Firma electrónica con o sin certificado?

Transcripción

1 Firma electrónica con o sin certificado?

2 DEPENDE DE QUÉ DEPENDE? las necesidades de custodia Del tercero de confianza si se trata de autenticación o firma público objetivo Ambito geografico del servicio la criticidad del servicios quien deba validarla la herramienta alternativa

3 IZENPE: DE PSC A PSIC EVOLUCIÓN DE LOS SERVICIOS DE IDENTIFICACIÓN Y FIRMA Todos lo servicios de autenticación ofrecidos por Izenpe como PSC en la actualidad giran fundamentalmente en torno a los certificados emitidos en tarjeta; Pero existen herramientas diferentes que combinadas adecuadamente ofrecen niveles de seguridad óptimos para algunos servicios y trámites no críticos. Estos elementos, permiten mantener la seguridad aligerando los dispositivos físicos y el software necesario. Izenpe está en disposición de ofrecer estos mecanismos ejerciendo de 3º de confianza y ofreciendo un seguro de responsabilidad civil anexo que garantiza la fortaleza de dichas autenticaciones. IZENPE PRESTADOR DE SERVICIOS DE CERTIFICACIÓN PRESTADOR DE SERVICIOS DE IDENTIFICACIÓN Y CONFIANZA

4 IZENPE: DE PSC A PSIC Para construir relaciones electrónicas confiables (independientemente de su naturaleza) es fundamental garantizar la identidad de las partes intervinientes. y Tú de quien eres? Desde Izenpe consideramos fundamental la personación del ciudadano ante las entidades publicas de identificación (en el sentido más amplio de la palabra). La relación entre el ciudadano y la administración depende de la identificación previa y reciproca de ambos. Y el valor de un tercero de confianza

5 IZENPE: NIVELES DE SERVICIO EVOLUCIÓN DE LOS SERVICIOS DE IDENTIFICACIÓN Y FIRMA Generan una jerarquía de elementos de identificación y una taxonomía de servicios asociando en nivel requerido o aconsejado para cada uno de ellos, con distintos niveles de aseguramiento. FEB > FIRMA ELECTRÓNICA BÁSICA FEA > FIRMA ELECTRÓNICA AVANZADA FER > FIRMA ELECTRÓNICA RECONOCIDA (CLÁSICA) FEN > FIRMA ELECTRÓNICA EN LA NUBE

6 FEA > FIRMA ELECTRÓNICA AVANZADA No siempre es necesario un certificado para tener firma electrónica JUEGO DE BARCOS + PIN: Consideración de firma electrónica avanzada. Elimina la necesidad de: chip en la tarjeta, software, lector, complejidad de uso. Permite ahorro de costes (acceder a la visualización y cambio del PIN vía web. Se utilizarán los Juegos de Barcos distribuidos en las tarjetas de IZENPE (ONA, tarjeta verde) Se distribuirán nuevos juegos de barcos de IZENPE por correo electrónico de manera segura. Podrán utilizarse los juegos de barcos o tarjetas de coordenadas de las entidades de confianza con las que se haya el correspondiente convenio. IZENPE solicitará la identificación a la entidad de confianza seleccionada.

7 FEA > FIRMA ELECTRÓNICA AVANZADA No debemos olvidar que este tipo de firma permite: Identificar al firmante. Y detectar cualquier cambio ulterior de los datos firmados, que está vinculada al firmante de manera única y a los datos a que se refiere y que ha sido creada por medios que el firmante puede mantener bajo su exclusivo control. Se utilizarán los Juegos de Barcos distribuidos en el anverso de las tarjetas de IZENPE de certificados ciudadano (ONA, tarjeta verde) Se distribuirán nuevos juegos de barcos de IZENPE a quienes lo soliciten de manera expresa o dentro de proyectos administrativos concretos.

8 FER > FIRMA ELECTRÓNICA RECONOCIDA Firma electrónica reconocida / Firma electrónica cualificada Firma Electrónica Avanzada Basada en certificado reconocido Única que equivale a la firma manuscrita Aceptación transfronteriza: reconocimiento y aceptación en todos los estados miembros.

9 FEN > FIRMA ELECTRÓNICA EN LA NUBE El uso de certificados cada día más habitual en organizaciones, desde usos comunes como la autenticación en páginas web para la realización de trámites hasta otros más avanzados como la firma de correos electrónicos o el cifrado de datos; Hace que cada vez es más importante que los usuarios puedan utilizar sus certificados en cualquier momento. Por ello hay que superar las limitaciones de los soportes físicos y la necesidad de software ahora vigente en mi puesto de trabajo físico pero y si trabajo en la nube? De esta necesidad nace un nuevo concepto de uso Así los certificados permanecen almacenados en un repositorio centralizado seguro, accediendo a ellos los usuarios mediante un pequeño software en el equipo. Este software cliente gestiona las peticiones de uso de los certificados por parte de los usuarios, conectando con el repositorio central y solicitando las operaciones criptográficas necesarias.

