INFRAESTRUCTURA DE CLAVE PÚBLICA O PUBLIC KEY INFRASTRUCTURE La Firma Digital y la fiabilidad de las transacciones on line más allá del acceso a la información y servicios de un usuario final, la integración de Internet en los procesos de negocio de una compañía necesitan más que nunca de un grado de fiabilidad y confianza en el medio. Sólo cuando ese grado de confianza se alcanza y se mantiene, podrá disminuirse ese gran inhibidor de desarrollo digital que es la sensación de inseguridad. El enorme desarrollo de las transacciones en la red de redes implica necesariamente abordar el tema de la seguridad, tanto desde el punto de vista técnico como jurídico. Qué se entiende por seguridad en Internet? Se trata de implementar los mecanismos necesarios para que al realice una operación a través de un medio electrónico, se asegure la integridad del contenido y se autentifique al remitente y al receptor. Para dar esa seguridad se necesita que exista una infraestructura que sea simple, pero que aporte a todos aquellos que la utilizan esa tranquilidad de saber quién es ese tercero que se presenta ante ellos. Como siempre todo debe tener un comienzo, así es que antes que nada debemos comenzar con una definición de lo qué es una Infraestructura de Clave Pública (ICP), más conocida por su nombre en inglés, como PKI (public key infrastructure) por lo tanto decimos que es el conjunto de componentes y políticas necesarias para crear, gestionar y revocar 1
certificados digitales que pueden ser utilizados para autenticar cualquier aplicación, persona, proceso u organización de una red de empresa, extranet o Internet. 1 La implementación de una ICP es necesaria para que los datos, que están desprotegidos, sean protegidos mediante técnicas de seguridad, en este caso mediante técnicas de encriptación o de cifrado. El usuario final posee un software de encriptación y dos claves: una pública para ser repartida a otros usuarios, y otra clave privada que es guardada por cada propietario, que no se distribuye entre los usuarios, esto se debe a que utiliza esta infraestructura un sistema de claves asimétricas. Existen dos tipos de sistemas de claves, uno de claves simétricas y otro de claves asimétricas, bien, aquí nosotros usamos el sistema de clave asimétrica, o sea dos llaves diferentes: una pública, que sirve para verificar que ha utilizado la clave privada correspondiente y otra privada que utiliza para expresar la voluntad de reconocer el mensaje como propio. Debido a la gran cantidad posible de claves públicas que intervienen en las comunicaciones es necesario tener un método que sea efectivo para administrarlas y controlar su utilización, así como su distribución a los usuarios, en este momento es que la ICP comienza su rol, creando, distribuyendo, haciendo el seguimiento y la revocación centralizada de las claves, garantizando a quienes la utilizan que la asociación que existe entre una clave pública determinada y su propietario sea confiable y asociada a un solo individuo. La idea de una infraestructura de clave pública es simple, consta de varios componentes y elementos los cuales son: 1. Los llamados componentes de una Infraestructura de Clave Pública, pueden ser: 1 Comunicaciones World 2
a) Autoridad Certificante Raíz b) Autoridades de Registro Se puede dar una infraestructura donde ambas autoridades estén separadas o sea un solo órgano. c) Archivo. 2. Los elementos de la PKI son: a) Sistema de autenticación b) Políticas de Certificación c) Personal capacitado Autoridad Certificante (AC) o Certificate Authority (CA) Esta es el pilar básico del edificio de la PKI. Es una colección de hardware de computación, software, y personas que los manejan, operadores del sistema. La Autoridad Certificante (CA o AC) es conocida por dos atributos: su nombre y su clave pública. En la AC se lleva a cabo cuatro funciones básicas de la Infraestructura de Clave Pública: 1) Emisión de certificados ( los crea y los firma) 2) Información sobre la vigencia de los certificados y emisión de las listas de revocación 3) Publicación de los certificados no vigentes y de las listas de revocación, para que el usuario obtenga la información necesaria para implementar su sistema de seguridad. 4) Mantiene un archivo con la información actualizada sobre la validez o revocación de los certificados que ella emitió. EMISION DE CERTIFICADOS La primera función que realiza una ICP o PKI es establecer un sistema de autenticación, qué significa esto?. Lo que queremos decir es que los usuarios puedan ser identificados 3
