“Consideraciones legales y técnicas para el funcionamiento de las Autoridades Certificadoras” Identiga Karto S.A. 15 de noviembre de 2005

¿Qué es una Autoridad de Certificación o Certificador? “Se entenderá como certificador la persona jurídica pública o privada, nacional o extranjera, que emite certificados digitales y está debidamente autorizada según esta Ley” Artículo 18 Los Certificadores son un componente del sistema de Firma Digital

Del mundo físico al mundo digital … y su impacto en el sistema de firma.

¿Por qué se realiza una transacción en el mundo físico? ¿Cuándo es que ustedes realizan una transacción? ¿Qué se requiere para realizar una transacción? Referencias al mundo físico Confianza en lo que se realiza de forma personal y “por escrito”. ¿Qué mecanismos se utilizan para garantizar esa transacción?

Algunos ejemplos del mundo físico: Identificación Cédula Copia del documento O dos “originales” Conoce una persona Documentos y requisitos Mayor validez Fecha cierta o inscripción Contrato entre partes Transacción bancaria. Como cambio de cheque ante cajero.

Algunos ejemplos del mundo físico: Realiza una transacción Verifica la firma Identifica Institución Se identifica Recibo

Seguridad jurídica y técnica Existe un nivel mínimo de confianza en las instituciones y las personas Seguridad jurídica y técnica Usted transa porque confía. Se ampara principalmente a una seguridad jurídica ( en caso de conflicto) y que los mecanismos técnicos tienen un grado mínimo de seguridad. …al momento de realizar todo tipo de transacciones.

Transacciones utilizando documentos

“Documentos” Virtud: Independiente del soporte Pero…                 “Un documento es una información que ha sido producida o recibida en la ejecución, realización o término de una actividad institucional o personal y que engloba el contenido, el contexto y la estructura permitiendo probar la existencia de esa actividad”* Virtud: Independiente del soporte Pero… *Directriz Archivo Nacional.

Mundo pensado en “soporte” papel Legislación pensada en “soporte” papel “Por escrito, original firmado, sellado y firmado” “Contrato, triplicado, para inscribir” Documento electrónico/digital no es igual al documento físico Lo que algunos autores llaman “soporte tradicional”. No son iguales son de naturaleza distinta.

…y que tengan la misma validez que las transacciones en papel? ¿Cómo es posible trasladar las transacciones del mundo físico al mundo digital… …y que tengan la misma validez que las transacciones en papel? Y que tenga la misma validez de las transacciones en papel

Equivalencia funcional* Traslado del mundo físico al mundo digital Documento firmado de “puño y letra” Legislación o contrato Equivalencia funcional Documento firmado digitalmente Equivalencia funcional* “El criterio de la equivalencia funcional se basa en un análisis de los objetivos y funciones del requisito tradicional de la presentación de un escrito consignado sobre papel con miras a determinar la manera de satisfacer sus objetivos y funciones con técnicas del llamado comercio electrónico” *Según Ley Modelo UNCITRAL

“En cualquier norma del ordenamiento jurídico en la que se haga referencia a un documento o comunicación, se entenderán de igual manera tanto los electrónicos como los físicos.” Artículo 3 Se busca evitar que la validez de los documentos electrónicos se supedite a su reproducción en un medio físico.

Lapicero + “puño y letra” Relación entre el mundo físico y el mundo digital en los documentos, la firma y los certificados. Cédula de Identidad Soporte papel Vinculación Jurídica Documento Autor “Firma” No repudio Integridad En vinculación jurídica. Determinar los artículos del Código Civil aplicables. Lapicero + “puño y letra” Mundo Físico

Mecanismos Criptográficos Mundo Digital Certificado Digital Soporte Digital Documento Autor Vinculación Jurídica “Firma” No repudio Integridad En vinculación jurídica. Determinar los artículos del Código Civil aplicables. Mecanismos Criptográficos Llave privada Llave pública

Traslado al mundo digital (Internet) ¿Cómo sé que la información no ha sido leída por terceros? ¿Cómo puedo asegurarme que la persona no pueda negar una transacción? ¿Cómo determino la identidad de una persona en Internet? ¿Cómo sé que el mensaje no ha sido alterado durante su transmisión? ¿Cómo sé que el mensaje proviene de quien dice enviarlo? ¿Qué nivel de confianza puedo tener en el sistema en general?

