Las Firmas y los Certificados electrónicos (de la Administración Pública del Estado-CSIC)

Transcripción

1 Las Firmas y los Certificados electrónicos (de la Administración Pública del Estado-CSIC) Luis Hernández Encinas Grupo de investigación en Criptología y Seguridad de la Información (GiCSI) Dpto. Tratamiento de la Información y Criptografía (TIC) Instituto de Tecnologías Físicas y de la Información (ITEFI) Consejo Superior de Investigaciones Científicas (CSIC) luis@itefi.csic.es ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 1 / 48 Contenidos 1 Definición de firma electrónica Claves para firmar Certificado digital Aplicaciones desarrolladas Firmar documentos Adobe (PDF) ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 2 / 48

2 Definición Definición de firma electrónica Claves para firmar Certificado digital Una firma digital es la versión electrónica de una firma manuscrita. Su uso está regulado por la Ley 59/2003 y tiene la misma validez legal que la manuscrita. La firma depende del firmante y se calcula para cada documento. Por tanto, cada firma electrónica es única. Debe ser fácil de calcular, fácil de verificar y difícil de falsificar. La elaboración de una firma electrónica requiere que el firmante posea un par de claves asociadas: Una clave privada (secreta) para elaborar la firma. Una clave pública (pública) para verificar la firma. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 4 / 48 Par de claves Definición de firma electrónica Claves para firmar Certificado digital El par de claves que una persona posee se determina a partir de determinados cálculos matemáticos. Las claves permiten, además, que se lleven a cabo procesos de cifrado y descifrado de información. Cifrado: C, Descifrado: D. Clave pública: K, Clave privada: k. Los procesos de cifrado/descifrado y las claves pública/privada deben cumplir lo siguiente, para cada mensaje m: D K (C k (m)) = m, D k (C K (m)) = m. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 5 / 48

3 Definición de firma electrónica Claves para firmar Certificado digital Ejemplo típico de clave pública RSA2048 = = p q. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 6 / 48 Certificado Definición de firma electrónica Claves para firmar Certificado digital Un certificado digital (X.509, v.3) es un fichero que contiene (entre otros datos) la clave pública (y privada) de una persona y está avalado (firmado electrónicamente) por una entidad de confianza o Autoridad de Certificación (AC). La FNMT emite certificados digitales (los certificados del DNIe están emitos por la DGP-FNMT). El certificado digital contiene, entre otros datos, los siguientes: Filiación del propietario (nombre, DNI, ). Protocolo de firma que se lleva a cabo (C, D). Autoridad de certificación que emite el certificado (FNMT). Fecha de emisión y de caducidad (2-3 años). Clave pública privada del propietario (K k ). de la autoridad de certificación. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 7 / 48

4 Definición de firma electrónica Claves para firmar Certificado digital Firma de un certificado por una AC Todo certificado debe estar firmado electrónicamente por una Autoridad de Certificación (AC) para ser válido. Este proceso de firma lo lleva a cabo la AC a la vez que genera el certificado y consiste en lo siguiente: 1 Recopila los datos del usuario y las claves generadas por su navegador. 2 Calcula un resumen (hash) de todos los datos recopilados. 3 mente el resumen anterior y lo une a los datos recopilados (Valor de la firma del certificado o Huella digital). ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 8 / 48 Definición de firma electrónica Claves para firmar Certificado digital Verificación de un certificado firmado por una AC Antes de que un certificado personal (el único que puede tener claves privadas) sea instalado en el almacén de un navegador, éste verifica que está firmado por una AC de las incluidas en su almacén de certificados (Autoridades) de la siguiente manera: Calcula el resumen (hash) de todos los datos recopilados del certificado, sin incluir la firma electrónica de la AC. Descifra la firma del certificado con la clave pública de la AC (debe estar en su almacén de Autoridades). Compara el resumen calculado con lo descifrado y decide sobre su autenticidad. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 9 / 48

5 -1 Nuestros certificados los emite la FNMT pero los valida el CSIC: Conectarse con un navegador (Explorer/Firefox/Chrome) a la dirección Si el lugar no fuera de confianza, pulsar en Entiendo los riesgos Añadir excepción Confirmar excepción de seguridad. Rellenar los datos: NIF, primer apellido y NIF del CSIC (Q D). Elegir la longitud de la clave 2048, que corresponde a Grado alto, Aceptar las condiciones y Enviar la petición. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 11 / 48-2 La FNMT presenta un código de nueve dígitos, que hay que anotar o imprimir (Muy importante). Abandonar la página. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 12 / 48

