ANFPKCS11 y ANF_CSP Interoperabilidad

Transcripción

1 ANFPKCS11 y ANF_CSP Interoperabilidad Esta especificación ha sido preparada por para liberar a terceras partes. Este documento es propiedad de ANF Autoridad de Certificación. Está prohibida su reproducción y difusión sin autorización expresa de ANF Autoridad de Certificación Copyright ANF Autoridad de Certificación

2 Control del Documento Versión y Estado V01.1 Autor MOISÉS AMADOR Fecha Creación 10/01/2012 Fecha Revisión Copias a Control de Versión Fecha Modificación Modificado por Razón de la modificación 13/02/2012 MOISÉS AMADOR Actualización y ampliación 11/05/2012 CARLOS PONCE DE LEÓN Actualización y ampliación

3 Índice 1. Introducción Seguridad Desarrolladores Directores de Proyectos Interoperabilidad Aviso importante... 9 Ref. ANFPKCS11_CSP_ANF_Interoperabilidad_V03.pdf Versión: 1.1 OID: Página 3 de 9

4 1. Introducción ANFPKCS11 es un modulo PKCS#11 que sigue el protocolo definido por la empresa RSA Labs. y que permite interactuar, única y exclusivamente, con dispositivos criptográficos homologados por ANF Autoridad de Certificación. Este componente implementa las funciones definidas en el encabezado (o headers) pkcs11.h que suministra RSA Labs. ANFPKCS11 está disponible para entornos Windows, Linux, y MacOS X. Las distintas implementaciones de los módulos se encuentran en diferentes carpetas dependiendo del sistema operativo en el que se esté trabajando. Las ubicaciones son: Microsoft Windows: C:Windows/System32/ANFPKCS11.dll GNU/Linux: /usr/lib/ ANFPKCS11.so Mac OS X: /Library/OpenSC/lib/ ANFPKCS11.so ANF_CSP es una librería firmada por Microsoft que implementa la CryptoAPI de Windows permitiendo que los dispositivos criptográficos homologados de interactúen con software que exigen este tipo de protocolo. OID: Página 4 de 9

5 2. Seguridad Un modulo criptográfico es un elemento clave en la seguridad de un sistema de identificación y firma electrónica. El módulo PKCS#11 además de incluir las funciones definidas por RSA Labs, integra todo el protocolo que permite hacer uso del contenedor seguro de certificados y claves privadas, gestionando la transferencia del PIN secreto que permite activar los procesos de firma integrados en dispositivos HSM. Los últimos estudios publicados en foros criptográficos internacionales, ponen de manifiesto que una rotura de seguridad del modulo PKCS#11 es un hecho irreversible, que no solo conlleva la nulidad del componente en cuestión, sino que ocasiona la nulidad de certificado y de todos los dispositivos HSM que la CA ha distribuido en su PKI. De facto un PKCS#11 inseguro se convierte en una llave universal que permite a cualquier atacante, hacer un uso indiscriminado de cualquier dispositivo HSM perteneciente a la infraestructura de la CA afectada. A criterio del Dpto. de Criptoanálisis de, la única forma de garantizar la seguridad de un modulo PKCS#11 es creando un contexto de seguridad adecuado. Esto implica garantizar no solo la integridad del propio PKCS#11, sino de toda la plataforma de software y hardware que interactúa con este modulo. Para ello ha implementado medidas de seguridad extraordinarias en su componente ANFPKCS11. Estas medidas imposibilitan utilizar este componente de forma indiscriminada. Al contrario de lo que ocurre con otros módulos PKCS#11 que existen en el mercado, ANFPKCS11 solo permite ser utilizado por software homologado por. Este control alcanza al versionado del software, ello conlleva la necesidad de realizar una actualización periódica del módulo. P.e., si Vd. actualmente trabaja con Firefox v y actualiza a Firefox v.9.0.2, posiblemente deberá actualizar ANFPKCS11 a la nueva versión que incorpora la garantía de integridad de Firefox v Vd., no debe de preocuparse de hacer seguimiento alguno de versionado, el propio componente le avisará de cualquier cambio que afecte a la integridad del contexto de seguridad. OID: Página 5 de 9

6 3. Desarrolladores Directores de Proyectos ha homologado gran parte del software de identificación o firma electrónica Open Source existente en el mercado. No obstante determinados proyectos de certificación electrónica pueden precisar utilizar software propietario, precisando que este software sea interoperable con ANFPKCS11. homologa de forma gratuita software de firma propietario, con las siguientes modalidades: 1. Software con código fuente abierto. Esto posibilita que nuestro Dpto. de Ingeniería verifique que este software no tiene puertas falsas y su funcionamiento está en conformidad con normas y estándares internacionales. El software además de ser reconocido por ANFPKCS11 queda integrado en la relación de dispositivos homologados, y por lo tanto extiende su garantía legal a este programa. 2. Software código fuente no accesible a revisión. Exclusivamente para casos extraordinarios en los que el proyecto está enmarcado en un ámbito de máximo prestigio y confiabilidad. El módulo PKCS#11 reconocerá ese software, pero evidentemente, en la medida de que no ha tenido acceso a revisar el código, no puede garantizarlo y menos aun asumir responsabilidad alguna en las incidencias o perjuicios que el mismo pueda ocasionar. OID: Página 6 de 9

7 4. Interoperabilidad Software de firma universal: Plug & Sign Versión y superiores Navegadores: Mozilla Firefox Versiones incluidas: 12.0, 11.0, , 10.0, 9.0.1, 9.0, 8.0.1, 8.0, 7.0.1, 7.0, 6.0.2, 6.0.1, 6.0 Safari En Mac OS X, versión incluida: 5.1 Chrome Utiliza CSP de Internet Explorer Utiliza CSP de Programas Documentos OpenOffice: OpenOffice Versión incluida: PDF: Adobe Reader X Versión incluida: OpenSignature Sinadura Desktop Versión incluida: 3 jpdfsign Versión incluida: 0.3 Cryptonit OID: Página 7 de 9

8 Jurídicamente vinculante: j4sign DigiDocClient3 Versión incluida: 3.5 Cifrado de Disco: TrueCrypt Versión incluida: 7.1 VPN: OpenVPN Versión incluida: strongswan Versión incluida: Openswan Versión incluida: 2.6 SSH: SecureShell Autenticación inalámbrica: Wifi por WPA / SMIME: Mozilla Thunderbird Versión incluida: , 10.0, EvolutionSteps Versión incluida: Local autenticación: PAM (linux) Mac OS X OID: Página 8 de 9

9 Otras aplicaciones: GnuPG HBCI Si desea utilizar algún software no incluido en esta lista, contacte con nuestro Departamento de Ingeniería: 5. Aviso importante ANF Autoridad de Certificación garantiza que la librería PKCS#11 y su Cryptographic Service Provider (CSP) no han sido elaborados con JCAPI ni tecnología asociada a JAVA. Estos componentes no son decompilables, y nuestro PKCS#11 incluye medidas extraordinarias de seguridad que lo protege contra toda alteración y garantiza su seguridad técnica. Por imperativo asociado a determinados proyectos gubernamentales, algunos certificados electrónicos emitidos por incorporan URL referida al servicio LDAP. desaconseja su uso, y recomienda a sus suscriptores y terceros que confían en su sistema de certificación, que para garantizar la larga vigencia de las firmas electrónicas asociadas a los mismos, se respeten las normas de referencia internacional en conformidad con lo establecido la legislación de Ecuador. OID: Página 9 de 9