PAdES PDF Advanced Electronic Signature. Firma Electrónica de larga duración

Transcripción

1 PAdES PDF Advanced Electronic Signature Firma Electrónica de larga duración

2 Programa Firma Electrónica de larga duración INTRODUCCIÓN CONCEPTOS PREVIOS PAdES 2

3 Introducción Lo bueno de Internet es que nadie sabe que eres un perro 3

4 Introducción Algunas preguntas En todo momento hay más de 1 billón de personas en la red Más de 3 millones de usuarios nuevos semanales Se crea un blog cada segundo Se roba una identidad cada 79 segundos No Repudio Confidencialidad Autenticidad Integridad Certificados Digitales 4

5 Introducción Algunas preguntas Autenticación La información ha sido enviada por la persona que dice que la ha enviado? Quién accede a mi red es efectivamente quién dice ser? Integridad Alguien ha podido modificar el contenido? Confidencialidad La información ha sido leída por terceros? Repudio (Negación de envío) Si hay algún problema podría el remitente negar la autoría del documento?. 5

6 Introducción La firma electrónica hoy La factura electrónica es un elemento tractor de esta tecnología Sin embargo, y a fin de fomentar el uso de la factura electrónica, las exigencias de AEAT en esta materia son poco restrictivas y esto hace que no se puedan extrapolar a otros procesos que requieran mayor seguridad y confianza La variable tiempo complica los procesos electrónicos Por este motivo aparecen otros nuevos soportes para documentos electrónicos (PDF/A) y nuevos conceptos de firma electrónica: Completa Longeva PAdES 6

7 Introducción 7

8 Programa Firma Electrónica de larga duración CONCEPTOS PREVIOS 8

9 Certificados Digitales Introducción Es un archivo electrónico que identifica a un usuario Es el equivalente electrónico a un Documento de Identidad. Asocia una clave única a una identidad, Cada certificado está identificado por un número de serie único y tiene un periodo de validez que está incluido en el certificado De tal forma que ésta queda fehacientemente ligada a los documentos electrónicos sobre la que se aplica. 9

10 Certificados Digitales Introducción Un certificado electrónico consta de dos partes diferenciadas: Clave pública: es la que le posibilita al destinatario verificar quien es el autor del mensaje y la integridad de los datos enviados. Esta clave se comparte (al enviar documentos firmados) y es conocida por otras Personas Contiene datos como el nombre, apellidos, razón social, CIF, Clave privada: nivel de seguridad para posibilitar el uso del certificado Debe permanecer bajo el exclusivo control de su propietario. Esta característica permite que una firma digital identifique en forma unívoca al firmante. Conocida una NO se obtiene la otra 10

11 Certificados Digitales Confianza en el certificado Podremos confiar en el certificado digital de una persona a la que no conocemos, si dicho certificado está avalado por una entidad en la que sí confiamos; es decir, si está avalado por un Prestador de Servicios de Certificación en el que confiemos. El Prestador de Servicios de Certificación garantiza que el certificado es de fiar mediante su firma digital en el mismo. 11

12 Certificados Digitales Funciones de la Autoridad de Certificación Gestionar el servicio de certificación digital Definir las Políticas de certificación Gestionar el directorio de certificados emitidos Gestionar las listas de revocación (CRL) Cubrir la responsabilidad Civil. Inscripción en el registro de entidades de certificación Auditar las Autoridades de Registro (RA) Gestionar la seguridad del sistema Negociar el reconocimiento de los certificados mediante acuerdos con otras entidades de certificación Definir la estrategia del servicio de certificación actual y futuro. Proporcionar un servicio de Hot-line 24/horas* 365días, de información, gestión y revocación. 12

13 Certificados Digitales Datos que contiene el certificado Cada certificado contiene información: Del Titular: la identidad y su clave pública De la autoridad certificadora: la identidad y la firma Del propio certificado: número de serie, caducidad, etc. Construidos según el estándar X.509 v3 13

14 Certificados Digitales Usos Clave de acceso a áreas restringidas Áreas físicas: para acceder a una Empresa, un Departamento, un PC, máquina de café o para fichar a la entrada y salida de la Persona Acceso a web: Mayor seguridad que usuario y contraseña Firma de documentos El emisor del documento se asegura que el documento no puede ser modificado (integridad) El receptor puede comprobar de forma inequívoca la identidad del firmante, y este no puede negar su autoría. Se puede firmar cualquier tipo de documento o mensaje ( ) Cifrar una comunicación Garantiza que el documento sólo puede ser leído por su destinatario (confidencialidad) 14

