FIRMA ELECTRÓNICA NECESIDADES CORPORATIVAS

Transcripción

1 Firma electrónica necesidades corporativas FIRMA ELECTRÓNICA NECESIDADES CORPORATIVAS

2 Índice Marco Necesidad Problemáticas Seguridad PKIs y tipos de certificados Formatos de firma y su estructura Firma masiva, procesos desatendidos Temporalidad de la firma Políticas de firma Soluciones Servidores de firma Características necesarias

3 Concepto de firma electrónica Vista tecnológica de la firma electrónica: Elección de algoritmos Extracción de hash Cifrado asimétrico con clave privada

4 Marco normativo actual Generales: Ley de firma electrónica Ley de Protección de Datos AAPP: LAESCP Esquema Nacional de Interoperabilidad Esquema Nacional de Seguridad Empresa privada: Ley de Impulso de la Sociedad de la Información

5 Ley de firma electrónica Ley 59/2003 Define tipos de firma: Firma básica: Contiene datos que puedan ser usados para identificar al firmante (autenticidad) Firma avanzada: Además de identificar al firmante permite garantizar la integridad del documento y la integridad de la clave usada, utilizando para ello un DSCF (dispositivo seguro de creación de firma). Firma reconocida: Es la firma avanzada y amparada por un certificado reconocido (certificado que se otorga tras la verificación presencial de la identidad del firmante). En ocasiones, esta firma se denomina cualificada por traducción del término inglés qualified que aparece en la Directiva Europea de Firma Electrónica Fuente: Wikipedia

6 Necesidad La Firma digital debe asumir todas las casuísticas de la firma manuscrita en el mundo real

7 Problemática 1 Tecnología se basa en par de claves: Necesidad de generación de pares de claves de forma segura Mantenimiento y gestión de las mismas de forma segura Solución: DSCF en base a smartcards, tokens USB y otros Sistema operativo propio que gestiona el acceso seguro a la clave Protección y autodestrucción contra el acceso físico Introduce otra problemática: Necesidad de hw (lectores...) y su sw Drivers de lectores Middlewares de tarjetas Proyectos libres: Opensc

8 Problemática 2 Necesidad PKIs Estándar x509 Solución: PKIs homologadas y aceptadas para el marco normativo PSC reconocidas Aceptación por parte del MITYC de la actividad Seguro responsabilidad Auditorías de funcionamiento Políticas estrictas DPC Gestión de la validación de identidades: VA CRL y OCSP Validez de actores: Firmante y su cadena TSA y su cadena

9 Problemática 3 Tipos de certificados: Personales Pertenencia a empresa Representante con poderes Entidad De atributo Técnicos Servidor seguro Firma de código Solución: Jerarquías PKI Políticas certificación específicas

10 Políticas de certificación Todos los emisores de certificados indican como se pueden usar sus certificados

11 Problemática 4 Necesidades de diferentes formatos de firma según: Uso a darle al proceso Interoperabilidad de sistemas Equivalencia a firma manuscrita (e.j: visulización) Facilidad de verificación Autocontención de la firma Estándares de firma: XadES - ETSI TS CAdES - ETSI TS PAdES ETSI TS e ISO

12 Formatos de firma Simple Avanzada

13 Problemática 4 Forma de estructurarla: Attached En XML, hay variantes: enveloped, enveloping Dettached Capacidades de firma múltiple: CoSign CounterSign Necesidad de validación universal independiente del órgano firmante Z@in

14 Problemática 5 Acto de firma: Firma atendida, firma en local por la persona Protección de clave, acceso PIN manual en el acto de firma Firma desatendida, necesidad de firma masiva Procesos automáticos en la organización Ej: Facturación Problemas: Necesidad de desprotección automática de la clave Aceleración del proceso hw de firma Necesidad de procesar X mil solicitudes en un instante DoS al sistema de firma Solución HSM alto rendimiento

15 Hardware Security Modules Generación/gestión segura de claves Cumplimiento de estándares de seguridad (FIPS-140-2,...) Operaciones criptográficas sensibles Rendimiento OperacionesCript/sec Soluciones de misión crítica Alta disponibilidad Seguridad física: tamper-resistant Formatos: USB PCI Red

16 Problemática 6 Necesidad de acto de fe de terceros: Notario digital Momento temporal del acto de firma Una firma electrónica sin fe temporal no puede mantener su validez en el tiempo Solución: Sello de tiempo RFC 3161 Terceros de confianza. Nuevo problema: Garantías del tercero? Reconocimiento del Ministerio para validez jurídica? No A día de hoy, no hay jurisprudencia

17 Problemática 7 Políticas de firma Declaración de organismo del significado de cada acto de firma Cómo se implementa cada firma Con qué certificados Cómo se validan certificado y firma Para cada proceso que la requiera Firma avanzada (AdES a partir de EPES alude explícitamente) OIDs AAPP obligadas Empresa? Recomendada Ejemplo: Facturae: mato_facturae_v3_1.pdf

18 Posibles soluciones Servidores de firma electrónica: Sistemas dedicados a los procesos de firma Integración con HSMs Operaciones: Firma desatendida (formatos) Completado de firmas Applet de firma en cliente Verificación Certificados Firmas Aplicación de políticas de firma corporativas Alliaria: Varios proyectos específicos en desarrollo Producto mediados 2011 Preparación forja propia Preparación área de demo en la Web

19 Otras características? Otras características: Cumplimiento de estándares OASIS DSS (servicios de firma digital) Interfaces de acceso normalizadas Integración sencilla en entorno: Interoperable SOA. Acceso mediante WebServices Interconexión a sistemas externos (Z@in, etc...) Integración segura en el entorno: Acceso SSL WS-Security Criptografía HSM

20 Contacto Jon Urionaguena Consultor Firma Electrónica Alliaria