Firma Digital Docentes: Lic. Julieta Hasbani Lic. Juan Maulini

Presentación del tema: "Firma Digital Docentes: Lic. Julieta Hasbani Lic. Juan Maulini"— Transcripción de la presentación:

1

2 Firma Digital Docentes: Lic. Julieta Hasbani Lic. Juan Maulini
(Oficial de Registro de Firma Digital) Lic. Juan Maulini (Instructor de Firma Digital)

3 Firma Digital: Objetivo y Definición
Objetivo: Modelar sobre medios digitales las mismas características que se presentan en un documento en papel con firma hológrafa. Definición: la Firma Digital es una solución tecnológica que permite autenticar el origen y verificar la integridad del contenido de un mensaje de manera tal que ambas características sean demostrables ante terceros, garantizando de esta manera el no repudio. La firma digital es un instrumento con características técnicas y normativas, es decir, que existen procedimientos técnicos que permiten la creación y verificación de firmas digitales y documentos normativos que respaldan el valor legal que dichas firmas poseen.

4 Firma Digital: Propiedades
Autenticidad: poder atribuir el documento a su autor en forma fehaciente, de manera de poder identificarlo. Integridad: al estar vinculada a los datos del documento digital, permite verificar si existen o no alteraciones en el contenido de un documento luego de su firma. No repudio: garantizar que el emisor no pueda negar o repudiar su autoría o existencia. Además debe ser susceptible de verificación ante terceros. Exclusividad: garantizar que la firma se encuentra bajo el exclusivo y absoluto control del firmante.

5 ¿Qué no es Firma Digital?
Ejemplos de otras soluciones tecnológicas que no son firma digital: Firma Digitalizada Contraseña o Password Sistemas Biométricos Firma Electrónica Confidencialidad

6 Mecanismos de seguridad en documentos electrónicos
No estar ni firmado digitalmente ni encriptado: sin protección, ni seguridad Estar firmado digitalmente, pero no encriptado: autoría, exclusividad, integridad y no repudio. Estar encriptado, pero no firmado digitalmente: confidencialidad Estar firmado digitalmente y encriptado: autoría, exclusividad, integridad, no repudio y confidencialidad.

7 MARCO NORMATIVO Escenario Nacional

8 Ley Nacional N° Objeto: se reconoce el empleo y la plena eficacia jurídica de la firma electrónica y la firma digital (Art. 1°) Definición de Firma Digital: Se entiende por firma digital al resultado de aplicar a un documento digital un procedimiento matemático que requiere información de exclusivo conocimiento del firmante, encontrándose ésta bajo su absoluto control. La firma digital debe ser susceptible de verificación por terceras partes, tal que dicha verificación simultáneamente permita identificar al firmante y detectar cualquier alteración del documento digital posterior a su firma. (Art. 2°)

9 Ley Nacional N° Principio de equivalencia funcional: Cuando la ley requiera una firma manuscrita, esa exigencia también queda satisfecha por una firma digital. (Art. 3°) * * CÓDIGO CIVIL Y COMERCIAL DE LA NACIÓN LEY – Octubre de 2014 ARTÍCULO Firma. La firma prueba la autoría de la declaración de voluntad expresada en el texto al cual corresponde. Debe consistir en el nombre del firmante o en un signo. En los instrumentos generados por medios electrónicos, el requisito de la firma de una persona queda satisfecho si se utiliza una firma digital, que asegure indubitablemente la autoría e integridad del instrumento.

10 Ley Nacional N° Exclusiones: la firma digital no será aplicable en los siguientes casos: Disposiciones por causas de muerte Actos jurídicos relacionados al derecho de familia Actos personalísimos en general Actos en los cuales, a través de disposiciones legales o acuerdos de partes, sea incompatible el uso de la firma digital. (Art. 4°)

11 Ley Nacional N° Firma Electrónica: define a la firma electrónica como el conjunto de datos electrónicos integrados, ligados o asociados de manera lógica a otros datos electrónicos, utilizado por el signatario como su medio de identificación, que carezca de algunos de los requisitos legales para ser considerada firma digital. En caso de ser desconocida corresponde a quien la invoca acreditar su validez. (Art. 5°) Presunción de autoría: se presume, salvo prueba en contrario, que toda firma digital pertenece al titular del certificado digital. (Art. 7°)