antes de recibir los derechos de transmisión en la red, y eso se realiza certificando la identidad de las personas mediante los llamados certificados digitales. Estos certificados se definen como: archivos electrónicos que tienen un tamaño determinado, y contienen los datos de identificación del emisor, la clave pública del emisor del mensaje y la firma privada del propio Prestador de Servicios de Certificación o AC. Ustedes se preguntarán: para qué necesito un certificado digital, si mediante una contraseña saben que soy yo?. Es cierto, pero esto es un método que no es confiable por lo que los certificados digitales lo que hacen es darnos más seguridad, ya que poseen una información específica sobre el usuario que permite su identificación como vimos anteriormente: nombre, clave pública, firma digital. Una AC puede emitir certificados: a los particulares, personas físicas o jurídicas, a otra AC o a ambos. Cuando una AC emite un certificado, ésta está certificando que la persona (la identidad en el certificado) o la organización, que tiene la clave privada que corresponde a la clave pública que contiene el certificado es la misma. Si incluye información adicional en el certificado, la AC está aseverando que la información correspondiente a esa persona u organización es correcta. Esa información adicional es por ejemplo su correo electrónico, en que lugar se lo puede contactar, o también puede ser información sobre la clase de aplicaciones que puede llevarse a cabo con la clave pública, o hasta qué monto puede el usuario actuar con ese certificado. Cuando el sujeto del certificado es otra AC, la emisión certifica que ese certificado emitido por otra AC es viable, de confianza. Dijimos anteriormente que los atributos de la AC era la clave pública y el nombre, generalmente es una información pública y la firma es la base de confianza del certificado. 4
Por ejemplo: si un tercero, ajeno a la relación entre el emisor y el solicitante, obtiene la clave privada de la AC, los usuarios confiarán en los certificados que genere el tercero como si fuera la AC que los generara. Esta es la primera y principal responsabilidad de una AC es proteger su clave privada de la revelación. Para proteger la clave privada la AC, lo que debe hacer es: proteger la clave privada cuando está en uso y cuando está archivada. Para cumplir con este requerimiento la AC debe recurrir a la criptografía. La criptografía genera claves, protege las claves privadas e implementa los algoritmos criptográficos. La clave privada de la AC está en riesgo cuando queda guardada en la memoria de una máquina de un tercero o en un sistema inválido de criptografía. El contenido de los certificados debe ser correcto para el uso. La información en el certificado, como por ejemplo la clave pública, la información sobre los contactos, deben todos corresponder al sujeto identificado en el certificado. La segunda responsabilidad de una AC es verificar la información en el certificado antes de ser emitido. Comprobando la identidad del usuario, su información personal es muy diferente a amparar la clave privada de la AC. La AC puede verificar alguno de los contenidos de los certificados basados en mecanismos técnicos, por ejemplo la AC puede usar el mecanismo de la firma digital para garantizar que el usuario que actualmente tiene la clave privada se corresponde con la clave pública en el certificado. Este proceso de verificación se llama frecuentemente, prueba de posesión, esta prueba puede ser archivada para examinar más bien los datos externos. La tercera responsabilidad del la AC es garantizar que todos los certificados y las listas de revocación de los certificados emitidos confirman sus características. 5
Con respecto a los certificados que se otorgan por las AC tenemos de varios tipos: a) De usuarios: 1) siendo el más simple aquel que certifica solamente la dirección de correo electrónico del propietario, tiene además un nivel bajo con respecto a la seguridad y podrán ser gestionados por cualquier persona, mediante correo electrónico o por Internet a través de una página web. 2) los que tienen alta seguridad que deben ser solicitados por el interesado en la AC. b) De servidores: con estos certificados lo que se certifica es que la página a la cual queremos llegar es realmente la que queremos, permitiendo así la utilización de protocolos que son seguros para la navegación. MANTENIMIENTO DE LA INFORMACION Y EMISION DE LISTAS DE REVOCACION DE CERTIFICADOS (CRL).- Así como en los certificados el contenido de las listas de revocación deben ser correctos para su uso. La información en los CRL (lista de revocación), por ejemplo: la fecha en que fueron revocados, la razón por la que fue revocado, deben ser completas y correctas. Errores de omisión podrían causar que el usuario aceptara un certificado no válido, o una revocación incorrecta. La cuarta responsabilidad de la AC es el mantenimiento fiel de la lista de certificados y que sea confiable. EDICION DE LOS CERTIFICADOS Y LAS LISTAS DE REVOCACION (CRL) La AC es solo válida si sus certificados y CRL que genera son válidos para los usuarios. La quinta responsabilidad de la AC es la distribución de los certificados y CRL. MANTENIMIENTO DE ARCHIVOS.- La AC necesita el mantenimiento de la información de la identidad del firmante de un viejo documento basado en un certificado expirado. El archivo debe identificar la persona actual 6
