Escenarios de uso ISS (Innovery Security Services) Documentación proceso y gestión PKI

Transcripción

1 1

2 2

3 La solución IEESS Características Funcionalidades Generación y verificación de firma Firma remota, síncrona, asíncrona Portafirma Escenarios de uso ISS (Innovery Security Services) Ciclo de vida de los certificados Gestión centralizada de los certificados Integración con SIEM Documentación proceso y gestión PKI 3

4 Aplicación de Firma IEESS Firma Biométrica Gestión de Certificados Sencillez de uso, de puesta en funcionamiento y de gestión Posibilidad de integrar dentro de las aplicaciones existentes Robustez, seguridad, modularidad y escalabilidad de la arquitectura 4

5 Solución completa, integrada y modular. Características principales: Generación y verificación de la firma Firma digital y electrónica Autenticación fuerte con OTP, factor de biométrica y de tarjetas inteligentes, etc. Integración con los sistemas, las aplicaciones y los marcos existentes. Abierta y completamente flexible para los posibles escenarios futuros El análisis detallado de los casos de usos y la correspondencia con las necesidades de los usuarios Solución proyecta para el apoyo a la gestión del ciclo de vida de los certificados y todos los dispositivos implicados. 5

6 Services Centric suite, based on SOA Signature Services Orchestrator Security Client Porta Firma Remote Signature Biometric Signature IEESS Innovery Enterprise Electronic Signature Suite ISV CA Client Signature Pad/ Tablet CRM/SAP Legacy System ECM/DMS Biometric Factors Authentication Services Other Authentication Factor OTP Document WFM Signature Speech User Identity & Device OTP PortaFirma Signature Services Orchestrator Finger Path User Identity & Device OTP Security Client Voce Device OTP Provisioning Authentication Factors OTP User Identity & Device RA Services Biometric User Identity & Device Signature Services Electronic Seal FEA FEQ Signature Verification & Archiving TSS HSM Infrastructure CA Services CA Audit Forensic OCSP 6

7 Basada en el paradigma SOA (Arquitectura Orientada a Servicios) Funcionalidades invocadas por medio de servicios web Interoperabilidad entre diferentes sistemas Uso de las funcionalidades individuales como componentes Basada sobre las más importantes normas existentes Arquitectura adaptada a escenarios de uso de una muy alta complejidad en cuanto a procesos y aplicaciones Facilita la interacción entre las diferentes áreas de la empresa Permite a las unidades de negocio el desarrollo de procesos eficaces, tanto internos como externos Mejora la flexibilidad y capacidad de adaptación a los nuevos escenarios 7

8 Tipología de firmas Firma Digital Automática (masiva y remota) Firma Electrónica Firmas Múltiples Formatos y estándares soportados PKCS # 7/CMS/CAdES (niveles de "BES" hasta "A" RFC ETSI TS ): la firma de cualquier información o archivo XML / XAdES (niveles de "BES" hasta "A" RFC ETSI TS ): Firma XML. Apoyo a la visualización utilizando hojas de estilo autenticados PAdES PDF (Niveles de "BES" hasta "LTV" ETSI TS ): firma y verificación utilizando Acrobat Reader Autenticación en páginas web seguras Firma Electrónica para el correo electrónico Cifrado y descifrado de documentos Otros formatos y estándares soportados Marca de tiempo (RFC 5816) PKI - Certificados y CRL (RFC 5280) OCSP (RFC 2560) Archivo y conservación (RFC 4998) 8

9 Los servicios centralizados para la Generación y verificación de firma (OASIS DSS) Los protocolos para la firma y verificación basados en servicios web Ventajas de la arquitectura: - Evita la distribución de tokens criptográficos, lectores y controladores relacionados, evitando la pérdida y el robo de claves - Toda la complejidad relacionada con la verificación de la firma se encuentra en los servidores - Reduce el impacto debido a los cambios (nuevas versiones de las normas, la actualización de las normas, etc) - Gestión centralizada de las llaves y del estado de los certificados o o o Lugar central para administrar todos los certificados de su usuario Revocar la suspensión y reactivación Habilitar \ uso Disable Certificado - Gestión centralizada de las políticas de "firma" o o o o Tipos de firma Número máximo de firmas Activación por plazo de tiempo Autorización basada en IP - Logs y registros en todas las medidas y por el resultado de las operaciones de verificación, para fortalecer el valor jurídico 9