12 Ley Nacional N° Presunción de integridad: si el resultado del procedimiento de verificación es verdadero se presume, salvo prueba en contrario, que el documento no fue modificado posteriormente a su firma. (Art. 8°) Validez: una firma digital es válida si cumple con los siguientes requisitos: Haber sido creada durante el período de vigencia del certificado digital del firmante. Ser debidamente verificada por el procedimiento correspondiente. Que el certificado digital del firmante haya sido emitido o reconocido por un Certificador Licenciado. (Art. 9°)

13 Ley Nacional N° 25.506 Titular de un Certificado Digital
Obligaciones: los titulares de certificados digitales tienen las siguientes obligaciones: Mantener el control exclusivo de sus datos de creación de firma digital, no compartirlos e impedir su divulgación. Utilizar un dispositivo de creación de firma digital técnicamente confiable. Solicitar la revocación de su certificado digital ante cualquier circunstancia que pueda haber comprometido la privacidad de sus datos de creación de firma. Informar sin demora el cambio de alguno de los datos contenidos en el certificado digital. (Art. 25)

14 Normativa Complementaria
Decreto N° 2628/02 (Reglamentario de la Ley Nacional) Decreto N° 283/03 Decreto N° 1028/03 Decreto N° 160/04 Resolución JGM N° 435/04 Decreto N° 409/05 Decreto N° 724/06 Resolución SGP N° 63/07 Resolución SGP N° 64/07 Decisión Administrativa JGM N° 927/14

15 MARCO NORMATIVO Escenario Provincial

16 Ley Provincial N° Adhesión: la Provincia de Buenos Aires adhiere a la Ley Nacional “Ley de Firma Digital”. (Art. 1°) Ámbito de Aplicación: las disposiciones de la Ley son de aplicación en el Poder Ejecutivo, Legislativo y Judicial, los Municipios, la Administración Centralizada y Descentralizada, los Organismos de la Constitución, Entes Autárquicos y todo otro ente en que el Estado Provincial o sus Organismos Descentralizados tengan participación suficiente en sus decisiones. (Art. 2°)

17 Ley Provincial N° Estándares tecnológicos y de seguridad: la Autoridad de Aplicación establecerá los estándares tecnológicos y de seguridad aplicables; y los procedimientos de firma, verificación, certificación y auditoría. Los mismos deberán ser consecuentes con los utilizados por el Gobierno Nacional y las regulaciones internacionales. (Art. 3° y 4°) Organismo certificador: el Poder Ejecutivo designará el Organismo de la Administración Publica que actuará como certificador para el ámbito de aplicación descripto en el art. 2°. Dicho Organismo podrá inscribirse como certificador licenciado y deberá delegar en Autoridades de registro las funciones de validación de identidad y otros datos de los suscriptores de certificados. Cada Poder establecerá en el ámbito de su competencia una Autoridad de Registro. (Art. 5° y 6°)

18 Ley Provincial N° Alcance de la certificación: el Organismo Certificador emitirá certificados a los agentes de la Administración Pública Provincial y Municipal y a los particulares que realicen trámites ante la Administración Pública Provincial y Municipal. (Art. 7°) Expediente Digital: se autoriza a que el Poder Ejecutivo dicte un reglamento con el fin de instalar en forma efectiva y progresiva el expediente digital. (Art. 10°)

19 Ley Provincial N° Principio de equivalencia funcional: en todos los casos donde la Ley de Procedimiento Administrativo establezca que los actos administrativos deban manifestarse por escrito y con firma hológrafa de la autoridad que lo emite, debe entenderse que los documentos digitales firmados con firma digital, cumplirá con los requisitos de escritura antes mencionados. (Art. 11°) NORMATIVA COMPLEMENTARIA: DECRETO N° 305/12, RESOLUCIÓN SGG N° 23/13, DECRETO N° 341/16 y RESOLUCIÓN SSME N° 03/16.