6 -1 Acceder a la Intranet del CSIC. Elegir Peticiones TIC. En Nueva Petición seleccionar Solicitud de certificado de Empleado Público AP (PR-029) (v.1). ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 13 / 48-2 El sistema presenta un formulario (parcialmente rellenado) en el que hay que añadir los siguientes datos: Tipo de personal (Funcionario o laboral), el Cargo/Puesto y el Código Solicitud que es el código de nueve dígitos que la FNMT presentó cuando se solicitó el certificado y Cursar la petición. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 14 / 48

7 -3 Aparece el listado de las peticiones TIC que el solicitante ha hecho al CSIC. Abandonar la página. Poco después llega un correo desde con el asunto Gestión de Peticiones: Nueva petición enviada. Solicitud de Certificado AP para.... Si se accede a la web que se incluye en el correo, se verá el estado actual de la petición. La Oficina de Registro del CSIC y la FNMT gestionan el certificado y el solicitante recibirá un correo electrónico informándole si se acepta o se rechaza su solicitud. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 15 / 48 Proceso de Verificación Uno o dos días después de realizada la petición, llega otro correo de peticiones@csic.es con el asunto Gestión de Peticiones: Contrato para la solicitud de certificado AP: Solicitud de Certificado AP para... informando de que la solicitud ha sido verificada y que ya es posible descargarse el certificado. En dicho correo se avisa de que se recibirá por correo ordinario un contrato por duplicado (cosa que sucede en un par de días). Una de las copias es para el solicitante y la otra hay que firmarla y enviarla, por correo ordinario y antes de diez días, a la Secretaría General Adjunta de Recursos Humanos del CSIC. Funcionarios: Att. Carmen de Miguel/M a José Romanillos. Laborales: Att. Carmen de Miguel/Josefina Rascón. Consejo Superior de Investigaciones Científicas, Serrano, 117. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 16 / 48

8 Descarga del certificado personal Cuando se recibe el correo confirmando que se puede descargar el certificado, se vuelve a utilizar el mismo navegador y se conecta uno a la página (se menciona en el correo recibido). De nuevo se rellenan los datos que se piden: NIF del solicitante, primer apellido del solicitante, NIF del CSIC (Q D) y el Código de nueve dígitos que suministró la FNMT. A continuación se Descarga el Certificado y se Instala el certificado en el navegador. Una vez que esté instalado, se nos avisa. (La ruta de certificación puede descargarse también.) Si en el proceso se nos pregunta si queremos guardar el certificado como exportable hay que responder SÍ. Una vez instalado el certificado se puede abandonar la página. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 17 / 48 El certificado no está protegido!!! El certificado que se ha instalado está disponible para cualquiera que acceda al ordenador, es decir, no tiene protección añadida. Esto es así, porque se da por hecho que el proceso de instalación sólo ha podido llevarlo a cabo el solicitante (se le ha pedido el código de nueve dígitos que sólo él conoce). Para evitar que cualquiera que tenga acceso a nuestro ordenador pueda usar nuestro certificado y firmar en nuestro nombre, hay que proteger el acceso al uso del certificado personal mediante una contraseña (luego veremos cómo hacerlo). ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 18 / 48

9 Comprobación del certificado personal Firefox: Herramientas Opciones Avanzado Certificados Ver certificados Sus certificados. Explorer: Herramientas Opciones de Internet Contenido Certificados Personal. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 19 / 48 Ver el certificado personal Cuando se comprueba que nuestro certificado está instalado, es posible visualizar su contenido. Para ello, se selecciona el certificado y se elige Ver... ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 20 / 48

10 Ver el contenido del certificado personal Pulsando en la solapa Detalles se puede ver más información sobre el certificado, como la clave pública o información personal. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 21 / 48 Comprobación del certificado de la AC Firefox: Herramientas Ver certificados Autoridades. Explorer: Herramientas Certificados Entidades de certificación raíz de confianza. Se localiza el certificado de la AC APE - FNMT-RCM. Si no está instalado, hay que importarlo (se verá más adelante). ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 22 / 48