Tanto en el mundo físico como en el digital, se debe garantizar: No repudio Integridad Autenticidad Privacidad MINIMIZAR EL RIESGO El mundo digital necesita de los mismo. CONFIANZA

Base del sistema de firma digital Impedir que los datos sean vistos por usuarios no autorizados Privacidad Base del sistema de firma digital CRIPTOGRAFIA Verificar la identidad de usuarios y sistemas Autenticidad Proteger los datos de cambios no autorizados Integridad Excluir la posibilidad de negar una transacción válida No repudio* *Repudiar.(Del lat. repudiāre).1. tr. Rechazar algo, no aceptarlo.

¿Qué es firmar digitalmente? (parte 1 de 3) Necesito identificar a la persona Emite un certificado Llave privada Llave pública Proceso de Registro Tercero de confianza Mundo Digital Que liga la información de una persona a un juego de llaves Rol del “Certificador” Emite una cédula Que liga una persona a una determinada información Proceso de Registro Tercero de confianza Mundo Físico

Demostración ¿Cómo se ve un certificado digital?

Necesito garantizar integridad. (parte 2 de 3) Necesito garantizar integridad. Algoritmo de Hash Internet Algoritmo de Hash Digesto o resumen Digesto o resumen Si Implica que el No ha sido alterado

Demostración ¿Qué es un “HASH”? Mecanismo criptográfico que me permite determinar cambios en los documentos.

Necesito autenticidad del documento (parte 3 de 3) HASH (parte 3 de 3) ¿Qué envío? Internet ¿Privacidad? Digesto Integridad Encripto Llave privada Nombre: Felipe Cordero Cédula: 4-908-485 Vigencia: 10/7/05 al 10/7/06 Serie: 030495AD Emisor: Identiga CA Llave privada (Felipe) Llave pública (Felipe) Llave pública

Demostración ¿Cómo se ve un documento firmado digitalmente?

Elementos Técnicos ¿Y el no repudio? Privacidad Autenticidad Integridad ¿Y el no repudio? Resulta que es un elemento jurídico (…)

¿Y cómo garantizo el no-repudio? ARTÍCULO 8.- Alcance del concepto (Firma Digital) Entiéndase por firma digital cualquier conjunto de datos Juego de Llaves adjunto o lógicamente asociado a un documento electrónico, Proceso de firma que permita verificar su integridad, HASH

(…) evitando que la validez de los (…) así como identificar en forma unívoca y vincular jurídicamente al autor con el documento electrónico. Certificado Digital ¿Para que quiero “vincular jurídicamente”? Este no pueda Por si surge un conflicto y tengo que acudir al (…) evitando que la validez de los documentos electrónicos se supedite a su reproducción a un medio físico.

¿Por qué es tan importante regular a los Certificadores?

La seguridad del sistema descansa (…) Tercero de confianza Seguridad de la Llave privada Pérdida de la llave... Y emisión fraudulenta de certificados Rigurosidad del proceso de registro de suscriptores

Confianza en los Certificadores Cumplir con requerimientos tecnológicos y de infraestructura Demostrar un alto nivel técnico Demostrar rigurosidad en el proceso de registro de los suscriptores Estándares internacionales ISO, ITU, FIPS (USA), ETSI (Europa) ECA (Ente Costarricense de Acreditación)