10 Basado en el uso de un HSM, certificado para la generación de la clave y la protección de clave El desbloqueo de las claves se realizan sólo después de una autenticación fuerte de los usuarios, la verificación de la autorización para la ejecución de la operación y la comprobación de que el número de intentos de desbloqueo no exceda el máximo permitido (como para la tarjeta inteligente) La generación de claves se realiza totalmente en el HSM La firma se hace enteramente dentro de la HSM El seguimiento de todas las operaciones solicitadas y realizadas Administrar más de un certificado por usuario Administrar certificados compartidos 10

11 Ejecutado directamente y de forma interactiva por el titular del certificado Asociado a la certificación de las personas Asociado a Certificados de empresa Integrado con: - Aplicaciones de mercado tales como Acrobat Reader (utilizando Reader Extensions), Outlook, Word, etc (CSP interfaz PKCS # 11, Java JCE CSP) - Aplicaciones a medida a través de un componente que se puede ejecutar desde un archivo. NET o a través de los servicios web basados en DSS (OASIS) - Viene también con una aplicación web fácil de usar para firmar, verificar, cifrar y descifrar cualquier tipo de documento. o o Completamente compatible con HTML5 (sin Applet, Plugin o ActiveX necesarios) interfaz móvil 11

12 Firma digital automática (por lotes) Se puede ejecutar desde: servidor de aplicaciones servidor de correo electrónico Servicios Web (por OASIS DSS) Aplicaciones personalizadas a través de un componente que se puede ejecutar desde un marco.net Asociada a los certificados Individuales (desbloqueo ejecutado por el titular) Empresarial (desbloqueo ejecutado por una persona autorizada dentro de un grupo) Modo de activación: Sesión única Para la activación del servicio/proceso Permanente (hasta que la desactivación) Trazado de ruta de todas las operaciones como: desbloqueo, firma, sesión expirada, etc. 12

13 Acceso la solución ofrece la posibilidad de autenticación mediante tres tipos de acceso: certificado usuario y clave integración con el Directorio Activo (AD) y LDAP 4 bandejas distintas Bandejas de peticiones: firmar o devolver una petición, marcar como leída/no leída, aplicar etiqueta... Bandejas de peticiones en espera: peticiones que no podemos firmar o rechazar hasta que los firmantes anteriores en el orden establecido, los firmen. Bandejas de peticiones terminadas: peticiones ya devueltas o firmadas, a parte de las opciones comentadas en la bandeja de peticiones Bandejas de peticiones enviadas: peticiones enviadas desde la pantalla de redacción, a parte de las opciones comentadas en la bandeja de peticiones, podemos encontrar las opciones de aplicar etiqueta a la petición y la descarga de informes de firma. 13

14 Tipo de firma Cascada: se establece un orden para la firma Paralela: se firma en cualquier orden Avisos ( ) cuando cuando la petición cambie al estado seleccionado Inicio: la petición no aparecerá en la bandeja del destinatario hasta la fecha que se ha seleccionado Caducidad: solo es de modo informativo, por lo que puede seguir siendo firmada Definición de visto bueno 14

15 15

16 Payment Terminal e.g. Ingenico Cash register Signature Biometric Server Signature Tablet e.g.:significant ColorPad PC http(s) IEESS (BioSignIn) Voice Biometric Server Tablet e.g., ipad, Android Voice Fingerprint Biometric Server Fingerprint HSM (Hardware Security Module) 16

17 Realiza todos los servicios core de la plataforma ISS Orchestrator Proporciona un punto de acceso único para todos los servicios de seguridad que utilizan los Servicios Web basados en OASIS DSS Proporciona a los módulos de integración ISE todos los servicios de seguridad a través de los componentes de back-end De un lado está relacionada con todos los componentes de back-end, y en el otro lado a la autenticación y componente de autorización ISS Autenticación y Autorización Gestiona la autenticación de usuarios a través de OTP, factor de biométrica y de tarjetas inteligentes (ampliable a otros mecanismos) Controla los permisos de usuario para el acceso a los recursos Posible integración con los Sistemas de Gestión de Identidad (SAML) Integración con Microsoft Active Directory 17

18 Separación de funciones de responsabilidad, sobre todo los roles del personal que interactúa con la infraestructura, en cumplimiento de la norma ISO / IEC (actualización de la norma BS 7799). Soporte a la definición de los grupos de tareas que deben ser realizadas por personas diferentes y no tienen relaciones de subordinación directa entre ellos: Sistemas de Gestión Gestión de claves y de dispositivos criptográficos Control de la Administración y de los controles de seguridad Auditoría Estos roles son administrados generalmente a través de mecanismos y directorios existentes de autenticación y autorización, como los sistemas de gestión de identidades o de Active Directory. El HSM, teniendo en cuenta la criticidad, proporciona sistemas de autenticación fuerte directamente suministradas con el equipo y necesarias para evitar cualquier abuso. 18

