PRIMERAS JORNADAS SOBRE TECNOLOGÍA Y MERCADOS DE VALORES Madrid, 8 a 12 de mayo de 2000 Cifrado y firma electrónica: La implantación en España. CIFRADOC/CNMV una aplicación práctica de cifrado y firma electrónica. Enrique García Mayordomo Subdirector Sistemas de Información CNMV. España garcia@cnmv.es

CIFRADOC/CNMV Una aplicación práctica de cifrado y firma electrónica. - La oportunidad - El procedimiento - La herramienta - El soporte jurídico - Grado de utilización - El futuro - Referencias - DEMOSTRACION

CIFRADOC/CNMV La oportunidad Durante el desarrollo del servidor web de la CNMV (1995 - 1996). Internet es un gran medio de comunicación pero no es un medio seguro. La criptografía proporciona seguridad. Búsqueda de un sistema eficiente y eficaz para mejorar el envío de información a la CNMV.

CIFRADOC/CNMV La oportunidad Dos “tipos” de entidades envían información a la CNMV: “Fuertemente” supervisadas: Instituciones de Inversión Colectiva y Empresas de Servicios de Inversión. Alrededor de 350, envían datos mensualmente en disquetes (1000 disquetes/mes) “Débilmente” supervisadas: Entidades emisoras de valores. Envían información en formato papel

CIFRADOC/CNMV La oportunidad Disquetes generados por aplicaciones de la CNMV. Emplean un método elemental pero eficaz para asegurar la integridad (no manipulación) de la información y la autenticación de la persona responsable de esta: Una vez grabado el disco, se pone la pestaña de lectura/escritura en sólo lectura y se tapa con una etiqueta, que es firmada “ a mano” .

CIFRADOC/CNMV La oportunidad SOCIEDAD DE VALORES Y BOLSA, S.A. 000 XXXX/91 FIRMA Manuel Pérez Díaz Ni un solo problema en nueve años

CIFRADOC/CNMV La oportunidad http://www.aimc.es/

CIFRADOC/CNMV La oportunidad El objetivo a alcanzar: Utilizar la línea telemática (Internet, BBS) como medio de comunicación Con completas garantías seguridad (Real Decreto 263/1996, artículo 4). Eliminación de los disquetes y papeles. Sistema eficiente y eficaz. Grupo cerrado de usuarios

CIFRADOC/CNMV El procedimiento Requerimientos: Confidencialidad: La información sólo la puede leer el destinatario del mensaje. Integridad: La información no se modifica durante la transmisión. Autenticación: El destinatario puede asegurar la identidad del emisor. No repudio: El emisor de la información no puede negar su autoría. La criptografía nos da las técnicas para alcanzar los requerimientos

CIFRADOC/CNMV El procedimiento Sistema criptográfico Algoritmo de cifrado Algoritmo de descifrado Texto en claro Cripto- grama Cripto- grama Texto en claro Medio de transmisión Clave de cifrado Clave de descifrado

CIFRADOC/CNMV El procedimiento Algoritmo simétrico Cifrado. Algoritmo + clave Documento Algoritmo + clave Documento Descifrado

CIFRADOC/CNMV El procedimiento Algoritmo asimétrico o de clave pública Cifrado clave privada del emisor clave pública del receptor E R Documento clave privada del receptor clave pública del emisor R E Documento Descifrado

? Firma electrónica CIFRADOC/CNMV El procedimiento Firmar: Documento Función resumen Cifrado con clave privada Resumen E Firma electrónica Verificar firma: Descifrado con clave pública Podemos obtener el resumen con la clave pública. Resumen Firma electrónica E ? Documento Los dos resúmenes deben coincidir si el documento permanece inalterado. Función resumen Resumen

+ + Sistema híbrido.Cifrado CIFRADOC/CNMV El procedimiento 1 2 Documento Función resumen Cifrado con clave privada 1 Firma electrónica Resumen E Documento + Cifrado con clave simétrica aleatoria 2 Firma electrónica Al receptor + Cifrado con clave pública 3 R