20 Firma Digital: Funcionamiento
Debe cumplir con cuatro propiedades: La firma digital es un mecanismo que aplica procedimientos matemáticos que permiten asegurar la integridad del documento y asociar la identidad de una persona al mismo, garantizando el no repudio y la exclusividad de la firma. La firma digital de un documento es el resultado de aplicar un algoritmo matemático, denominado función hash a su contenido y, seguidamente, aplicar el algoritmo de encriptación (en el que se emplea una clave privada) al resultado de la operación anterior Integridad del contenido No repudio Autenticación del origen Exclusividad

21 Función de Hash Algoritmo matemático
Calcula, a partir de un valor de entrada, un valor resumen (digest/digesto/hash) de tamaño fijo. Funciona en una sola dirección (no puedo calcular el valor de entrada por medio del resultado de la función) Genera resultados únicos para valores de entrada distintos. El calculo no está pensado para que lo lleve a cabo el usuario, se utiliza software que automatiza tanto la función de calcular el valor hash, como su verificación posterior.

22 Función de Hash Algunos algoritmos de Hash más conocidos: MD5 SHA-1
RIPEMD-128

23 Algoritmo de encriptación
Se utilizan en la criptografía para transformar un mensaje con una clave de cifrado en un formato incomprensible para todo aquel que no tenga la clave de descifrado del algoritmo. La criptografía es una técnica de cifrado o codificación destinada a alterar los mensajes de una comunicación con el fin de hacerlos ilegibles al medio inseguro obteniendo así confidencialidad en los mensajes. El objetivo principal de la criptografía es proteger la información de terceros no deseados.

24 Algoritmo de encriptación
Las claves de cifrado y descifrado pueden ser iguales (criptografía simétrica) o no (criptografía asimétrica). Sistema criptográfico simétrico: Utiliza una misma clave para cifrar y descifrar. Sistema criptográfico asimétrico: Utiliza dos claves distintas, una clave pública y una clave privada. El punto fundamental sobre el que se sostiene esta descomposición pública/privada es la imposibilidad práctica de deducir la clave privada a partir de la clave pública.

25 Criptografía simétrica
También llamada Criptografía de clave secreta, de clave única o de clave privada. Se utiliza una misma clave para cifrar y descifrar los mensajes (simetría). Algunos algoritmos simétricos son DES, 3DES, RC5, AES.

26 Criptografía simétrica - Procedimiento
El remitente aplica una fórmula de cifrado o encriptado al mensaje a enviar, en la cual interviene la clave secreta única. El mensaje original legible se convierte en un mensaje ilegible y se envía. Si en el entorno de comunicación la información es interceptada, el mensaje original no podrá leerse. Al recibir el destinatario el mensaje, este podrá aplicar la fórmula de descifrado o desencriptado utilizando la misma clave secreta única para revertir el proceso y obtener el mensaje original. Algunos algoritmos simétricos son DES, 3DES, RC5, AES, Blowfish e IDEA.

27 Criptografía simétrica - Características
Seguridad: El sistema criptográfico simétrico pone toda la seguridad en la clave y ninguna en el algoritmo. Inconvenientes: El principal problema con los sistemas de cifrado simétrico está ligado al intercambio y/o distribución de claves. Es mas fácil tratar de interceptar la clave que probar las posibles combinaciones. Grupo reducido de personas para evitar filtraciones. Intercambio y divulgación de información de la clave. Para solucionar los problemas mencionados anteriormente surge la criptografía asimétrica.

28 Criptografía asimétrica
También llamada Criptografía de clave publica o Criptografía de dos claves. Se utiliza un par de claves, una para cifrar y otra para descifrar los mensajes (asimétrico). Las dos claves pertenecen a una misma persona: La clave pública se puede entregar a cualquier persona. La clave privada es del propietario y nadie debe tener acceso a la misma. Dos esquemas donde se utiliza la criptografía asimétrica: Confidencialidad Identificación y autenticación

29 Criptografía asimétrica - Confidencialidad
El remitente usa la clave pública del destinatario para cifrar el mensaje y enviarlo. Sólo la clave privada del destinatario podrá descifrar el mensaje. Se logra confidencialidad en el envío del mensaje, ya que nadie, salvo el destinatario con la clave privada puede descifrarlo.

30 Criptografía asimétrica - Confidencialidad
Ejemplo de confidencialidad del envío de mensajes. María redacta un mensaje. María cifra el mensaje con la clave pública de José. María envía el mensaje cifrado a José a través de un medio no seguro. José recibe el mensaje cifrado y lo descifra con su clave privada. José ya puede leer el mensaje original que le mandó María.