11 Copia de respaldo del certificado Para instalar el certificado en otros ordenadores (casa, portátil, etc.) o evitar pérdidas, es muy importante hacer una copia de respaldo. Se pueden hacer dos tipos de copia de respaldo: sin incluir la clave privada (no servirá para firmar, pero sí para que nos cifren información), o incluyendo la clave privada (se podrá firmar posteriormente con él). Si se exporta con la clave privada es muy importante proteger el acceso al fichero con una contraseña porque las claves privadas permiten firmar electrónicamente un documento. Si no está protegido y alguien se hace con el fichero del certificado, podría firmar en nuestro nombre, suplantándonos (la firma electrónica tiene la misma validez legal que la manuscrita). La copia de respaldo con la clave privada permite instalar de nuevo el certificado en un navegador, protegiéndolo con una contraseña. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 24 / 48 Copia de respaldo del certificado desde Firefox Acceder al almacén de certificados de Firefox (Sus certificados), seleccionar el certificado a exportar y elegir Hacer copia... Elegir dónde se guardará (disco duro, pendrive, etc.) y el nombre del fichero (se debe mantener la extensión.p12). Proteger el acceso al fichero mediante la Contraseña de respaldo del certificado (deberá recordarse para usos futuros) con una buena calidad. Se informa del éxito de la operación. Salir de Firefox. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 25 / 48

12 Copia de respaldo del certificado desde Explorer El Explorer preguntará si se desea exportar la clave privada. Acceder al almacén de certificados del Explorer (Personal). Elegir Exportar Siguiente y luego marcar si se hará la exportación con o sin la clave privada Siguiente. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 26 / 48 Exportar un certificado desde Explorer con clave-1 Se ha elegido Exportar la clave privada. El formato del archivo es por defecto.pfx Siguiente. Localizar dónde se va a guardar el archivo y escribir su Nombre (Examinar) Siguiente Finalizar. Se pide una contraseña y su confirmación para proteger el fichero (obligatorio). ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 27 / 48

13 Exportar un certificado desde Explorer con clave-2 Si el acceso al fichero ya estuviera protegido por una contraseña (por haber sido instalado previamente de esta manera), se pide la clave de acceso para ser exportado. Nunca marcar Recordar contraseña. El sistema informa del éxito o no de la exportación. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 28 / 48 Exportar un certificado desde Explorer sin clave Se ha elegido No exportar la clave privada. Seleccionar el formato del archivo Siguiente. Localizar dónde se va a guardar el archivo y escribir su Nombre (Examinar) Siguiente Finalizar. El sistema informa del éxito o no de la exportación. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 29 / 48

14 Exportar un certificado desde Firefox La exportación de un certificado desde Firefox significa que se almacena el certificado en un fichero, pero sin incluir la clave privada del usuario, lo que impide que se pueda utilizar en un futuro como certificado de firma. La exportación no protege el fichero del certificado y puede ser enviado a otras personas para que nos cifren información (las claves públicas van en el certificado exportado). Acceder al almacén de certificados de Firefox (Sus certificados), seleccionar el certificado que se desea exportar y elegir Ver. Seleccionar la pestaña Detalles Exportar y elegir dónde se desea almacenar el fichero. El nombre (por defecto) del fichero es el del propietario del certificado con su NIF y la extensión es.crt. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 30 / 48 Importación de un certificado Si se desea importar un certificado al almacén de un navegador, el proceso que se sigue depende de si el certificado tiene incluida la clave privada del propietario o no. A continuación se muestra el proceso que se debe seguir para importar un certificado personal con clave privada. La importación de un certificado sin clave privada es mucho más sencilla puesto que se lleva a cabo de modo inmediato, sin que sean pedidas claves que lo protejan. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 31 / 48

15 Importación de un certificado personal a Firefox Acceder al almacén de certificados de Firefox (Sus certificados) y seleccionar Importar... Elegir el lugar desde donde se desea importar el certificado (disco duro, pendrive, etc.) y seleccionar el certificado (extensión.p12). Introducir la Contraseña de respaldo del certificado. El sistema informa si la importación tuvo o no éxito. A partir de este momento, el acceso al certificado para firmar está protegido por la Contraseña de respaldo del certificado. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 32 / 48 Importación de un certificado personal a Explorer-1 Acceder al almacén de certificados del Explorer (Personal). Elegir Importar Siguiente y en la ventana Examinar ir al lugar desde donde se desea importar el certificado (disco duro, pendrive, etc.). ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 33 / 48

16 Importación de un certificado a Explorer-2 En la ventana de importación, elegir Nombre de archivo-examinar, seleccionar los ficheros con extensión.pfx o p.12 y elegir el certificado a importar, luego pulsar en Siguiente. Marcar las casillas Habilitar protección... y Marcar esta clave... Escribir la contraseña con la que se protegió el fichero en Contraseña y pulsar en Siguiente Siguiente Finalizar. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 34 / 48 Importación de un certificado a Explorer-3 En Clave privada de CryptoAP elegir Nivel de seguridad. Nunca Aceptar con el Nivel de seguridad: medio. En la ventana siguiente seleccionar Alto y luego pulsar en Siguiente. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 35 / 48