15 Certificados Digitales Acceso restringido a webs Se utiliza para controlar el acceso a un sitio Web o a determinadas páginas del mismo Mayor seguridad que login+password Al intentar acceder, se solicita un certificado a quien visita la página Se puede filtrar el acceso según los datos que contenga el certificado, si está revocado, En el sitio Web es necesario tener instalado un certificado de servidor Web seguro *SSL (Secure Sockets Layer) 15

16 Certificados Digitales 16

17 Otros usos Certificados Digitales Caixa Galicia y Caja Madrid fueron los primeros en incorporar el uso del DNI-e a sus cajeros automáticos Se podrá retirar efectivo, consultar saldo, solicitar préstamos y realizar gestiones con la administración 17

18 Certificados Digitales Tipos de Certificados Digitales: personal Acredita la identidad de la persona firmante que siempre será una persona física No contiene datos de vinculación a ninguna entidad. Usos indicados: Firma de correos electrónicos (asegurar la identidad del remitente, evitar fraudes) Validación para accesos a zonas Web Trámites on-line que lo requieran 18

19 Certificados Digitales Tipos de Certificados Digitales: de pertenencia a empresa Garantiza la identidad de la persona física titular del certificado, así como su vinculación a una determinada entidad en función del cargo que ocupa en la misma. Lo puede solicitar la propia persona física titular del certificado siempre que disponga de la autorización de un representante de la empresa para la que trabaja. Usos indicados: Los mismos que el certificado personal Tramitaciones con las Administraciones. 19

20 Certificados Digitales Tipos de Certificados Digitales: de persona jurídica A nombre de una entidad, no de una persona Similar a un sello de empresa En la solicitud ha de figurar un solicitante ( custodio ) Quién puede ser solicitante (casos comunes: S.A., S.L.) Representante legal: Administrador Único / Solidario / Mancomunado Consejero Delegado Representante voluntario: Resto de casos IMPORTANTE: Necesario poder notarial específico para este caso Usos indicados: Fundación Tripartita (bonificación por acciones de formación) Agencia Estatal Tributaria (declaraciones de la empresa) 20

21 Certificados Digitales Tipos de Certificados Digitales: DNI electrónico Acredita a una persona, no a su vinculación con una entidad El chip electrónico contiene los mismos datos que aparecen impresos en la tarjeta (datos personales, fotografía, Firma Electrónica, huella dactilar digitalizada) junto con los certificados de Autenticación y de Firma Electrónica. Capacidad de autenticación y firma pero no de cifrado Únicamente en soporte tarjeta El DNI electrónico estará disponible en toda España desde el

22 Certificados Digitales Tipos de Certificados Digitales: para factura electrónica A nombre de una entidad, no de una persona Similar a un sello de empresa En la solicitud ha de figurar una persona física, titular del certificado, con capacidad de representación dentro de la empresa ó autorizado por un representante de la empresa para realizar facturación electrónica en nombre de la misma. Uso exclusivo para facturación electrónica 22

23 Certificados Digitales Tipos de Certificados Digitales: de servidor web seguro Se asocia a un sitio Web La dirección aparece como Necesario para implantar accesos restringidos El uso de este certificado garantiza que: Un determinado dominio ha sido registrado a nombre de la entidad identificada en el certificado. (No cabe la posibilidad de suplantaciones de identidad). Debido al empleo del protocolo SSL, la comunicación entre el cliente y el servidor es totalmente confidencial y que no podrá ser interceptada ni modificada por un tercero. 23

24 Certificados Digitales Soportes para certificados Software El certificado está instalado dentro del equipo. Se pueden proteger mediante PIN. Se permite la exportación a otros equipos Tarjetas Permiten realizar una personalización Requieren un lector USB o PCMCIA Acceso protegido mediante PIN Llaves USB Diseñado para aplicaciones portátiles, Conectividad sin cables adicionales. Posibilidad de incorporar otros certificados, passwords,.. Llaves biométricas Opciones adicionales a la de almacenar certificados digitales. Identifican al usuario mediante medidas biométricas (huella dactilar) 24