u organización actual identificado en el certificado, estableciendo que ellos solicitaron el certificado y mostrando que el certificado era válido al momento de ser firmado. La sexta responsabilidad de la AC es el mantenimiento de suficiente información archivada para establecer la validez del certificado después de haber expirado. Por lo que tenemos entonces, que la AC tiene como principales responsabilidades: a) proteger su clave privada de la revelación. b) verificar la información en el certificado antes de ser emitido. c) mantenimiento fiel de la lista de certificados y que sea confiable. d) distribución de los certificados y CRL e) mantenimiento de suficiente información archivada para establecer la validez del certificado después de haber expirado. AUTORIDAD DE REGISTRACION (AR) o REGISTRATION AUTHORITY (RA) Al comienzo al hablar del edificio de la ICP dijimos que el segundo nivel lo ocupaban las Autoridades de Registración, cuando estaban separadas de las Autoridades de Certificación. Es designada para verificar el contenido de los certificados de la AC. Los certificados contienen información presentados por la entidad solicitante del certificado, semejante a una licencia de conducir. Ellos deben reflejar también información dada por terceros. Por ejemplo: el límite de crédito asignado a la tarjeta reflejan una información obtenida de las oficinas de la tarjeta de crédito un certificado reflejaría datos desde la AC. Por ejemplo el certificado de Juan podría indicar que él tiene una firma digital autorizada para pequeños contratos. La AR generalmente provee a la AC. Como la AC, la AR es una colección de hardware, software y las personas que la operan. A diferencia de una AC una persona individualmente puede operar una AR. Cada AC mantiene una lista de las AR que existen, son AR determinadas por la confianza. 7
Cada AR es reconocida por una AC por su nombre y por la clave pública al igual que la AC, para verificar la firma de un AR en un mensaje, la AC puede estar segura que una AR es tal por su información. Y puede confiar. Asimismo es importante que la AR provea adecuada protección a su clave privada. Para eso utilizan criptografía en su hardware y software. A su vez como habíamos mencionado antes se pueden confundir ambas autoridades en una sola, ser a su vez AC y AR. Para poder garantizar la identidad de los usuarios (sean personas físicas o jurídicas) según las nuevas tecnologías debemos utilizar como herramienta las Autoridades Certificantes, otorgando así la confianza y fabilidad en cuanto a que quienes participan en la operación son quienes dicen ser. Como tercer escalón y como aquellos que mantienen la ICP están los usuarios, los cuales pueden ser personas físicas o jurídicas. ACTUALIDAD: En nuestro país existen en éste momento tres Autoridades Certificantes que se basan en lo establecido por la ley 17243 de 29/6/000, más conocida como la Ley de Urgencias II, art. 25, inc2, que se realizan en régimen de libre competencia. Estas son: El Correo ( es la actual prestadora de estos servicios a nivel público y consta con la aprobación de la Comisión Nacional de Informática (CONADI), Abitab, y la Cámara Nacional de Comercio. Estas tres empresas expiden certificados digitales como los mencionados anteriormente: para usuarios personas físicas y jurídicas, para servidores y páginas web. En lo que refiere a nuestro derecho positivo, la norma anterior y el Decreto del Poder Ejecutivo de fecha 17/09/03 que reglamenta el uso de la firma digital son las únicas normas que se refiere a las autoridades certificantes, o prestadores de servicios, existiendo en derecho comparado diferentes países que ya han aprobado su ley, como por ejemplo: 8
Argentina, Chile tiene también, su ley pero no tiene ninguna AC, en nuestro país está siendo objeto de estudio un proyecto de ley referente a la firma digital y a los proveedores de servicios. ARCHIVO El archivo es parte integrante de la AC ya que en él se incluye todas las funciones de archivo, mantenimiento y publicación de la información. En el archivo se debe mantener actualizada y publicada las listas de revocación. POLITICAS DE CERTIFICACIÓN El segundo elemento de la ICP, luego del sistema de autenticación que hemos visto anteriormente, son las políticas de certificación; estas son las que establecen las reglas de su uso y los servicios de certificados. Estas reglas deben prever todo tipo de situaciones como por ejemplo qué sucede cuando un usuario sin querer comparte su clave privada con otra persona? Estas normas son de mucha importancia dentro de una ICP y se ha hecho una declaración de políticas de certificación que se usan como modelo, adaptándolas a cada Estado con el asesoramiento jurídico y del personal capacitado en las tecnologías de la información. Ellas proporcionan una explicación detallada de cómo la AC ha de gestionar los certificados que edita y otros servicios anexos como la gestión de las claves. Muchas veces estas PC actúan como un contrato entre la AC y los usuarios, describiendo las obligaciones y limitaciones legales, estableciendo los principios también para futuras auditorías o verificaciones. PERSONAL CAPACITADO El tercer elemento que integra la infraestructura de clave pública es el personal capacitado para crear, administrar y gestionar una IPC o PKI. 9
