Identidades digitales es posible?

Transcripción

1 Identidades digitales es posible? yo creo que sí VII Jornadas de Coordinación Policial DELITOS INFORMÁTICOS

2 Internet, un nuevo medio para las relaciones Internet = Un nuevo medio para las relaciones Las personas están detrás de una pantalla Este nuevo medio demanda: Mecanismos de identificación Mecanismos de autenticación Sólo así se podrán establecer relaciones con unas mínimas garantías (las direcciones IP, los nicks, etc. no son fiables) 3/11/2010 2

3 Cómo se ha hecho tradicionalmente? Opción 1: Una de las partes se crea su propia identidad Con esa identidad se da de alta y se relaciona en el medio Opción 2: Una de las partes (prestador de servicios) ya tiene la identidad conformada Proporciona al usuario los mecanismos para utilizar esa identidad y relacionarse 3/11/2010 3

4 Qué garantías ofrecen esos mecanismos? Opción 1 Ninguna Pero vale para el propósito de los prestadores de servicios (cuando hay que pagar se paga con tarjeta y listo, lo demás no importa) Opción 2 Algunas garantías: inicialmente la construcción de la identidad es buena Pero es relativamente fácil suplantar la identidad 3/11/2010 4

5 Consecuencias No existen unas mínimas garantías en las relaciones a través de Internet La identidad de la persona puede ir desde ficticia a endeble 3/11/2010 5

6 Hay solución? Un nuevo escenario en el que: La identidad es conformada por un tercero (de confianza) Se proporcionan mecanismos robustos para aportar la identidad en el primer contacto, en la primera relación entre las parte Los mecanismos de autenticación son ROBUSTOS 3/11/2010 6

7 Un poco de teoría Orígenes de este nuevo escenario Criptografía / Confidencialidad Criptografía simétrica vs asimétrica Propiedades matemáticas de las claves Una es pública, no importa que se conozca Otra es privada, fundamental que exista control exclusivo Unas no se pueden deducir o derivar de las otras Hay operaciones que siendo realizadas con unas (pública o privada) se pueden invertir o realizar comprobaciones con las otras (privada o pública) 3/11/2010 7

8 El certificado electrónico La persona genera unas claves Acredita su identidad y su clave pública ante una tercera parte (de confianza) La tercera parte (Prestador de Servicios de Certificación) emite un CERTIFICADO ELECTRÓNICO La persona utiliza el certificado electrónico, junto con las claves privadas asociadas como mecanismo de identificación y autenticación. 3/11/2010 8

9 Qué tiene el certificado electrónico? Una serie de datos avalados por el Prestador de Servicios de Certificación (tercera parte de confianza) entre los que se encuentran: La identidad de la persona Periodos de validez del certificado Claves públicas Otros datos Todos ellos firmados y, por tanto vinculados, por parte del Prestador de Servicios de Certificación 3/11/2010 9

10 Qué operaciones se pueden realizar con un certificado electrónico? FIRMA ELECTRÓNICA Autenticación Integridad No Repudio Confidencialidad CIFRADO Las claves y los certificados nos darán mucho juego!! 3/11/

11 Qué es la firma electrónica? firma electrónica: los datos en forma electrónica anejos a otros datos electrónicos asociados de manera lógica con ellos, utilizados como medio de autenticación firma electrónica avanzada: la firma electrónica que cumple los requisitos siguientes estar vinculada al firmante de manera única permitir la identificación del firmante haber sido creada utilizando medios que el firmante puede mantener bajo su exclusivo control estar vinculada a los datos a que se refiere de modo que cualquier cambio ulterior de los mismos sea detectable firma electrónica reconocida: la realizada con un certificado reconocido, emitido por un PSC reconocido y en un dispositivo seguro de creación de firma 3/11/

12 Cómo se hace y cómo se verifica? La firma electrónica se realiza con la clave privada, no con la clave pública o certificado La firma electrónica nos puede servir para autenticarnos 3/11/

13 Dónde esta la gracia de todo esto? Mecanismos muy robustos (criptografía) Identidad construida por una tercera parte (autoridad) Ausencia de necesidad de un registro previo Identidad de difícil suplantación Posibilidad de autenticación Marco jurídico 3/11/

14 Marco jurídico Directiva 1999/93/CE Ley 59/2003, de firma electrónica certificados reconocidos (Qualified Certificates) DSCF Obligaciones (PSC, terceras partes, suscriptores) firma electrónica reconocida = firma manuscrita Garantía económica - tres millones de euros Facultad de inspección MCyT - Autorregulación DNI acredita la identidad de su titular en cualquier procedimiento administrativo y permite la firma electrónica de documentos Personas jurídicas entidades sin personalidad jurídica 3/11/

15 Quiénes juegan? Cómo se juega? Prestadores de Servicios de Certificación: Generadores de identidades Personas: Necesitan identidades para relacionarse en el mundo virtual Empresas y administración: Despliegan un sinfín de servicios al abrigo de estas identidades, sus excelentes propiedades y el marco jurídico: TODOS LOS SERVICIOS SON TRASLADABLES AL MUNDO VIRTUAL 3/11/

16 La FNMT-RCM, un Prestador de Servicios de Certificación Proporciona identidades para todos los ciudadanos españoles ( ) a través de más de 5000 oficinas de registro Proporciona identidades para el personal de la administración Proporciona servicios de certificación avanzados para la construcción de todo tipo de servicios de la sociedad de la información. Nuestros clientes: administración, empresas, universidades, etc. 3/11/

17 El impulso definitivo Ley 11/2007 Ley de Acceso de los Ciudadanos a los Servicios Públicos Ley 56/2007 Ley de Medidas de Impulso de la Sociedad de la Información DNIe 3/11/

18 DNIe El DNIe supone la creación de una población digital Incorpora certificados para autenticación y firma electrónica Incorpora algoritmos de identificación biométrica, redundando en una mejora de los mecanismos de autenticación 3/11/

19 3/11/ Fin