19 Registro de todos los usuarios que deben recibir un certificado. Puede ocurrir a través de: Conexión con Active Directory Base de datos de usuario (LDAP) Integración con el Sistema de Gestión de Identidades Gestión del proceso de registro (Innovery WEBRA, Innovery BackEnd registro) Asignación de perfiles y roles de certificados a los usuarios (ya sea manual o automatizado) Autorización, también a distintos niveles, de la asignación de los certificados y papeles 19

20 Repositorio de usuarios Active Directory, LDAP, etc. CA 1 CA 2 WS IEESS Web /WS - Registración - Emisión - Suspensión - Reactivación - Revocación CA 3 - Pedido - Aprobación (opcional) - Emisión en - Smart Card - Fichero - HSM - SCEP 20

21 Un repositorio único, seguro y centralizado Integración con los sistemas de credenciales corporativos Evita acciones técnicas en cada estación de trabajo Gestión a través de políticas de uso Certificados compartidos Registro y monitoreo completo de todas las acciones Revocación posible con un solo clic Notificaciones con antelación de las expiraciones Destrucción de los certificados de manera centralizada 21

22 Todos los módulos producen logs que se recogen, catalogan y almacenan de forma segura dentro de las herramientas SIEM Proporciona todos los ajustes necesarios para permitir que los agentes puedan interpretar correctamente los logs Los logs contienen al menos la siguiente información necesaria para la auditoría: Fecha / Hora Operación completada Autor de la operación El éxito de la operación y la posible descripción 22

23 Environment Base de datos Servidores de Aplicaciones Sistemas Operativos (clientes) Types Oracle 11.x, MsSQL Server, MySQL, Postgress WebSphere 6.x, GlassFish Enterprise Server 2.x, Apache Tomcat 6.x, JBoss Ws7, Ws8, Apple, Ubuntu, Mac OSX (Intel based) Navegadores IE 7, 8, 9, 10; Chrome 11 up, Firefox 4 up; Safari 5 up (Mac OSX) 23

24 RFC 3647 (Informacional) provee un text explicativo y descriptivo que define: La política de un certificado (CP) La regla práctica de certificación (CPS) Este RFC es muy ampliamente citado en diferentes contextos: Básicamente, toda PKI a gran escala publica un CPS y usa las características de 3647 como modelo Cuando un emisor de certificado publica una política de certificado (CP), comúnmente sigue el formato definido en este RFC Hay un perfil en 3647; el cual nominalmente aplica tanto a documentos de CP como a los de CPS 24

25 X.509 define una política de certificado como un conjunto nominal de reglas que indica la aplicabilidad del certificado a una comunidad específica y/o a una aplicación de clase con requerimientos de seguridad comunes Un CP provee una guía para responder a las partes, y para ayudarlas a saber si un certificado es apropiado para su uso conjuntamente con una aplicación específica Un CP provee protección de confianza para una CA al declarar el rango de usos pretendido para los certificados expedidos por la CA 25

26 El objetivo de una PKI Los participantes de una PKI (CAs, Suscriptores, RPs) Cómo son publicados los certificados y los CRLs (modelo de repositorio) Los usos permitidos y prohibidos para los certificados en la PKI Los nombres de los formularios permitidos en los certificados Los procedimientos para la emisión de certificados, la aceptación, la revocación, re-key, y modificación Etc. 26

27 RFC 3647 define a un CPS como una descripción más detallada de las prácticas seguidas por una CA al emitir o gestionar certificados [ ] publicadas o referenciadas por la CA Un CPS es un documentos específica de la CA, en el cual un CP puede ser común entre varias CAs en la misma PKI Un CPS también documenta las formas por las cuales los sujetos y las partes de confianza interactúan con la CA Un CPS puede ser usado por las partes de confianza para seleccionar una CA Para la emisión del certificado, entre múltiples candidatos Como un ancla confiable, entre múltiples candidatos apropiados 27

28 REGISTRERED OFFICE Brescia Via Creta, tel fax CORPORATE HEADQUARTERS Milano Via P. Borsieri, tel fax Roma Via G. A. Resti, tel fax Ciudad de México Avenida Paseo de la Reforma, piso Despacho 602 Juarez Cuauhtemoc DF, Mexico Ciudad de México Alfonso Napoles Gandara, 50 4 piso Col. Pena Blanca Santa Fé DF, Mexico Madrid C/Maria Tubau 3, plta Madrid Tel Fax INNOVERY info@innovery.net