Descifrado con clave pública CIFRADOC/CNMV El procedimiento Sistema híbrido. Descifrado Descifrado con clave privada Confidencialidad: Solo puede leer el mensaje el receptor poseedor de la clave privada 1 R Documento Descifrado con clave simétrica + 2 Firma electrónica Documento Función resumen 3 Resumen Integridad: Si el resumen de la firma coincide con el obtenido directamente del documento, este no ha sido alterado = Descifrado con clave pública No repudio y autenticación: La firma sólo puede haber sido cifrada por el propietario de la clave privada Firma digital Resumen E

CIFRADOC/CNMV El procedimiento 2. Cifrado con clave simétrica y pública de la CNMV Documento original Documento original Documento original 1. Firma del documento con la clave privada de la entidad Firma electrónica de la entidad Firma electrónica de la entidad 8. Verificación de la firma con clave pública de la CNMV Firma electrónica CNMV ENTIDAD 7. Transmisión a la entidad del Acuse de Recibo 3. Transmisión a la CNMV del documento CNMV Documento original Documento original Documento original Firma electrónica CNMV Firma electrónica de la entidad 4. Descifrado del mensaje recibido con clave privada de la CNMV y simétrica 5. Extracción del documento y verificación de la firma con clave pública de la entidad 6. Firma del documento recibido con la clave privada de la CNMV Firma electrónica de la entidad

CIFRADOC/CNMV El procedimiento Acuse de recibo: Confirma que la CNMV ha recibido el documento Permite verificar que el documento recibido en la CNMV es exactamente el que se quiso enviar Demuestra ante terceros que se ha realizado la comunicación a la CNMV (Impresión autorizada)

CIFRADOC/CNMV El procedimiento Acuse de recibo

CIFRADOC/CNMV El procedimiento Par de claves pública/privada generadas por la entidad. Problema: El intercambio de las claves públicas de forma segura. En 1996 no existían autoridades de certificación fuera de Estados Unidos. No estaba extendido el uso de certificados digitales (X509) Solución: La clave pública de la CNMV se entrega en mano (en un disquete) a la entidad junto con un código secreto de usuario (PIN). La entidad envía la clave pública junto con el PIN para evitar suplantación.

CIFRADOC/CNMV La herramienta Se utilizan la rutinas criptográficas del PGP versión 2.6.3.i, muy estable y con código fuente disponible en Internet. Se eliminan las funciones que no son necesarias. Al producto resultante se le denomina Módulo de Cifrado de la CNMV (MCC). Algoritmos usados: IDEA, RSA y MD5 El MCC se envuelve en una interfaz gráfica de usuario que implementa el procedimiento definido. Se opta por el correo electrónico como medio de transporte. Las claves privada y pública de la entidad y pública de la CNMV se almacenan en un disquete

ARQUITECTURA DEL SISTEMA en Entidad (cliente) CIFRADOC/CNMV La herramienta ARQUITECTURA DEL SISTEMA en Entidad (cliente) Aplicación Módulo de cifrado (MCC) Interfaz de usuario Módulo de comunicaciones

ARQUITECTURA DEL SISTEMA en CNMV (Servidor) CIFRADOC/CNMV La herramienta ARQUITECTURA DEL SISTEMA en CNMV (Servidor) Aplicación Registro de Entidades autorizadas Captura automática del mensaje Extracción y verificación del documento Registro de Entrada/Salida de documentos electrónicos Módulo de Cifrado (MCC) Generación y envío de Acuse de Recibo Carga automatizada en base de datos Base de datos de la aplicación de destino del documento

CIFRADOC/CNMV Soporte jurídico Al amparo del artículo 45 de la Ley 30/1992 del Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común En cumplimiento del artículo 9 del Real Decreto 263/1996: Informe técnico favorable de la Comisión Permanente de Tecnologías de la Información y las Comunicaciones. Acuerdo de 11 de Marzo de 1998 (BOE del 27 de marzo de 1998) del Consejo de la CNMV para la implantación del sistema Pago de licencias por el uso de IDEA a Ascom AG

