FIRMA ELECTRÓNICA EN EL MINISTERIO DE EMPLEO Y SEGURIDAD SOCIAL SITUACIÓN PRESENTE Y FUTUROS DESARROLLOS

Tamaño: px

Comenzar la demostración a partir de la página:

Download "FIRMA ELECTRÓNICA EN EL MINISTERIO DE EMPLEO Y SEGURIDAD SOCIAL SITUACIÓN PRESENTE Y FUTUROS DESARROLLOS"

Belén Cano Aranda
hace 8 años
Vistas:

1 FIRMA ELECTRÓNICA EN EL MINISTERIO DE EMPLEO Y SEGURIDAD SOCIAL SITUACIÓN PRESENTE Y FUTUROS DESARROLLOS Miguel A. Gendive Rivas S. G. Adjunto de Tecnologías de la Información y Comunicaciones

2 Conceptos de Firma Electrónica No todas las firmas electrónicas son iguales: Ley 59/2003 Artículo 3 1. La firma electrónica es el conjunto de datos en forma electrónica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificación del firmante. 2. La firma electrónica avanzada es la firma electrónica que permite identificar al firmante y detectar cualquier cambio ulterior de los datos firmados, que está vinculada al firmante de manera única y a los datos a que se refiere y que ha sido creada por medios que el firmante puede mantener bajo su exclusivo control. 3. Se considera firma electrónica reconocida la firma electrónica avanzada basada en un certificado reconocido y generada mediante un dispositivo seguro de creación de firma. No todas las firmas electrónicas tienen los mismos usos: Ley 11/2007 Artículo 4. Principios generales: g) Principio de proporcionalidad en cuya virtud sólo se exigirán las garantías y medidas de seguridad adecuadas a la naturaleza y circunstancias de los distintos trámites y actuaciones.

3 Sistemas de Firma Electrónica basados en certificados Ventajas Garantía de Integridad y no repudio Estándar internacional, interoperabilidad inmediata Todos los datos de firmante, fecha, etc. están incluidos en el propio documento Modelos de firma longeva Inconvenientes Complejidad técnica Necesidad de hardware y/o software específico Ejecución de código en dispositivo de usuario Necesidad de desarrollo de aplicaciones específicas para diferentes dispositivos

4 Otros sistemas de Firma Electrónica Ventajas Mayor sencillez para el usuario No necesitan en general software ni hardware específico Garantía de integridad Inconvenientes Garantía de no repudio inexistente o más difícil de conseguir, necesita otros datos externos como logs de servidor, datos de sesiones, etc. No responden a un estándar, problemas de interoperabilidad Datos de firmante, fecha etc. están en metadatos adicionales Validez en el tiempo?

5 Experiencia del MEySS en Firma Electrónica El Ministerio de Empleo y Seguridad Social tiene una amplia experiencia en firma electrónica: Autoridad de certificación propia reconocida por el Ministerio de Industria como proveedor de servicios de certificación de confianza Tarjeta de funcionario con certificados de autenticación y firma diferenciados, sobre tarjeta inteligente homologada como dispositivo seguro -> Firma electrónica reconocida Tramitación electrónica usando certificados desde 2003 Millones de trámites anuales en los diferentes ámbitos, Ministerio, Seguridad Social, Servicio Público de Empleo Estatal, incluyendo modelos de firma en movilidad

6 Situación actual Saturación en las cifras de uso de certificados electrónicos Panorama tecnológico de creciente complejidad, con el uso de dispositivos móviles, sobre todo por parte de usuarios a título personal Usuarios de empresa con restricciones de seguridad cada vez mayores para la ejecución local de software de firma Acceso desde lugares distintos al puesto de trabajo Todos estos problemas han sido ya detectados por los diferentes gobiernos y órganos de estandarización. Nuevos sistemas de firma en proceso de definición de estándares

7 Firma en servidor Para hacer frente a los mencionados problemas, el Ministerio de Empleo y Seguridad Social está estudiando la posibilidad de implementación de una plataforma de firma en la nube basada en la firma en servidor. Objetivo: Ventajas de la firma usando certificados sin sus complejidades técnicas en el entorno de usuario Certificados y claves privadas almacenadas en un servidor seguro, cifradas y protegidas por un módulo de seguridad HSM. Las claves privadas no salen de este servidor. Proceso criptográfico de firma ejecutado en el servidor No se necesita hardware ni software propietario en el dispositivo de usuario Uso exclusivamente de navegador y código HTML La firma electrónica se convierte en un servicio al que invocan las aplicaciones de negocio Estándar europeo ya aprobado, con fecha de publicación prevista en marzo de 2014, CEN TS419241: Requisitos de seguridad para sistemas fiables que soporten firma en servidor

8 Elementos críticos de la firma en el servidor Este nuevo modelo de firma requiere un especial cuidado en el diseño de algunos aspectos para garantizar la firma avanzada y en su caso reconocida: Registro de usuario. Al igual que ocurre con el DNIe o con otros certificados reconocidos, se necesitará la presencia física del usuario para darle de alta en el sistema. Alternativamente podrá registrarse de forma telemática usando el DNIe u otro certificado reconocido del que ya sea titular. Control exclusivo por el firmante de los medios de firma. Solamente el usuario tendrá acceso a su clave privada para lo cual ésta se cifra con una clave que solamente el firmante conoce y que tendrá que suministrar cada vez que vaya a firmar. Seguridad de uso. Para aumentar la seguridad del sistema se usará un doble factor, algo que el usuario conoce (la clave mencionada en el párrafo anterior) y algo que el usuario posee, por ejemplo un teléfono móvil al que se le enviará una contraseña de un sólo uso cada vez que el usuario quiera firmar un documento

9 Modelo de funcionamiento CIUDADANO ADMINISTRACIÓN 1 Petición de firma por parte del usuario desde un navegador. Aplicación de negocio 2 Solicitud de firma de documento 7 Documento Firmado 3 Contraseña de Firma 5 OTP 4 Envío de SMS con contraseña de un solo uso (OTP) Servicios de firma centralizada 6 Firma con certificado seleccionado

Documentos relacionados

Firma electrónica con o sin certificado?

Firma electrónica con o sin certificado? DEPENDE DE QUÉ DEPENDE? las necesidades de custodia Del tercero de confianza si se trata de autenticación o firma público objetivo Ambito geografico del servicio