SISTEMA
NACIONAL
DE
Agenda
9
Conceptos Generales
9
Ámbito Legal
9
Normas Técnicas Internacionales
9
Modelo Conceptual
9
Beneficios y retos
Conceptos
Generales
La firma digital es una solución tecnológica que permite
autenticar el origen y verificar la integridad del contenido de
un mensaje de manera tal que ambas características sean
demostrables ante terceros.
Propiedades:
9Autenticidad: El emisor es quien dice ser.
9Integridad: El documento No se ha modificado
9No Repudio: El emisor no puede negar la autoría
El
Certificado
Digital
es
un
documento
electrónico
que
relaciona
una
identidad
con
una
Llave
(Pública).
Sus
componentes
principales
son:
Titular
Una Llave Pública
Periodo de validez
Solamente
contendrán
información
inherente
a
la
persona
subject = Juan Ulloa Solís serial number = 1‐0967‐0538
Mecanismo de Verificación
Se entrega con el dispositivo
Tipos
de
Certificados
Digitales
Certificado
de
Persona
Física
Firma Digital y Autenticación de Personas Físicas
Implementa Equivalencia Funcional con Firma Autógrafa
Certificado
de
Agente
Electrónico
Firma Digital y Autenticación de Entidades
Implementa Servicios Electrónicos Automatizados
Certificado
de
Sellado
de
Tiempo
(TimeStamping)
Garantizar la existencia de una firma o un documento en el
Fortalezas del
Certificado Digital
Actualmente, la seguridad esta basada en secretos (passwords, pins, llaves) Problemas:
• Los secretos se exponen, la información sensible viaja
• Secretos poco complejos pueden “adivinarse” (fuerza bruta, diccionarios)
• Factor humano (ingeniería social, uso incorrecto de Passwords)
Con los Certificados Digitales y la Firma Digital
9 El secreto nunca se expone, se protege en el dispositivo
9 El secreto posee gran complejidad (computacionalmente inquebrable)
9 Combinación de “algo que sé y algo que tengo”
Autoridad
Certificadora
La validez de un Certificado Digital dependerá de la confianza que se tenga en el emisor del mismo
Una Autoridad Certificadora es el tercero de confianza que emite Certificados Digitales
Autoridad Certificadora
Un usuario que confía en una AC puede verificar que una Llave Pública pertenece a quien se identifica en un Certificado Digital.
Principios
para
generar
confianza
en
una
Autoridad
Certificadora
9
La
imparcialidad
9
La
competencia
9
La
responsabilidad
9
La
transparencia
9
La
confidencialidad
9
La
receptividad
y
respuesta
oportuna
a
Dispositivo
Seguro
También
se
utilizan
Tokens USB
9Uso de PIN o huella
9Las Llaves Privadas nunca son expuestas
9Protección física y lógica
Mecanismo
de
Autenticación
y
Firma
– sustituye los actuales Utilizado para firmar digitalmente y autenticarse en forma segura. Protege la Llave Privada.
Documento
de
Identidad
Electrónico
España Bélgica Estonia Finlandia Suecia Italia Costa Rica (mediano plazo)Ambito Legal
Ley
8454
Reglamento
ISO
21188
ISO
17021
ISO
27001
Normativa
internacional
Documento
de
Políticas
Declaración de Prácticas de CertificaciónSustento
Legal
Objetivo
de
la
Ley
8454
Proporcionar un marco jurídico
que brinde certeza y seguridad a
las transacciones que se realicen a
través de Internet.
Ley:
Alcance
de
la
Firma
Digital
Valor Equivalente
(art. 9):
“Los documentos y las comunicaciones suscritos mediante firma digital, tendrán el mismo valor y la eficacia probatoria de su equivalente firmado en manuscrito.”
Presunción de autoría
(art. 10)
“Todo documento […] asociado a una firma digital certificada se presumirá, salvo prueba en contrario, de la autoría y responsabilidad del titular del correspondiente certificado digital […]”
9 Identificación unívoca 9 Vinculación jurídica
9 Validez y eficacia probatoria 9 Presunción de autoría
Ley:
Aplicaciones
Jurídicas
En particular y excepciones
(art. 5):
9Abogacía:
Tramitación administrativa y judicial
Asesoría jurídica en general
9Notariado:
Notariado digital
Tramitación registral
9Excepciones:
Actos o negocios que requieran presencia física Disposiciones por causa de muerte
Actos y convenios relativos al Derecho de Familia Actos Personalísimos en general
Otros
componentes
•
Directrices
y
políticas
generadas
por
la
DCFD
–
Participación
del
Comité
Asesor
de
Políticas
•
Directrices
de
Archivos
Nacionales
–
Artículo
6
de
la
Ley
•
Políticas
de
certificación
de
cada
AC,
traducidas
en
contratos
concretos
Norma
INTE
‐
ISO/IEC
21188
Infraestructura
de
llave
pública
para
servicios
financieros.