31 Criptografía asimétrica - Confidencialidad
Procedimiento: El remitente aplica una fórmula de cifrado o encriptado al mensaje a enviar, en la cual interviene la clave pública del destinatario. El mensaje original legible se convierte en un mensaje ilegible y se envía. Si en el entorno de comunicación la información es interceptada, el mensaje original no podrá leerse. El conocimiento de la clave pública, no servirá para desencriptar el mensaje. Al recibir el destinatario el mensaje, este podrá aplicar la fórmula de descifrado o desencriptado utilizando su clave privada para revertir el proceso y obtener el mensaje original.

32 Criptografía asimétrica – Identificación y Autenticación
El remitente utiliza su clave privada para “cifrar” el mensaje y enviarlo. Sólo la clave pública del remitente podrá descifrar el mensaje. Se logra identificación y autenticación en el envío del mensaje, ya que nadie, salvo el remitente con la clave privada, puedo haber cifrado el mensaje.

33 Criptografía asimétrica – Identificación y Autenticación
Ejemplo de identificación y autenticación del envío de mensajes: José redacta un mensaje. José “cifra” (firma) el mensaje con su clave privada. José envía el mensaje firmado a María a través de un medio no seguro. María recibe el mensaje cifrado y lo descifra usando la clave pública de José. María ya puede leer el mensaje con total seguridad de que ha sido José el remitente.

34 Criptografía asimétrica – Identificación y Autenticación
Procedimiento: El remitente aplica una fórmula de cifrado o encriptado al mensaje a enviar, en la cual interviene su clave privada. Si en el entorno de comunicación la información es interceptada, el mensaje original podrá leerse. El conocimiento de la clave pública permite desencriptar el mensaje. Al recibir el destinatario el mensaje, este podrá aplicar la fórmula de descifrado o desencriptado utilizando la clave pública para revertir el proceso y obtener el mensaje. Si se logro descifrar el mensaje quiere decir que solo pudo haber sido cifrado por el remitente.

35 Criptografía asimétrica
Características y conclusiones: Soluciona por completo el problema del intercambio de claves de los sistemas de cifrado simétricos. Dada una clave privada existe una única clave pública capaz de desencriptar todo lo que encripta la clave privada y viceversa. El conocimiento de la clave pública no implica el conocimiento de la clave privada. Algunos ejemplos de algoritmos asimétricos son RSA, DSA, Curvas Elípticas.

36 Firma Digital - Proceso
El emisor posee un par de claves asimétricas y el documento que desea firmar. Mediante un software el emisor procesará el documento con una función hash para obtener un valor o código (hash, digest o huella digital) y que es único para ese documento. Una vez obtenido el valor hash, el software lo firmará utilizando la clave privada del emisor. El valor o código obtenido será lo que llamamos la firma digital del documento. La firma digital es el hash del documento encriptado con la clave privada del firmante.

37 Firma Digital - Funcionamiento
Una vez finalizado el proceso de creación de la firma digital El software generará un paquete con el documento junto con la firma digital y la clave pública del emisor. La clave pública adjuntada es la única que se corresponde con la clave privada que produjo la firma. Una vez recibido el mensaje, el destinatario podrá corroborar la autoría y la integridad del documento. El documento enviado no está encriptado por lo que si un tercero intercepta la comunicación podrá ver el contenido del mismo. Nos interesa asegurar la autoría e integridad del documento y no su confidencialidad.

38 Firma Digital - Verificación
El destinatario recibe el documento, la firma digital y la clave pública del emisor. Un software desencriptará la firma digital con la clave pública obteniendo el hash original producido por el emisor. Por otro lado, el software calculará el hash del documento recibido.

39 Firma Digital - Verificación
El receptor posee 2 valores de hash para corroborar la integridad del documento Si los números de hash coincide -> el documento no fue alterado. Si hubiese sido alterado el documento, los valores de hash diferirían. La autoría también se valida mediante este proceso Si la firma digital se puede desencriptar con la clave pública recibida.

40 Firma Digital - Verificación
Con el proceso de verificación es factible demostrar que una persona específica firmó un documento determinado, verificándose así el no repudio. El requisito de exclusividad reside en el secreto y posesión de la clave privada, la única persona que posea la clave privada, será la capaz de producir esa firma digital.

