Gestión de una Entidad de Certificación Samuel Gutiérrez T. E-mail: sgutieti@banrep.gov.co

Motivación Modernización del Gobierno Uso intensivo de TI Entidades de certificación apoyo para los negocios electrónicos Generación de confianza en el comercio electrónico Mantener la responsabilidad de los participantes en las acciones de las organizaciones

Agenda Definición Estado Tecnológico Aspectos Técnicos en Colombia Gestión de una entidad de certificación Segregación de funciones Conclusiones Preguntas y Comentarios

Definición Firma Digital: Entidad de Certificación: Valor numérico Adhiere a un mensaje de datos Vinculado a la clave del iniciador y Al texto del mensaje permite determinar integridad Entidad de Certificación: Es aquella persona facultada para emitir certificados en relación con las firmas digitales de las personas, Ofrecer o facilitar los servicios de registro y estampado cronológico de la transmisión y recepción de mensajes de datos,

Definición Certificado Digital: Mensaje de datos firmado por la entidad de certificación que identifica, tanto a la entidad de certificación que lo expide, como al suscriptor y contiene la clave pública de éste.

Definición Contenido del Certificado Digital Nombre, dirección y domicilió del suscriptor. Identificación del suscriptor nombrado en el certificado. El nombre, la dirección y el lugar donde realiza actividades la entidad de certificación. La clave pública del usuario. La metodología para verificar la firma digital del suscriptor impuesta en el mensaje de datos. El número de serie del certificado. Fecha de emisión y expiración del certificado.

Estado Tecnológico Encripción Simétrica Encripción Asimetrica Entidad de Certificación Infraestructura de llaves Públicas Gestionada No Gestionada Cuantos pares de llaves se necesitan? Cuales son sus requerimientos?

Aspectos Técnicos en Colombia Ley 527 de 1999 Decreto 1747 de 2000 Circular Única SIC Titulo V: Acreditación Capítulo Octavo: Entidades de Certificación Estado del arte ……..

Aspectos Técnicos en Colombia Como Cumplir con las extensiones de los certificados (Art.35 L.527/99) ASN.1 OID’s Internet Assigned Numbers Authority (www.iana.org) Son necesarias estas extensiones? Necesitamos un estándar?

Aspectos Técnicos en Colombia Servicio de Directorio La organización tiene un directorio? Usamos Directorio Activo? Que decisión debemos tomar? Esperamos? Como generamos y almacenamos nuestras llaves? Adicionalmente, permitiremos encripción de mensajes de datos?

Gestión de una entidad de certificación Nuestra entidad de certificación debe ser Cerrada o Abierta? Creando la Declaración de Prácticas de Certificación Sigamos los estándares: http://www.ietf.org/rfc/rfc2527.txt?number=2527

Gestión de una entidad de certificación Que debe contener la DPC Introduction General Provisions Identification and Authentication Operational Requirements Physical, Procedural, and Personnel Security Controls Technical Security Controls Certificate and CRL Profile Specification Administration.

Segregación de funciones Que estructura organizacional necesito? DBAs Directory Manager Master User Security Officer Administrator Auditor

Conclusiones Debemos tener en cuenta la documentación adecuada de los procesos Debemos cumplir con los procedimientos Su organización debe estar lista para la evolución del mercado La integración electrónica de la organización con sus proveedores y clientes hacen de la firma digital y entidades de certificación un factor diferenciador en el mercado

Preguntas y Comentarios