Estructura
de
prácticas
y
Competencia
Técnica
1. Controles Ambientales
2. Controles de Administración
Capacidad
de Custodia dePersonal Seguridad Monitoreo anteRecuperación desastres
Gestión de Dispositivos Criptográficos
(FIPS 140‐2)
Alta Disponibilidad
Personal con Roles de
Confianza Mancomunados Implementaciónde Servicios de Validación Sistema de Gestión de la Seguridad de la Información
ISO
‐
21188
Norma
INTE
‐
ISO/IEC
17021
Evaluación
de
la
conformidad
—
Requisitos
para
los
organismos
que
realizan
la
auditoría
y
la
certificación
de
sistemas
de
Competencia
Administrativa
1. Sistema de Gestión de Calidad
2. Competencia del Personal
3. Gestión de los procesos organizacionales:
9 Imparcialidad
Modelo
Conceptual
Entidad Financiera Pública Empresa Privada Entidad Financiera Privada Institución Pública Nivel 4 Nivel 1 Nivel 2
CAP
DCFD
MICITTribunal Supremo de Elecciones Banco Central
Registro Nacional Poder Judicial
CONARE CAMTIC
Comité Asesor de Políticas (Policy Approval Authority)
Asesora a la DCFD (Dirección de Certificadores de Firma Digital) EC Raíz Convenio BCCR Nivel 3
…
…
Modelo
Interoperabilidad
CA PERSONA FISICA-****
Existe el riesgo de una proliferación de Autoridades Certificadoras no interoperables.
La ley 8454 permite la existencia de múltiples CA s
CA SINPE-PERSONA FISICA
La realidad de algunos países
• Marcos Legales independientes
• Diferencias en la implementación de PKI y en el uso de Estándares
Algunos utilizan un formato propio mientras otros usan X509v3
• Rigurosidad en el proceso de Certificación de ECs
Algunos exigen un Centro de Datos contingente, ISO17799, HSM mientras que otros poseen instalaciones propias con menos niveles de seguridad
• Rigurosidad en el proceso de Certificación de Identidad de Titulares
Algunos exigen Documentación + Presencia física + Biometría mientras que otros entregan el Certificado por e-mail
• Procesos de Homologación Complejos o No Factibles
Aún teniendo una reglamentación robusta implementada, la interoperabilidad no esta garantizada
Beneficios
y
Retos
Firma
Digital
en
Costa
Rica
Beneficios de
la
Firma
Digital
9 Provee Seguridad Tecnológica y Jurídica9 Permite digitalizar cualquier trámite que requiera la firma manuscrita y ofrecerlo a través de internet
9 Reduce costos de transacción de la sociedad
9 Una única clave para utilizar cualquier sitio web nacional
9 Elimina el riesgo de Phishing y cualquier otra técnica de robo electrónica de la identidad
Con
certificados digitales las entidades podrán:
•
Asegurar la
integridad
de la información, así como
autenticar
los interlocutores de las transacciones en
los Sitios Web.
•
En
general
(Ejemplo:
Correo Electrónico)
– Comprobar la
integridad
de
documentos
transmitidos electrónicamente.
–
Autenticar
el
origen de
un
mensaje recibido.
Retos
9 Crear una cultura digital.
9 Combatir la Brecha Digital.
9 Generar aplicaciones que usen Firma Digital Certificada.
Casos
de
Éxito
e
iniciativas
en
el
uso
de
la
firma
digital
Ejemplos
Casos
de
Éxito
de
Firma
Digital
9Imprenta Nacional (Gaceta Digital)
9Casa Presidencial (Sistema de Leyes y Decretos)
9Gobierno Digital (MERLINK)
9Poder Judicial (Iniciativa cero papel)
9Poder Judicial (Sistema en Línea y Trámites)
9Banco Popular (Banco en Línea)
9Municipalidad de San José (pagos municipales)
9Banco Central de Costa Rica (Central Directo)
9Sistema Informático en Patología Forense
9Ministerio de Hacienda (Compra Red, TICA)
9CFIA (Administrador de Proyectos)
9COOPENAE (Página Transaccional)
9Compañía Nacional de Fuerza y Luz (Portal Transaccional)
Otras
Iniciativas
de
Firma
Digital
9 Dirección de Certificadores de Firma Digital (Servicio de Firma Digital para los ciudadanos)
9Junta de Protección Social (Sistemas de Loterías con Firma Digital)
9 C.C.S.S (Trámites al ciudadano)
9 Tribunal Supremo de Elecciones (emisión de certificaciones)
oCédula con chip
9 Instituto Nacional de Seguros
9 Registro Inmobiliario (Escrituras y planos)
9Ministerios
9Entidades del Estado en General
