© g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 1 Las Infraestructuras de Clave Pública y Los Portales Corporativos de Firma Jornadas.

Presentación del tema: "© g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 1 Las Infraestructuras de Clave Pública y Los Portales Corporativos de Firma Jornadas."— Transcripción de la presentación:

1 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 1 Las Infraestructuras de Clave Pública y Los Portales Corporativos de Firma Jornadas de actualización 9/10/2002

2 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 2 >Introducción >Elementos de un SGC >Modelos de SGC >gedas TrustCenter >El portal corporativo de Firma

3 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 3 El establecimiento de relaciones entre dos partes interesadas se fundamenta en: Conocimiento de las partes intervenientes: Seguridad CONFIANZA ¡ En las relaciones electrónicas se deben dar las mismas condiciones !

4 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 4 Identificación Contratos Marco Legal Recibos Firma manuscrita Tarjetas Elementos de confianza en el comercio tradicional:

5 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 5 El reto Trasladar los mecanismos sociales básicos de relación a un entorno eletrónico

6 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 6 Privacidad … mantener la información confidencial Autenticación... probar la identidad de un individuo o aplicación Integridad … probar que la información no ha sido manipulada No-Repudio no puede ser rechazada la autoría de una transacción Cifrado Certificados Firmas Digitales Firmas Digitales y Certificados Confianza electrónica

7 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 7 Certificados X.509 v3 ITU (Intenational Telecomunication Union). 1996 - Finaliza estandarización extensiones V3 version serialNumber signanureAlgorithmId issuerName validity subjectName subjectPublicKeyInfo issuerUniqueIdentifier subjectUniqueIdentificer extensions version serialNumber signanureAlgorithmId issuerName validity subjectName subjectPublicKeyInfo issuerUniqueIdentifier subjectUniqueIdentificer extensions v2 v3 v1 extension.acfvalue Nombres alternativos Identificadores y usos de llaves Políticas de certificación Obligaciones...

8 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 8 Marco Legal Firma Electrónica è Directiva Europea 1999/93/CE (13/12/99) è Real Decreto Ley 14/1999 sobre Firma Electrónica (17/9/99) è Reglamento de Acreditación y Certificación (Orden 21/2/2000) è Firma electrónica: VALOR PROBATORIO è Firma digital con procedimientos adecuados: EFICACIA JURIDICA EQUIVALENTE A LA FIRMA MANUSCRITA

9 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 9 >Introducción >Elementos de un SGC >Modelos de SGC >gedas TrustCenter >El portal corporativo de Firma

10 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 10 CA RA Sistema de directorios Aplicaciones habilitadas para PKI Política de seguridad (CP,CPS,PDS) Usuarios Autoridad de Certificación (CA) è Controla la política è Genera certificados è Gestiona listas revocación è Actualiza directorio

11 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 11 CA RA Sistema de directorios Aplicaciones habilitadas para PKI Política de seguridad (CP,CPS,PDS) Usuarios Autoridad de Registro (RA) è Interfaz con usuarios è Identificación de usuarios

12 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 12 CA RA Sistema de directorios Aplicaciones habilitadas para PKI Política de seguridad (CP,CPS,PDS) Usuarios Sistema de directorios è Publica lista de usuarios è Publica certificados è Publica listas de revocación

13 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 13 Certificate Policy (CP) è Debe ser definida por el usuario de los servicios de certificación. Mientras que el CPS siempre lo define el PSC. Certification Practice Statement (CPS) è El CPS es un documento de una alta implicación legal que define el comportamiento, las obligaciones, las responsabilidades y los procedimientos que rigen a la entidad prestadora de servicios de certificación que lo emite. PKI Disclosure Statement (PDS) è Información simplificada que permite a los usuarios de la PKI tomar decisiones bien informadas CA RA Sistema de directorios Aplicaciones habilitadas para PKI Política de seguridad (CP,CPS,PDS) Usuarios

14 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 14 Archivo Autoridad de Aprovación de Políticas Plan de implantación CA’s operacinales Root CA Estructura del directorio Gestión de tokens Emisión de Smartcards Proceso de validación Convención de nombres Conformidad marco regulador Proceso de renovación OCSP Proceso de revocación Proceso de registro Responsabilidad Legal CP & CPS Backup de sistemas OIDs Firewalls Plan de continuidad Seguridad y Procedimientos Politica operacional Modelo de confianza Juego de pruebas Entorno Test Formación a soporte Formación de usuarios Formación operaciones Audit Gestión de claves PLOT ¿Qué se necesita para implementar una PKI operativa?

