Llaves Públicas

Qué es una llave pública a Infraestructura de Clave Publica o (PKI – Public Key Infraestructure), es un conjunto de herramientas, mecanismos, normas, políticas, procedimientos y otros, en suma tecnologías que se aplican en el campo de la Seguridad Informática. Una PKI, está basado (principalmente), en lo que se conoce como Criptografía de Clave Publica -aunque esta base solo es una parte de lo que es una PKI-, y que se utiliza para complementar el contexto de la seguridad

Objetivo Es garantizar la Confidencialidad, Autenticidad, Integridad y no repudio de las transacciones administrativas y/o económicas realizadas a través de una red. (Internet, Intranet y/o Extranet), y como tal, es una pieza clave en el contexto de la Seguridad de las Instituciones/Entidades. La tecnología PKI permite a los usuarios diferentes propósitos: La Autenticación frente a otros Usuarios mediante su Certificado Digital, La Certificación de una Transacción, que tiene relación con la Confidencialidad de la información transferida (cifrado) El No Repudio (no negar el envío o firma de cierta información) y el “control” de cualquier cambio realizado en la información transferida (Autenticidad e Integridad), mediante la aplicación de la Firma Digital. Como resumen, la PKI, gestiona los Certificados Digitales para el intercambio seguro de la información, firmando para ello digitalmente los documentos a intercambiar (mensajes de correo, archivos, datos y otros).

Certificado Digital Un certificado digital o también denominado certificado electrónico es un documento firmado electrónicamente por un prestador de servicios de certificación (Autoridad de Certificación – AC), que vincula los datos de verificación de la firma a un firmante (persona, entidad), y confirma su identidad.

Es un documento que permite al firmante identificarse en una red. Un Certificado Digital puede servir para: Autentificar la identidad de un usuario, de forma electrónica, ante terceros. Firmar electrónicamente de forma que se garantice la integridad de los datos trasmitidos y su procedencia. Un documento firmado no puede ser manipulado, ya que la firma digital está asociada matemáticamente tanto al documento como al firmante Cifrar datos para que sólo el destinatario del documento pueda acceder a su contenido.

Firma Digital Una firma digital es un conjunto de datos asociados a un mensaje que permite asegurar la Autenticidad y la Integridad de un mensaje” Una firma digital tiene tres propósitos: Validar el contenido de un mensaje electrónico, que se puede utilizar posteriormente para comprobar que un emisor envió dicho mensaje. Probar que no se ha falsificado un mensaje durante su envío. La no negación del emisor. Un emisor no puede negar haber enviado el mensaje, o haber realizado una determinada transacción.

La Firma Digital se basa en el hecho de que dos grupos pueden autentificarse el uno al otro para el intercambio seguro de documentos, pero la relación entre ellos no se basa en una confianza total. Por ejemplo, una persona podría enviar un mensaje para una apuesta en cualquier competición y al perder negarse haber enviado dicho mensaje. Aunque se sabe a través del proceso de autenticación que esta persona realmente envió ese mensaje, sin una firma digital no se podría probar técnicamente que el mensaje no se modificó. El emisor podría decir, “sí, yo le envié el mensaje, pero se lo modifico”.

COMPONENTES BÁSICOS DE UNA PKI Existen diferentes modelos de PKI’s y por lo tanto son diferentes los componentes que emplean para su infraestructura, entre algunos componentes básicos tenemos:

PCA – POLICY CA’s Para que un entorno de certificación funcione correctamente es necesario definir una serie de reglas que indiquen la forma de aplicar los certificados. Este conjunto de reglas que constituyen la Política de Certificación, tiene que estar definido por las autoridades reconocidas en el entorno. Por lo tanto, las CAs actuarán bajo una determinada política de certificación. Estas CA’s específicas suelen denominarse PCA’s (Policy CAs). Una PCA puede estar representada por una empresa única, o una institución que agrupe a otras en representación, todo con el fin de definir el entorno, alcance y medios de las políticas de seguridad en la infraestructura. Una política de seguridad establece y define la dirección de máximo nivel de una organización sobre seguridad de información, así como los procesos y principios para el uso de la criptografía. Por lo general, incluye declaraciones sobre cómo gestionará la empresa las Claves y la información critica, y establecerá el nivel de control requerido para afrontar los niveles de riesgo.

