La norma tècnica sobre signatura electrònica. Barcelona, 21 de setembre de 2011

Transcripción

1 La norma tècnica sobre signatura electrònica Barcelona, 21 de setembre de 2011

2 Marc Legal Directiva 1999/93/CE, reguladora del marc comunitari per a la signatura electrònica Reial Decret-Llei 14/999, de Signatura Electrònica Llei 57/2003, de Signatura Electrònica Llei 11/2007, d Accès Electrònic dels Ciutadans als Serveis Públics Reial Decret 4/2010, de l Esquema Nacional d Interoperabilitat Resolució de 19 de juliol de 2011, de la Secretaría d Estat per la Funció Pública - aprova la NTI de Política de Signatura electrònica i certificats de l Administració.

3 Aprovació de la Norma Tècnica L esquema nacional d interoperabilitat preveia, des de la seva publicació, el desenvolupament dels aspectes tècnics més específiques a través d un seguit de normes tècniques sectorials. El passat 30 de juliol de 2011 es van publicar al BOE les primeres set d aquestes normes tècniques (queden pendents quatre), inclosa la que tracta sobre polítiques de signatura electrònica i certificats electrònics a l administració.

4 Contingut de la Norma Tècnica Aquesta NTI regula tres matèries diferents: Aspectes formals de les Polítiques de signatura electrònica Regles comunes mínimes sobre signatura electrònica Regles de confiança per a certificats digitals, segells de temps i signatures longeves

5 Polítiques de signatura electrònica Cada Administració Pública s ha de dotar d una política en aquest sentit, que haurà de regular: - Com es generen, validen i conserven les signatures. - Els requeriments dels sistemes que les gestionen. La norma tècnica fa molt d èmfasi en els aspectes formals del document, ja que en ell es fonamenta la confiança que terceres parts puguin dipositar en les signatures electròniques generades i gestionades per les AP: - Identificació clara del document, fent servir mecanismes explotables automàticament (OID). - Identificació de la seva vigència i dels responsables de la seva revisió.

6 Regles comunes de signatura: generació La NTI estableix una sèrie de normes sobre l admisibilitat de formats de signatura i certificats digitals: a) Els formats de signatura admesos hauran d estar descrits a la política. S hauran d ajustar als estàndards europeus i en concret a la NTI de catàleg d estàndards. b) Els formats de signatura emprats hauran de ser: Estàndards amplament acceptats a Europa. Escollits entre els proposats per la Comisió Europea per garantir la interoperabilitat. Compatibles amb polítiques de gestió i generació de signatures que fomentin la interoperabilitat. Tals que permetin funcions de preservació.

7 Regles comunes de signatura: generació La NTI detalls els estàndards a fer servei i els requeriments mínims de les eines de generació de signatures. S estableix també que els objectes digitals resultants de la signatura han d incorporar metadades sobre: Data i hora de signatura Certificat del signant Política de signatura Format original de l objecte, Altres dades opcionals, com ubicació, rol del signant i de la signatura o segell de temps. Si el document pot ser objecte de compartició amb una altra administració, haurà de complir amb l estructurar de la NTI sobre document electrònic.

8 Regles comunes de signatura: validació La NTI estableix el procés per a la validació d una signatura, que ha de cobrir, com a mínim: - Garantirà que la signatura és vàlida en relació amb el fitxer que es mostra. - Garantirà que el certificat era vàlid: En el moment de generar la signatura, si es tracta d una signatura longeva, o està protegida amb un segell de temps i la CA corresponent ofereix informació històrica de validació. En el moment de validar, en qualsevol altre cas. -La comprovació s ha de referir a: Vigència del certificat Cadena de confiança Suficiència de la Declaració de Pràctiques i fiabilitat de la CA. Verificació dels segells de temps associats, si existeixen.

9 Preservació de les signatures L apartat II.7.2 de la NTI parla de l arxiu i custòdia de les signatures. Ofereix dos alternatives per garantir la fiabilitat a llarg termini: a) Signatures longeves: signatures completades amb la validació del certificat, i garantides mitjançant procediments de segellat de temps successiu. b) Preservació basada en la seguretat del sistema d arxiu: no es fan noves operacions sobre la signatura un cop emmagatzemada, però el magatzem en garanteix la integritat mitjançant sistemes auditables acordes a l Esquema Nacional de Seguretat.

10 Resegellat de signatures D acord amb el que descriu l apartat II.7.5, en cas de optar per la opció II.7.2.a), cal: Un mecanisme de resegellat, que renovi el segell amb un algorisme més resistent, quan l anterior estigui a punt de caducar. El procés ha d estar definit a la política de signatura.

11 Emmagatzemament segur En cas de optar per la opció II.7.2.b), cal: Un magatzem que protegeixi la signatura contra alteracions. Garantia del moment en que s ha emmagatzemat. No és imprescindible el segellat de temps, sinó que pot bastar una marca de data i hora, si el conjunt del magatzem és suficientment garantista.

12 Regles de confiança per signatures longeves La secció IV.3 descriu com es construeix una signatura longeva. El requeriment bàsic és que cal incloure un segell de temps en el document que permeti garantir que el certificat era vàlid quan es va realitzar la signatura. Es descriu, per tant, com convertir una signatura estàndar a signatura longeva: Es farà una nova validació, tant de la vigència del certificat com del format de la signatura. Es completarà la signatura amb els certificats del signant i de la cadena de certificació, i l acreditació del seu estat (CRL o OCSP) S aplicarà un segell de temps al conjunt.

13 Regles de confiança per signatures longeves S estableix, també, que la signatura longeva pot ser generada tant per l emisor del document, com per el seu destinatari: És raonable esperar que les administracions públiques que generin documents la vigència dels quals hagi de superar la dels certificats en que es fonamenten, s ocuparan de generar-los directament amb signatures longeves. Tot i això, no existeix una obligació expressa al respecte. Per tant, cal recomanar a qualsevol administració que hagi d acceptar documents electrònics signats, que s asseguri de completar les signatures i garantir-ne la longevitat abans d incorporar-los als seus expedients.