Es obvio que dentro de ese personal capacitado necesitaremos una persona que sea la encargada de la seguridad, así como de establecer y administrar las políticas de seguridad, siendo necesario también que comprenda muy bien todo lo que se refiere a las cuestiones que están en juego. Se va a necesitar un administrador que actúe como autoridad de registro, aunque es posible establecer una autoridad de registro automatizada para tratar las peticiones de los usuarios realizadas a través de sus navegadores web. OBLIGACIONES DE LAS AC a) Garantizar la validez y la correspondencia entre los datos contenidos en los certificados que emite, durante todo el período de validez. b) No hacer públicos los datos de los solicitantes (derecho de privacidad ). c) Notificar cuando vencen los certificados, cuando es pedida su revocación por un tercero. OBLIGACIONES DE LA AR a) Verificar la presentación de los documentos, la identidad del solicitante y toda la información que quiera poner en el certificado. OBLIGACIONES DEL PROPIETARIO El propietario es quien posee la clave privada, el del servidor: Debe tener un dominio registrado. Debe comprometerse a no divulgar, ni permitir el acceso a su clave privada. Debe usarlo de acuerdo a las reglas por el cual se ha emitido el certificado. Debe notificar a la AC cualquier imprevisto con la clave privada. 10
OBLIGACIONES DEL USUARIO DEL CERTIFICADO Este es todo aquel que directamente o a través de algún sistema solicita a terceros la presentación de un certificado e interpreta su contenido. Verificar la autenticidad de la firma electrónica de la autoridad certificante en el certificado, comprobar la existencia y las prácticas aplicadas por la AC, obtener el certificado de la AC, verificar contra la clave pública de la AC la firma electrónica en el certificado sujeto a verificación. Usar un certificado para lo que está emitido, no darle un uso que no corresponde. Verificar su vigencia y si está o no revocado. Conocer las garantías y limitaciones de responsabilidad aplicables a este. CÖMO OBTENGO UN CERTIFICADO DIGITAL? Hemos visto hasta ahora la infraestructura de clave pública, sus obligaciones, ahora veremos qué debemos hacer para obtener un certificado digital y cómo usarlo. La firma digital se genera mediante la utilización de un par de claves de cifrado (pública y privada), que se utilizan para cifrar y descifrar el mensaje que enviamos. A diferencia de la firma autógrafa, que es de libre creación por cada individuo y no necesita ser autorizada por nadie, ni registrada en ninguna parte para ser utilizada, la firma digital y más concretamente el par de claves que se utilizan para firmar digitalmente los mensajes, no pueden ser creados libremente por cada individuo. Bien, el certificado se obtiene de la siguiente forma: Cualquier persona puede dirigirse, personalmente, a una AC (AEU) que cuente con los dispositivos necesarios para generar el par de claves y solicitar la creación de dicho par de 11
claves creado para una persona determinada, o enviar una petición a la AR designada, que verifica su identidad y encarga a la AC la expedición del certificado. Este certificado es un documento digital que generalmente, se almacena y administra en un directorio central, por ejemplo: si Alberto está en su computador en su casa el certificado se almacena en su sistema; en otros casos se transmite automáticamente cuando es necesaria su utilización, sin interrumpir el trabajo del usuario. Asimismo la autoridad verifica la autenticidad del certificado cuando lo precisa un tercero, lo hace de modo transparente, ya que su seguridad debe ser la máxima. Los certificados se editan con una fecha de expiración, (casi siempre un año) algunas veces deben ser revocados inmediatamente, como cuando un empleado por ejemplo abandona la empresa, cuando se conoce la clave privada del usuario, para eso la autoridad mantiene actualizada una lista de revocación de certificados, de la cual ya habíamos hablado anteriormente, la cual puede ser consultada por los usuarios, mediante correo electrónico, o por la web, para asegurarse que el certificado que le surge está siendo válido en ese momento. La autoridad de registro es responsable de verificar la identidad de quien posee el certificado. Este es un proceso diferente de la certificación en sí, y puede ser antes o después de que se genere el certificado por la AC. Esc. Beatriz Rodríguez Acosta 12
13