certificado. El usuario introduce los datos requeridos para autorizar el proceso de firma...

24 Proceso de Firma Centralizada II... La GISS/DGP realiza el cifrado de la huella digital con la clave privada del ciudadano (PKCS#1). Se redirige al ciudadano a la página en la que se finalizará el proceso de firma. El API a través del componente central solicita el PKCS#1 generado a la GISS/DGP. El Componente Central recupera el PKCS#1 y realiza la postfirma (tercera parte de la firma trifásica), componiendo la firma electrónica completa (AdES). La página de AE opera con la firma como se haya indicado.

25 Proceso de Firma Centralizada

26 Firma - Pruebas Simulador de Firma Centralizada Librería java Organismo 1 Aplicación 1 API Firma Centralizada Simulador GISS/DGP Aplicación 2 API Firma Centralizada Componente Central Librería de acceso GISS DGP GISS DGP Aplicación 3 API Firma Centralizada Entorno real

27 Identificación y Cl@ve Firma Integración: Kit y documentos de integración en: Alta: Conjuntamente en los dos servicios: Abrir una incidencia en el soporte CAID para iniciar el alta. Rellenar formulario ACL con los datos del organismo. El NIF y el código DIR3 identifican al organismo.

28 Oficinas de Registro Oficinas de Registro Requisitos particulares Regulado por la Resolución de 28 de Septiembre de 2015 de la Dirección de Tecnologías de la Información y las Comunicaciones. Cumplir requisitos del Anexo en cuanto al proceso de registro presencial y las obligaciones de las entidades registradoras Abrir una incidencia en el soporte CAID para iniciar el alta como oficina de registro Aplicación de Registro: Desarrollada y mantenida por la AEAT. Se da de alta un usuario gestor que puede dar de alta usuarios registradores Acceso por certificado

29 Muchas gracias