CIFRADOC/CNMV Soporte jurídico Procedimiento de autorización Registro de entidades y usuarios autorizados Solicitud de incorporación al sistema Verificación de la identidad de la entidad y usuarios Documento de aceptación Aplicación, Clave pública de la CNMV e identificador secreto U CNMV ID U Clave pública + identificador cifrado con clave pública CNMV CNMV ID U U

CIFRADOC/CNMV Grado de utilización 135 entidades autorizadas (marzo 2000): % Sobre el total de entidades de cada tipo Además se utiliza con el mercado AIAF en la transmisión diaria de la contratación y en el procedimiento de supervisión de la admisión de nuevas emisiones.

CIFRADOC/CNMV Grado de utilización Problemas encontrados: Casi ninguno de instalación o funcionamiento. Algunos servidores de correo tienen retrasos apreciables. 5 casos de generación indebida de nuevas claves. En 2 no tenían copia de seguridad y fue necesario revocar las claves antiguas. Algunos problemas con los acuses de recibos. En la mayoría de los casos por verificar el acuse contra un fichero distinto. En los menos al repetir el envío funcionó. La automatización de la incorporación a base de datos (sin intervención manual) exige programas complejos de validación.

CIFRADOC/CNMV El futuro Adaptación al Real Decreto-Ley 14/1999, de 17 de septiembre sobre firma electrónica en lo concerniente al uso de certificados reconocidos (artículo 3). Posibilidad de doble firma. Conversión del MCC de ejecutable a librería dinámica (DLL) y/o componente para mayor integración con las aplicaciones generadoras de los documentos Automatización (opcional) desde el CIFRADOC/CNMV del envío por correo electrónico. Cambio del algoritmo IDEA por Twofish (candidato al AES) Promocionar un mayor grado de utilización por parte de las entidades.

CIFRADOC/CNMV Referencias · Sistema CIFRADOC/CNMV: http://www.cnmv.es/SDC/cifradoc.htm · Criptografía. o Boletines periódicos: § Kriptópolis: http://www.kriptopolis.com/ (en español) § Criptomicon: http://www.iec.csic.es/criptonomicon (en español) § Crypto-Gram: http://www.counterpane.com (en inglés) o Libros: § "Applied Cryptography". Bruce Schneier. § "Criptografía y Seguridad en Computadores". Manuel Lucena. En español y gratuito, en formato PDF, en: http://www.kriptopolis.com/cys.html § "Handbook of Applied Cryptography". Alfred J. Menezes. En inglés, se puede obtener de forma gratuita en formato PDF en http://cacr.math.uwaterloo.ca/hac/ o FAQ (preguntas mas frecuentes): § http://www.rsasecurity.com/rsalabs/faq (inglés) · PGP: o The International PGP Home Page: http://www.pgpi.org/ (inglés) o Páginas de PGP en la Comunidad RedIris: http://www.rediris.es/pgp/ (español)

CIFRADOC/CNMV Demostración Entidad * APLICACIÓN PREVIAMENTE INSTALADA * GENERACION DE CLAVES PUBLICA Y PRIVADA A PARTIR DE NOMBRE Y CODIGO DE USUARIO (PIN) * ENVIO CLAVE PUBLICA A LA CNMV * GENERACION DE FICHERO A ENVIAR A LA CNMV * CIFRADO Y FIRMA DEL FICHERO * ENVIO DEL FICHERO A LA CNMV * COMPROBACION DEL “ACUSE DE RECIBO” * “IMPRESIÓN AUTORIZADA” CNMV * INCORPORACION CLAVE PUBLICA AL REGISTRO. CNMV ENVIA UN MENSAJE DE CONFORMIDAD A LA RECEPCION DE LA CLAVE PUBLICA * CNMV CAPTA, DESCIFRA, REGISTRA, CARGA EN BASE DE DATOS, GENERA Y ENVIA “ACUSE DE RECIBO” DE MANERA AUTOMATIZADA