15 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 15 AUTORIDAD DE CERTIFICACIÓN Autoridad de Registro DIRECTORIO Un nuevo usuario se registra para obtener un certificado è Ver los detalles del certificado è Comprobar su posible revocación è Comprovar la validad del certificado è Comprobar las firmas è Descifrar datos La relación de confianza entre los usuarios con certificados del sistema es a través de la confianza en la Autoridad de Certificación: “Una tercera parte de confianza”. Ahora el certificado ya ha sido emitido se realiza una solicitud de certificado a la CA El certificado también es publicado en el directorio Las aplicaciones que usan certificados pueden: envía la clave pública e información de registro a la RA La CA firma una solicitud válida creando un certificado …y entrega el certificado a la RA..y la RA entrega el certificado al usuario Aplicaciones y usuarios

16 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 16 >Introducción >Elementos de un SGC >Modelos de SGC >gedas TrustCenter >El portal corporativo de Firma

17 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 17 INSOURCING DELEGATION è PKI es estratégica en la corporación è Completo control è Economias de escala è Escalabilidad è Alto coste de entrada Existen muchas alternativas para utilizar tecnología PKI: OUTSOURCING

18 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 18 INSOURCING DELEGATION è Reducido Time to Market è No son necesarios conocimientos internos è Políticas limitadas è Alto coste de escalabilidad Existen muchas alternativas para utilizar tecnología PKI: OUTSOURCING

19 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 19 INSOURCING DELEGATION è Externalización de la infraestructura è Control completo de las Políticas y Registro local de Usuarios è Bajo Coste de Entrada è Disminución del know- how necesario Existen muchas alternativas para utilizar tecnología PKI: OUTSOURCING

20 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 20 >Introducción >Elementos de un SGC >Modelos de SGC >gedas TrustCenter >El portal corporativo de Firma

21 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 21 è Infraestructura del CPD è Protección con Sistemas de Seguridad física è Protección con Sistemas anti-incendios y control medioambiental è Conexión a Sistemas redundantes de alimentación è Infraestructura de red y seguridad è Accesos redundantes de alta capacidad a Internet 24x7 è Ancho de banda garantizado y exclusivo de Internet è Capacidad de crecimiento puntual del ancho de banda de Internet è Seguridad lógica: Protección con Firewalls redundantes con alta disponibilidad. Protección con Intrusion Detection System IDS è Mantenimiento elementos entorno de red y seguridad 24x7 è Contrato de Mantenimiento del hardware 24x7 è Política de Backup Servidor/es. è Conexión a Red backup/revovery redundante 1GbitFastEthernet è Automatic Cadtridge Libraries STK. è Duplicación datos è Solución RAID / Mirroring è Horario de Servicio Extendido de Oficina Lunes a Viernes 12x5 è Otros Servicios è Contact Center CPD è Gestión de incidencias, escalado y respuesta è Informe del servicio a enviar al cliente è SGC alojado en el CPD de gedas. (Modelo Outsourcing) TrustCenter

22 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 22 è Los clientes de gedas TrustCenter disponen de los servicios y elementos tecnológicos de un sistema PKI completo y exclusivo para el uso de su empresa, clientes y proveedores. Cada cliente dispondrá de los siguientes servicios de infraestructura: è Jerarquía propia de CA's. è Diferentes sistemas de registro incluido el registro en línea è Gestión de usuarios en un directorio LDAP. Además, cada CA puede publicar simultáneamente los certificados en cualquier directorio externo que cumpla el estándar LDAP. è Servidor de validación Online Certificate Status Protocol (OCSP) exclusivo para la verificación del estado de sus certificados en tiempo real. è Sistema de recuperación de claves de cifrado utilizando módulos criptográficos hardware. è Control de acceso y verificación de certificados propios y de terceros en sus servidores Microsoft IIS, iPlanet, y Apache (usando RSA Keon WebSentry). è Registro de todos los eventos PKI firmados y almacenados en formato XML. è Custodia de las claves de la PKI en módulos de seguridad hardware certificados FIPs 140-1 3. TrustCenter

23 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 23 TrustCenter RSAKeonRA Directorio cliente RSAKeon Granja de CA Servidor de administración web HSM’s nCipher nShield gestión segura de claves RSA Keon Key Recovery Registro En linea SSL LDAP Directorio Servidores SUN Solaris Interfaz clientes Capa de servicios de registro, repositorio, e interfaz seguro CMP Capa de Gestión y servicios de certificación Capa hardware y Repositorio SUN SAN Registro CA cliente HTTPS Registro SCEP Consultas Certificados y validación OCSP SMCF Registro routers cliente SCEP RSA Keon CMP Server RSA Keon OneStep Registro a medida Proceso Batch Administración cliente HTTPS HSM RSA Keon OCSP Server HSM Servidor CRL y consulta de certificados