CA – CERTIFICATION AUTHORITY Es una entidad o servicio que emite certificados. El sistema de CA es la base de confianza de una PKI, es uno de los pilares fundamentales de la infraestructura. Como tal es un conjunto de herramientas y archivos asociados, que permiten comprobar la identidad de una persona, servidor o programa. Actuaría como una especie de notario electrónico. Su función principal es el de avalar los datos de cualquier certificado emitido por la PKI. Esta jerarquía de firmas y la cadena con ella formada están contempladas en el estándar X.509 v3, que indica la forma correcta de realizar estas cadenas de certificaciones. El Certificado Digital vincula pues indisolublemente a una persona o entidad con una llave pública, y mediante el sistema de firma digital se asegura que el certificado que recibimos es realmente de la persona que consta en el mismo. El sistema de firma digital liga un documento digital con una clave de cifrado

RA – REGISTRATION AUTHORITIES Las RA’s no realizan ninguna labor de certificación, su funcionalidad es la de registrar a las entidades o usuarios finales. Es decir, estas Autoridades se encargaran de garantizar que el binomio formado por una entidad y el par de claves que la identifica, sólo este registrado una sola vez. Cuando una RA y una CA coincidan físicamente, la RA podrá considerar el par de claves de la CA y su certificado como propios.

POLITICAS DE CERTIFICACION Determina la orientación, los procesos y procedimientos que se empleará y aplicará en toda la plataforma. Atención de Solicitud de Certificados: La emisión de Certificados de Identidad Personal exigen el reconocimiento previo de todos aquellos elementos característicos y únicos que son propios del solicitante; a estos caracteres se les denomina “identificadores intrínsecos” (fotografía, firma manuscrita, huellas dactilares, timbre de voz, fondo de ojo, marcas de nacimiento, etc.). Según el número e importancia de los identificadores intrínsecos que las Autoridades de Registro verifican, registran y archivan para la emisión de sus certificados de identidad, diferente será la confianza que éstos puedan ofrecer.

Procedimientos para el registro de usuarios: Se deben definir los mecanismos para la identificación y aceptación de usuarios finales. Emisión del Certificado: Satisfechas las condiciones marcadas por la Autoridad de Registro en su documento público de Política de Emisión de Certificados incluida en su Política de Seguridad, esta autoridad envía todos los documentos a la Autoridad de Certificación, la cual podrá generar el certificado correspondiente y devolver al solicitante un certificado digital que atestigua la validez de su clave pública para actuar dentro del sistema. Procedimientos para la gestión de claves: Se deben definir aspectos relacionados con la generación, distribución y validez de las claves. También se deben especificar los mecanismos de distribución permitidos, el tamaño de las claves y su período de validez. Registro y auditoria: Se deben definir los mecanismos necesarios para registrar y auditar los eventos y la información que resulte necesaria para garantizar la protección de una CA y los usuarios que dependen de ella.

Generación y Registro de Claves: Cualquiera que desee firmar digitalmente mensajes o recibir envíos cifrados y/o firmarlos, debe poseer un par de claves dentro de algún criptosistema de clave pública. Almacenamiento en las claves de la CA: La Autoridad de Certificación, se encargan de verificar las condiciones que a parecen en sus políticas públicas de seguridad y, posteriormente, de emitir y seguir el ciclo de vida de los certificados que emite. En cuanto a esta última actividad, la Entidad de Certificación es “firmador” digital, para lo cual deben disponer de una clave privada que sólo conocen ellos y que custodian con niveles de seguridad iguales o superiores a los declarados públicamente.

Tarea Investigar el concepto de Transporte, Técnicas y Tendencias de la Gestión de Llaves.