25 Certificados Digitales Validez de un certificado/firma en el tiempo La capacidad de revocar un certificado es un derecho que asiste al titular del mismo, o a las entidades que representa, Si el certificado es obtenido por terceros en conocimiento del PIN, podrían quedar comprometidos por firmas no realizadas bajo su voluntad. Vigencia del certificado Firma No Repudio Tiempo Vigencia del certificado Firma Repudio Tiempo 25

26 Certificados Digitales Validez de un certificado La validez de un Certificado depende primeramente de la credibilidad de quien lo emite, es decir de la Autoridad de certificación. Depende también del método y los recursos utilizados para su emisión: soporte, identificación, seguridad, etc. Finalmente la validez también depende del ámbito de reconocimiento de este certificado. 26

27 Certificados Digitales Proceso de emisión DNI Certificado Digital Ministerio de Interior Dirección General de Policía Ministerio de Industria Autoridad de Certificación Comisaría Comisaría Comisaría Autoridad de Registro Autoridad de Registro Autoridad de Registro 27

28 Certificados Digitales Ventajas de los certificados Eliminación del papel en procesos empresariales (contratos, solicitudes de vacaciones, ofertas, pedidos,...). Correspondencia instantánea con validez legal. Trámites telemáticos con la Administración y otros organismos. 28

29 Firma Electrónica Firma Electrónica La firma electrónica es un conjunto de datos en forma electrónica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificación del firmante. La firma electrónica avanzada es la firma electrónica que permite identificar al firmante y detectar cualquier cambio ulterior de los datos firmados, que está vinculada al firmante de manera única y a los datos a que se refiere y que ha sido creada por medios que el firmante puede mantener bajo su exclusivo control. Se considera firma electrónica reconocida la firma electrónica avanzada basada en un certificado reconocido y generada mediante un dispositivo seguro de creación de firma. La firma electrónica reconocida tendrá respecto de los datos consignados en forma electrónica el mismo valor que la firma manuscrita en relación con los consignados en papel. 29

30 Firma Electrónica Firma Electrónica: proceso de firma La firma electrónica identifica al firmante y garantiza la integridad del contenido del documento Documento Certificado Herramienta de Firma Documento Firmado Clave privada 30

31 Firma Electrónica Cómo es un documento e-firmado (word) 31

32 Firma Electrónica Cómo es un documento e-firmado (PDF) 32

33 Firma Electrónica Cómo se comprueba una firma Se debe comprobar : Autenticidad del firmante Integridad del contenido del documento Reconocimiento del certificado utilizado Caducidad del certificado utilizado Estado de revocación del certificado utilizado - online 33

34 Firma Electrónica Cómo se comprueba una firma 34

35 Firma Electrónica Ejemplos de usos empresariales Factura electrónica Firma de actas/informes/ofertas/pedidos: Los términos se acuerdan sobre sucesivas versiones del documento Una vez acordado, se Firma Electrónicamente por ambas partes. Al estar firmado, la información ya no puede ser modificada sin perder la firma Ahorro en tiempo y costes (más rápido que remitirlo en papel, no hay necesidad de mensajería ) Acceso restringido a una página web: Trámites con la Administración Identificación en Intranet y Extranet Realización y gestión de pedidos Firmas de documentación de sistemas de calidad Formulario Electrónico: El proveedor pone a disposición del Cliente un formulario dónde puede solicitar el pedido. El formulario ayuda al Cliente en el momento de informar los datos correspondientes. Evita errores. Los datos se integran fácilmente en el Sistema de Gestión del Proveedor 35

36 Firma Electrónica Validez legal Ley 59/2003 Misma validez que una firma manuscrita siempre que cumpla unas condiciones: Sistema reconocido como tecnológicamente seguro Procedimiento debe cumplir con los requisitos establecidos por ley 36

37 Firma Electrónica Hace falta originales en papel? 37

38 Programa Firma Electrónica de larga duración PAdES 38

39 Introducción PAdES La firma electrónica puede tener lagunas legales Hoy en día, para la realización de trámites se requiere métodos de firma mucho más seguros y fiables Ejemplo: documento electrónico 39

40 PAdES Qué es? PAdES es un conjunto de normas publicadas por el ETSI para apoyar a los requisitos europeos para la firma electrónica. PAdES se basa en las firmas existentes en PDF tal como se especifica en la norma ISO Incluye funciones de apoyo a la validación de las firmas que se almacenan durante años o incluso décadas. Firma digital longeva: aquella que tiene toda la información necesaria para ser validada a largo plazo PAdES (Disponible desde Julio 2009) Homólogo al CAdES y XAdES. Soporte AdES en documentos PDF. TS (5 Partes) Publicado por el ETSI ETSI: (European Telecommunications Standards Institute) 40