¿Qué se necesita para operar un Certificador? Organización de soporte Políticas y procedimientos de seguridad Manejo de Tokens OCSP Autoridad de Políticas Entrenamientos Personal Modelos de Confianza Entrenamiento Usuario Final Sistemas de Resplado Procedimientos y Políticas de operación Pruebas del sistema Emisión de Tarjetas Auditoria Plan de Implementación Diseño Conceptual Estructura De Directorios Proceso de Registro Proceso de Validación Responsabilidad Legal CAs Operacionales Pruebas de Operación Manejo de Hardware Convención de Nombres OIDs Manejo de Llaves Regulación Legal Plan de Continuidad Del Negocio Operación planta Física Firewalls CA Raíz Proceso de renovación Proceso de Revocación Pruebas e Integración Archivo CP & CPS Aplicaciones Solo por mencionar algunos..

De otra forma: Planeamiento Jerarquía de Certificadores Procesos y Procedimientos Planeamiento Jerarquía de Certificadores Tipos de Certificados Operativo Planta Física Ciclos de vida Legal Responsabilidad civil Contratos de Servicio Tecnología Hardware especializado Personal especializado Sistema de Gestión de Calidad Auditorias periódicas

Confianza del usuario en el sistema Para demostrar la idoneidad… Certificador Confianza del usuario en el sistema Llave privada Llave pública Proceso de firma Acceder a las presunciones legales

¿Cuáles presunciones legales? ARTÍCULO 9.- Valor equivalente Los documentos y las comunicaciones suscritos mediante firma digital, tendrán el mismo valor y la eficacia probatoria de su equivalente firmado en manuscrito. En cualquier norma jurídica que se exija la presencia de una firma, se reconocerá de igual manera tanto la digital como la manuscrita. Los documentos públicos electrónicos deberán llevar la firma digital certificada. ARTÍCULO 10.- Presunción de autoría y responsabilidad Todo documento, mensaje electrónico o archivo digital asociado a una firma digital certificada se presumirá, salvo prueba en contrario, de la autoría y responsabilidad del titular del correspondiente certificado digital, vigente en el momento de su emisión. Vinculación jurídica

Porque si no… No podría acceder a la presunción de autoría Habría que determinar la validez en general del sistema de firma Frente a un juez, podría decir que la firma es “falsa” o no válida” cuando de la otra forma podría exigir directamente el cumplimiento de la obligación. No puedo utilizar documentos públicos ya que estos requieren de certificados acreeditados…

Beneficios de esta tecnología

Se plasma en las aplicaciones Firma y encripción de documentos Expediente judicial electrónico Trámites en el Registro Nacional Gobierno Digital en general (Permisos y autorizaciones, impuestos) ¿Notariado Digital?

¿Qué falta?

Desarrollo de aplicaciones Reglamento y acreditaciones Desarrollo de aplicaciones Propuestas para cambios específicos en la legislación (Ejemplo: Notariado Digital) Recibidos, los tripicado, multiples autorizaciones, multiples firmas, innecesarias? Repensar los procesos y procedimientos

Resumen: La firma digital es solo un medio tecnológico que habilita otros procesos. Es fundamental la calidad de los “Certificadores” La firma digital se expresa en aplicaciones concretas. El “sistema” de firma digital permite rediseñar los procesos del papel. Son necesarias reformas legales para cierto tipo de trámites (Notariado)

Seguridad jurídica y técnica Existe un nivel mínimo de confianza en las instituciones y las personas Seguridad jurídica y técnica Usted transa porque confía. Se ampara principalmente a una seguridad jurídica ( en caso de conflicto) y que los mecanismos técnicos tienen un grado mínimo de seguridad. …al momento de realizar todo tipo de transacciones digitales.

¡Muchas gracias! Luis Roberto Cordero lcordero@identiga.com

¿Por qué es necesaria la firma digital? ¿Por qué es necesaria una ley? ¿Por qué son necesarias las Autoridades de Certificación? ¿Por qué se habla de documento electrónico/digital? Si se habla de “requerimientos” de las CA, entonces se está intuye una necesidad Si se requiere ley es porque es una situación que se necesita regular. ¿Cómo me afecta? ¿Para qué me sirve?