17 Importación de un certificado a Explorer-4 En Crear una contraseña escribir una contraseña para proteger el acceso a las claves para firmar un documento (puede ser la misma que la que protege el fichero), elegir Finalizar Aceptar. Se informa de si el proceso ha ido bien y se observa que el certificado se ha importado. A partir de este momento, el acceso al certificado para firmar está protegido por la Contraseña elegida. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 36 / 48 de AC (sin clave) a Firefox Acceder al almacén de certificados de Firefox (Autoridades) y seleccionar Importar. Seleccionar el certificado a importar (con extensión.cer o.crt) y pulsar en Abrir. Marcar las tres casillas de Confiar en esta CA para... y Aceptar. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 37 / 48

18 de AC (sin clave) a Explorer Acceder al almacén de certificados de Explorer (Entidades...) y seleccionar Importar Siguiente. Seleccionar el certificado (Examinar) (con extensión.cer o.crt) y pulsar en Abrir Siguiente. Marcar Seleccionar... o Colocar...-Examinar según convenga y Finalizar. Se informa del éxito de la operación. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 38 / 48 Aplicaciones Aplicaciones desarrolladas Firmar documentos Adobe (PDF) Existen aplicaciones para firmar electrónicamente documentos: Administración General del Estado. Comunidades Autónomas. Administración Local. Otros Organismos Públicos. Sector Privado (accesos bancarios). Programas informáticos. ( Recordatorio: Si el certificado de la AC que ha emitido un certificado personal no está incluido en el almacén de certificados de las Autoridades del navegador, hay que hacerse con él (es público) y se debe instalar antes de hacer uso del certificado personal. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 40 / 48

19 Identidades de confianza-1 Aplicaciones desarrolladas Firmar documentos Adobe (PDF) Adobe usa el almacén de certificados del Explorer, por tanto, se debe tener instalado el certificado de la AC correspondiente al certificado personal que se vaya a usar. En el menú de Adobe Acrobat (9.0 Pro) seleccionar Avanzadas Administrar identidades de confianza... En Mostrar Certificados Agregar contacto. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 41 / 48 Identidades de confianza-2 Aplicaciones desarrolladas Firmar documentos Adobe (PDF) Buscar el certificado ACRAIZFNMT-RCM-FNMT-RCM.crt de la FNMT mediante Examinar Importar Aceptar. Seleccionar el certificado y elegir Confiar..., marcar Utilizar este certificado... Aceptar Cerrar. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 42 / 48

20 Firmar documento PDF-1 Aplicaciones desarrolladas Firmar documentos Adobe (PDF) Abrir el documento con Adobe y mostrar la zona donde se desea colocar la firma. Elegir Avanzadas Firmar y certificar Colocar Firma o Firmar documento. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 43 / 48 Firmar documento PDF-2 Aplicaciones desarrolladas Firmar documentos Adobe (PDF) Marcar el rectángulo donde se desea colocar la firma y soltar. Se muestra el certificado que se va a utilizar y una previsualización de la firma. Se puede cambiar o ver información del certificado mostrado. Si se elige Bloquear documento tras firmar, éste se protegerá contra firmas futuras. Elegir Firmar. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 44 / 48

21 Firmar documento PDF-3 Aplicaciones desarrolladas Firmar documentos Adobe (PDF) El documento firmado se guardará: elegir un nombre y pulsar en Guardar. Elegir Conceder permiso para firmar el documento y escribir la contraseña asociada al certificado para firmar el documento y Aceptar. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 45 / 48 Firmar documento PDF-4 Aplicaciones desarrolladas Firmar documentos Adobe (PDF) Se mostrará la firma para el documento en el rectángulo seleccionado anteriormente. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 46 / 48

22 Firmar documento PDF-5 Aplicaciones desarrolladas Firmar documentos Adobe (PDF) Un documento se puede firmar aunque el certificado de la AC no esté incluido en el almacén de certificados de confianza o si no se ha seleccionado como una AC de confianza en Adobe. ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 47 / 48 Aplicaciones desarrolladas Firmar documentos Adobe (PDF) Muchas gracias Turno de preguntas ITEFI-CSIC, L. Hernández Encinas Las Firmas y los Certificados electrónicos 48 / 48