SISTEMA NACIONAL DE CERTIFICACION DIGITAL

Transcripción

1 SISTEMA NACIONAL DE CERTIFICACION DIGITAL

2 Agenda Conceptos Generales Ámbito Legal Normas Técnicas Internacionales Modelo Conceptual Beneficios y retos Casos de Éxito e iniciativas en el uso de firma digital

3 Firma Digital, Certificados Digitales, Autoridad Certificadora Conceptos Generales

4 Firma Digital La firma digital es una solución tecnológica que permite autenticar el origen y verificar la integridad del contenido de un mensaje de manera tal que ambas características sean demostrables ante terceros. Propiedades: Autenticidad: El emisor es quien dice ser. Integridad: El documento No se ha modificado No Repudio: El emisor no puede negar la autoría

5 El Certificado Digital es un documento electrónico que relaciona una identidad con una Llave (Pública). Sus componentes principales son: Titular Una Llave Pública Periodo de validez Solamente contendrán información inherente a la persona subject = Juan Ulloa Solís serial number = Mecanismo de Verificación Se entrega con el dispositivo Certificado Digital

6 Tipos de Certificados Digitales Certificado de Persona Física Firma Digital y Autenticación de Personas Físicas Implementa Equivalencia Funcional con Firma Autógrafa Certificado de Agente Electrónico Firma Digital y Autenticación de Entidades Implementa Servicios Electrónicos Automatizados Certificado de Sellado de Tiempo (TimeStamping) Garantizar la existencia de una firma o un documento en el tiempo

7 Fortalezas del Certificado Digital Actualmente, la seguridad esta basada en secretos (passwords, pins, llaves) Problemas: Los secretos se exponen, la información sensible viaja Secretos poco complejos pueden adivinarse (fuerza bruta, diccionarios) Factor humano (ingeniería social, uso incorrecto de Passwords) Con los Certificados Digitales y la Firma Digital El secreto nunca se expone, se protege en el dispositivo El secreto posee gran complejidad (computacionalmente inquebrable) Combinación de algo que sé y algo que tengo Posibilidad de revocación en línea

8 Autoridad Certificadora Una Autoridad Certificadora es el tercero de confianza que emite Certificados Digitales La validez de un Certificado Digital dependerá de la confianza que se tenga en el emisor del mismo Autoridad Certificadora Un usuario que confía en una AC puede verificar que una Llave Pública pertenece a quien se identifica en un Certificado Digital.

9 Principios para generar confianza en una Autoridad Certificadora La imparcialidad La competencia La responsabilidad La transparencia La confidencialidad La receptividad y respuesta oportuna a las quejas.

10 Dispositivo Seguro Mecanismo de Autenticación y Firma sustituye los actuales Utilizado para firmar digitalmente y autenticarse en forma segura. Protege la Llave Privada. También se utilizan Tokens USB Uso de PIN o huella Las Llaves Privadas nunca son expuestas Protección física y lógica

11 Documento de Identidad Electrónico España Bélgica Finlandia Estonia Italia Suecia Costa Rica (mediano plazo)

12 Ley, Reglamento, Políticas y Normas Internacionales Ambito Legal

13 Sustento Legal Ley 8454 Reglamento Documento de Políticas Declaración de Prácticas de Certificación Normativa internacional ISO ISO ISO 27001

14 Objetivo de la Ley 8454 Proporcionar un marco jurídico que brinde certeza y seguridad a las transacciones que se realicen a través de Internet.

15 Ley: Alcance de la Firma Digital Valor Equivalente (art. 9): Los documentos y las comunicaciones suscritos mediante firma digital, tendrán el mismo valor y la eficacia probatoria de su equivalente firmado en manuscrito. Presunción de autoría (art. 10) Todo documento [ ] asociado a una firma digital certificada se presumirá, salvo prueba en contrario, de la autoría y responsabilidad del titular del correspondiente certificado digital [ ] Identificación unívoca Vinculación jurídica Validez y eficacia probatoria Presunción de autoría No Repudio

16 Ley: Aplicaciones Jurídicas En particular y excepciones (art. 5): Abogacía: Tramitación administrativa y judicial Asesoría jurídica en general Notariado: Notariado digital Tramitación registral Excepciones: Actos o negocios que requieran presencia física Disposiciones por causa de muerte Actos y convenios relativos al Derecho de Familia Actos Personalísimos en general

17 Otros componentes Directrices y políticas generadas por la DCFD Participación del Comité Asesor de Políticas Directrices de Archivos Nacionales Artículo 6 de la Ley Políticas de certificación de cada AC, traducidas en contratos concretos Aplicación de las reglas sobre protección del consumidor

18 Normas Técnicas Internacionales

19 Norma INTE ISO/IEC Infraestructura de llave pública para servicios financieros. Estructura de prácticas y políticas.

20 ISO Competencia Técnica 1. Controles Ambientales Capacidad de Custodia Alta Disponibilidad Personal de Seguridad Monitoreo Recuperación ante desastres 2. Controles de Administración Gestión de Dispositivos Criptográficos (FIPS 140 2) Personal con Roles de Confianza Mancomunados Implementación de Servicios de Validación Sistema de Gestión de la Seguridad de la Información

21 Norma INTE ISO/IEC Evaluación de la conformidad Requisitos para los organismos que realizan la auditoría y la certificación de sistemas de gestión.