10 FEN > FIRMA ELECTRÓNICA EN LA NUBE VENTAJAS La generación y la renovación de los certificados son mucho más rápidas y sencillas. Se eliminan las revocaciones por pérdidas de tarjetas y se ahorra la remisión de los certificados. Los certificados permanecen en un repositorio seguro y sólo son accesibles por los propietarios, eliminando los robos de tarjetas y los peligros de que otras personas conozcan el PIN de las mismas. La revocación de uso de los certificados está centralizada y es mucho más rápida y sencilla.

11 FEN > FIRMA ELECTRÓNICA EN LA NUBE - ARQUITECTURA 11

12 Y LA WEB >SSL Y SSL EV Los primeros pasos fueron las guías para emisión de SSL con EV formuladas por CA/B Forum y trasladadas a la certificación ETSI. Ahora las guías de emisión llegan a los certificados de Servidor Seguro SSL también formuladas por el CA/B Forum y adaptadas a los estándares de ETSI para aquellos de validación de dominio o de validación del sujeto (organización y/o persona solicitante) Auditorias obligatorias para poder emitir cualquier certificado de tipo SSL Requisitos de los navegadores para poder estar en sus root programs Inclusión en el nuevo reglamento de la UE ETSI TS V2.4.1 policy OVCP. > Certificados SSL ETSI TS V2.2.1 policy EVCP. > Certificados SSL EV

13 IZENPE CÓMO ESCOGER UNA HERRAMIENTA U OTRA? ANÁLISIS DE SERVICIOS Y RIESGOS REALES El nivel de identificación a escoger, además de por sencillez, comodidad o usabilidad debe corresponder a un análisis anterior de cada servicio. En cada trámite deberá conocerse y valorarse el nivel de riesgo existente y el aceptable/asumible por el prestador del servicio para cada tipo de identificación para la adopción de uno y otro. Así como las consecuencias posibles en el caso de un problema con el sistema escogido. RIESGOS Y CRITICIDAD PERCIBIDA El análisis no sólo debe valorar de forma cuantitativa el riesgo real adoptado por el servicio con cada tipo de identificación. Sería bueno conocer el nivel de percepción de riesgo o criticidad sobre el trámite que tiene el usuario final/ciudadano y que marca su reticencia al uso o no del canal telemático más allá de otras percepciones como complejidad o tiempo.

14 IZENPE PSC + PSI GESTIÓN INTEGRAL DE IDENTIDADES Izenpe pasa a prestar servicios COMPLETOS de identificación, autenticación y firma. De este modo se asegura el nivel de seguridad en los trámites, se cuenta con una generación controlada y por un 3º de confianza de los elementos de identificación. Se facilita la gestión y control de las diferentes identidades digitales y necesidades de autenticación en los diversos servicios. Se limitan el número de identificadores digitales a utilizar y memorizar. SEGURO Como ya se presta desde Izenpe como PSC y tal y como se ofrece para certificados SSL EV en casos de empresas privadas. Los servicios de Identificación pueden ir acompañados de una garantía ofrecida por un seguro de responsabilidad civil, fortaleciendo de este modo la percepción de seguridad de la entidad.

15 > COMUNICACIÓN CERTIFICADA es un servicio en el que Izenpe actúa como tercero de confianza ofreciendo garantías de que una determinada comunicación entre dos entidades o sujetos ha tenido lugar, en qué momento ha tenido lugar y sobre la integridad del contenido. Se presta sobre dos canales: REM: Registered SMS certificado con una triple exigencia Constancia de la transmisión y recepción y de sus fechas Constancia del contenido integro de las comunicaciones Identificación fidedigna del remitente y del destinatario de las mismas SENCILLEZ TECNOLÓGICA CON VALIDEZ JURÍDICA 15

16 > COMUNICACIÓN CERTIFICADA RECEPTOR Leer correos CLIENTE DE CORREO RECEPTOR CLIENTE DE CORREO RECEPTOR certificado Leer buzón genérico SERVICIO DE CERTIFICADO SERVIDOR DE CORREO IZENPE certificado Envio confirmación rte. Envio certificado Leer correos Envio Confirmación CLIENTE DE CORREO RECEPTOR CLIENTE DE CORREO RECEPTOR PLATAFORMA DE CERTIFICADO Generar TS Firmar TS REMITENTE Enviar correos 16

17 IZENPE PSC + PSIC + SERVICIOS + INTEROPERABILIDAD Una única base de herramientas de identificación al servicio del conjunto de las administraciones públicas, unido a la interoperabilidad de los sistemas existentes hacen Ndo de Interoperabilidad y Seguridad De las Administraciones Vascas SE AHORRAN COSTES, SE AGILIZAN TRÁMITES

18