24 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 24 è Sin costes ocultos è gedas TrustCenter está completamente comprometido con el empleo de estándares abiertos. gedas TrustCenter no impone ni requiere un componente de cliente. è Ya existen muchas aplicaciones / dispositivos / sistemas que pueden funcionar con un soporte común de estándares comercialmente abiertos, tales como PKIX, PKCS#7, PKCS#10 y CEP así como LDAP y OCSP. TrustCenter

25 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 25 >Introducción >Elementos de un SGC >Modelos de SGC >gedas TrustCenter >El portal corporativo de Firma

26 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 26 El procedimiento habitual de las aplicaciones de gestión es el siguiente: Generación Documentos Provisionalrs Impresión Documentos Firma y pase de documentos a definitivos Aplicación de Gestión ".. El coste de una factura en papel es de 1,40 euros, frente a los 0,48 de la electr ó nica.." Joan Hortalà i Vallvé. Fiscalidad del e-business de Landwell - PricewaterhouseCoopers

27 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 27 BBDD Firma Electrónica... y con el portal de firma electrónica: FREDO Generación Documentos PDF,doc,... via Web Generación Documentos Provisionales Proceso de firma Aplicación del cliente Cómo es el proceso de firma ?

28 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 28 Generación Documentos Provisionales Aplicación cliente Identificación de usuario mediante tarjeta SmartCard (chip) Autenticación mediante PIN Lista de documentos a firmar visibles via Web (Explorer, Netscape,...) Posibilidades: -Firmar -Firmar con reservas -No Firmar Proceso Firma Electrónica Aplicación cliente Total Firmas FIRMADO Proceso de Firma

29 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 29 Portal Corporativo de Firma electrónica y Registro: FREDO è FREDO automatiza el proceso de firma de documentos sin necesidad de presencia física el usuario sólo necesita una conexión a Internet, y un navegador para incorporar su firma a los documentos. è FREDO cumple con todas las disposiciones para la utilización de firma electrónica con validez legal establecidas en el Real Decreto-Ley 14/1999 de 17 de Septiembre de 1999. è FREDO actúa como un gestor del flujo de firmas, sometiendo el documento a todos y cada uno de los firmantes en función del proceso definido. è FREDO es una plataforma abierta, pensada para integrarse con cualquier aplicación externa mediante un módulo cliente. è FREDO consta de: Servidores de firma y servidores de sellos de tiempo que registra la fecha y la hora exacta obtenida del sistema GPS. FREDO

30 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 30 RSA Servidor Web iPlanet Interfaz clientes Capa de servicios de FREDO servicios de sellado Usuarios FREDO Servidor FREDO Digi-Sign API TSA 2000 c++ Digi-Sign API CrytoFREDO Aplicaciones cliente FREDO BBDD Oracle BBDD Cliente RSA Digi-Sign AST 2000 SSL LDAP Directorio Digi-Sign ServiKey HSM GPS opción A, FREDO trabaja con su propio servidor de sellos de tiempo

31 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 31 Interfaz clientes Capa de servicios de FREDO Usuarios FREDO Servidor Web iPlanet Servidor FREDO Digi-Sign API TSA 2000 c++ Digi-Sign API CrytoFREDO Aplicaciones cliente FREDO BBDD Oracle BBDD Cliente Digi-Sign AST 2000 SSL LDAP Directorio Digi-Sign ServiKey HSM GPS Tercera Parte de Confianza (FNMT, Entidad Financiera, AAPP) opción B, FREDO utiliza los servicios de sellado de tiempo de PSCs

32 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 32 INSOURCING DELEGATION è Externalización de la infraestructura è Control completo de las Políticas y Registro local de Usuarios è Bajo Coste de Entrada è Disminución del know- how necesario OUTSOURCING Existen muchas alternativas para utilizar la tecnología PKI:

33 © g e d a s I b e r i a, s. a. e - S e c u r i t y 06 / 3 / 2 0 0 2 P. 33 Firma Electrónica BBDD Firma Electrónica Proceso de firma Registro Generación PDF y fichero datos Contabilización Proceso de Decisión Aprobado Rechazado XOR D027 D028 WAPI Documento Demonstración: Firma digital avanzada en SAP