22 INTE ISO/IEC Competencia Administrativa 1. Sistema de Gestión de Calidad 2. Competencia del Personal 3. Gestión de los procesos organizacionales: Imparcialidad

23 Infraestructura de Llave Pública Modelo Conceptual

24 Modelo Nivel 1 MICIT Tribunal Supremo de Elecciones Banco Central Registro Nacional Poder Judicial CONARE CAMTIC CAP Comité Asesor de Políticas (Policy Approval Authority) Asesora a la DCFD EC Raíz Convenio BCCR Nivel 3 DCFD (Dirección de Certificadores de Firma Digital) Nivel 2 Nivel 4 Entidad Financiera Pública Entidad Financiera Privada Institución Pública Empresa Privada

25 Interoperabilidad La ley 8454 permite la existencia de múltiples CA s Existe el riesgo de una proliferación de Autoridades Certificadoras no interoperables. CA PERSONA FISICA-**** CA SINPE-PERSONA FISICA CA PERSONA FISICA-****

26 La realidad de algunos países No existe interoperabilidad entre sectores Marcos Legales independientes Diferencias en la implementación de PKI y en el uso de Estándares Algunos utilizan un formato propio mientras otros usan X509v3 Rigurosidad en el proceso de Certificación de ECs Algunos exigen un Centro de Datos contingente, ISO17799, HSM mientras que otros poseen instalaciones propias con menos niveles de seguridad Rigurosidad en el proceso de Certificación de Identidad de Titulares Algunos exigen Documentación + Presencia física + Biometría mientras que otros entregan el Certificado por Procesos de Homologación Complejos o No Factibles Aún teniendo una reglamentación robusta implementada, la interoperabilidad no esta garantizada

27 Firma Digital en Costa Rica Beneficios y Retos

28 Beneficios de la Firma Digital Provee Seguridad Tecnológica y Jurídica Permite digitalizar cualquier trámite que requiera la firma manuscrita y ofrecerlo a través de internet Reduce costos de transacción de la sociedad Una única clave para utilizar cualquier sitio web nacional Elimina el riesgo de Phishing y cualquier otra técnica de robo electrónica de la identidad Aumento de la confianza en transacciones vía internet

29 Beneficios de la Firma Digital Con certificados digitales las entidades podrán: Asegurar la integridad de la información, así como autenticar los interlocutores de las transacciones en los Sitios Web. En general (Ejemplo: Correo Electrónico) Comprobar la integridad de documentos transmitidos electrónicamente. Autenticar el origen de un mensaje recibido.

30 Retos Crear una cultura digital. Combatir la Brecha Digital. Generar aplicaciones que usen Firma Digital Certificada. Masificar el uso de esta herramienta a nivel nacional.

31 Ejemplos Casos de Éxito e iniciativas en el uso de la firma digital

32 Casos de Éxito de Firma Digital Imprenta Nacional (Gaceta Digital) Casa Presidencial (Sistema de Leyes y Decretos) Gobierno Digital (MERLINK) Poder Judicial (Iniciativa cero papel) Poder Judicial (Sistema en Línea y Trámites) Banco Popular (Banco en Línea) Municipalidad de San José (pagos municipales) Banco Central de Costa Rica (Central Directo) Sistema Informático en Patología Forense Ministerio de Hacienda (Compra Red, TICA) CFIA (Administrador de Proyectos) COOPENAE (Página Transaccional) Compañía Nacional de Fuerza y Luz (Portal Transaccional) Superintendencia de Valores (Envío y recibo de documentación)

33 Otras Iniciativas de Firma Digital Dirección de Certificadores de Firma Digital (Servicio de Firma Digital para los ciudadanos) Junta de Protección Social (Sistemas de Loterías con Firma Digital) C.C.S.S (Trámites al ciudadano) Tribunal Supremo de Elecciones (emisión de certificaciones) o Cédula con chip Instituto Nacional de Seguros Registro Inmobiliario (Escrituras y planos) Ministerios Entidades del Estado en General Universidades

34 Muchas Gracias!