41 PAdES Qué es? PDF Advanced Electronic Signature PAdES es una norma que estandariza la incorporación de firmas electrónicas a documentos PDF con prestaciones similares a las firmas XAdES y CAdES. Prestaciones fundamentales: Time-stamp Información del estado de un certificado en la firma Otras prestaciones: la posibilidad de incorporar una referencia explícita a la política de firma, la razón por la que se ha generado la firma, el rol asumido por el firmante, el lugar en el que se ha realizado la firma... 41

42 PAdES Vigencia del certificado Firma No Repudio Tiempo Vigencia del certificado Firma Repudio Tiempo 42

43 PAdES Familia AdES - CAdES Puede firmar cualquier dato 2 métodos de firma: Detached: Los datos firmados están separados de la firma Encapsulado: La firma se encapsula junto con los datos A menudo requiere adaptaciones del software o realizar la firma con una aplicación externa Soporta múltiples firmas en serie o en paralelo La apariencia depende del software utilizado Validez a largo plazo 43

44 PAdES Familia AdES - XAdES Proporciona una solución XML Puede firmar cualquier dato A menudo requiere adaptaciones del software o realizar la firma con una aplicación externa Soporta múltiples firmas en serie o en paralelo La apariencia depende del software utilizado Validez a largo plazo 44

45 PAdES Familia AdES - PDF Firmas contenidas en el PDF Incluido en el estándar ISO Firma y verificación incluida en el software de PDF no es necesaria adaptación o programación Soporta rellenado y firma secuencial para workflows de aprobación Las firmas tienen un aspecto visual dentro del PDF Validez a largo plazo 45

46 PAdES Dónde encontrar las especificaciones de PAdES? PADES especificación está formada por 5 partes, cuyos títulos se enumeran a continuación. Una copia de las especificaciones PADES se pueden descargar siguiendo estos enlaces: 1. ETSI TS PDF Firma Electrónica Avanzada perfiles; Parte 1: Información general PADES - un documento marco para PADES 2. ETSI TS PDF Firma Electrónica Avanzada perfiles Parte 2: Básico PADES - perfil basado en ISO ETSI TS PDF avanzada Firma Electrónica perfiles; Parte 3: PADES reforzada - PADES-BES y-epes perfiles PADES 4. ETSI TS PDF avanzada Firma Electrónica perfiles; Parte 4: PADES a Largo Plazo - LTV-PADES perfil 5. ETSI TS ETSI TS PDF Firma Electrónica Avanzada perfiles; Parte 5: PADES de contenido XML - Perfiles para la firma XAdES 46

47 PAdES Cómo se relacionan PAdES y PDF/A-1? PAdES está diseñado para apoyar documentos que pueden ser archivados durante largos períodos, como es PDF/A-1. PAdES y PDF/A-1 se puede aplicar independientes entre sí. Sin embargo, se recomienda que los documentos que se van a archivar se convierten en PDF/A-1 antes de firmar con PAdES. 47

48 PAdES Validación desde Acrobat 48

49 Firma Electrónica Cómo se comprueba una firma completa Para realizar una comprobación completa de una firma electrónica se deben verificar las siguientes propiedades: Autenticidad del firmante Integridad del contenido del documento Reconocimiento del certificado utilizado Caducidad del certificado utilizado Estado de revocación del certificado utilizado en el momento de la firma Sello de tiempo certificado por una Autoridad homologada 49

50 Firma Electrónica Cómo se comprueba una firma 50

51 En resumen PAdES PAdES LTV está diseñado para apoyar documentos que pueden ser archivados durante largos períodos, como es PDF/A-1. PAdES y PDF/A-1 se puede aplicar independientes entre sí. Sin embargo, se recomienda que los documentos que se van a archivar se convierten en PDF/A-1 antes de firmar con PAdES. 51

52 PAdES 52

53 PAdES Más sobre PAdES Se recomienda la participación en el grupo STF364 (Specialist Task Force) que generó la norma PAdES Tienen un portal que permite dirigir nuevas preguntas. Éstas son discutidas y respondidas por los componentes del STF 364 y, de considerarlo oportuno, preguntas y respuestas pasan a engrosar la FAQ. 53

54 Más Información edatalia data solutions, s.l. Tlf : alberto.urquiza@edatalia.com 54