41 Firma Digital - Características
Proceso de Firma, depende de 2 parámetros El documento a firmar, su código de hash. El firmante, su clave privada. La firma digital establece un vínculo entre el firmante y el documento a firmar: Misma clave privada, distintos documentos Distintas clave privada, mismo documento

42 Firma Digital ¿Cómo sabe el tercer usuario (receptor del documento) que la clave pública pertenece a la persona que firmó el documento?

43 Certificado Digital de Clave Pública
Archivo digital. Contiene la certificación que a una determinada persona le corresponde una determinada clave pública. Están seriados por seguridad. Tienen periodo de validez.

44 Certificado Digital de Clave Pública
Principalmente, contiene la información del sujeto y su clave pública. Su función principal es autenticar digitalmente al poseedor del mismo. El formato de los Certificados Digitales está definido por el estándar internacional X.509.

45 Certificado Digital de Clave Pública
¿Cómo sabe el receptor que la clave pública recibida pertenece realmente al emisor del mensaje? Se necesita una tercera parte en la cual tanto el emisor como el receptor confíen. Una Autoridad Certificante se encarga de establecer y constatar el vínculo entre la clave pública y su propietario.

46 Autoridad Certificante
La Autoridad Certificante asegurará al receptor que la clave pública que figura en el certificado efectivamente pertenece al emisor. Certifica que una clave pública pertenece a una persona determinada. Se utilizan certificados de clave pública. El certificado de clave pública del emisor ahora está firmado con la clave privada de la Autoridad Certificante (CA). El receptor podrá verificar la firma digital del documento con la clave pública obtenida del certificado que fue firmado por la Autoridad Certificante.

47 Jerarquía de Autoridades Certificantes
La nueva problemática que surge es ¿Quién certifica a la Autoridad Certificante? El problema se trasladó un nivel más arriba Se generó una cadena o ruta de certificación. Seguir indefinidamente el proceso, continuaría sin resolverse el problema. Va a ser necesario cortar la cadena de certificación en algún punto.

48 Autoridad Certificante Raíz
No posee un certificado emitido por otra Autoridad Certificante. Posee un certificado autofirmado.

49 Autoridad Certificante Raíz
La autocertificación no posee validez en sí misma. Se necesita un medio alternativo y seguro para verificar la validez de esa clave pública. Una vez asegurada la autenticidad de la clave pública del certificado raíz se puede validar todos los certificados en los niveles inferiores de la cadena de certificación.

50 Dispositivos Criptográficos
Token Dispositivo electrónico portable USB. Almacenamiento seguro. Seguridad lógica y física (software y hardware) mediante los estándares FIPS140-2 Permiten almacenar credenciales tales como claves privadas, contraseñas y certificados digitales.

51 Infraestructura de Firma Digital
Es el conjunto de: Leyes Normativa Complementaria Hardware Software Base de Datos Redes Estándares tecnológicos y procedimientos de seguridad que permiten que distintas entidades (individuos y organizaciones), mediante el uso de la firma digital como herramienta, se identifiquen entre sí de manera segura.

52 Prueba Piloto de Firma Digital
Fueron incorporados a la Prueba Piloto los siguientes proyectos: Resolución SGG N° 73/14: Comprobante de Retenciones de Pago – Tesorería General de la Provincia. Resolución SGG N° 74/14: Ordenes Internas, Dictámenes y SUAM – Asesoría General de Gobierno. Resolución SGG N° 75/14: Recibos de Haberes con Firma Digital – Secretaría General de la Gobernación. Resolución SGG N° 105/14: Sistema de Intercambio de Información entre las Distribuidoras de Energía y OCEBA – OCEBA Resolución SGG N° 116/15: Sistema de Trámites Legislativos y Reglamentaciones – Secretaría Legal y Técnica.

53 Prueba Piloto de Firma Digital
Resolución SGG N° 117/15: Notificación de procesos académicos y administrativos – Universidad Provincial del Sudoeste. Resolución SGG N° 209/15: Sistema de Seguimiento y Coordinación de Oficios (SiSCO) – Secretaría Legal y Técnica. Disposición DPSIT N° 1/16: Notificaciones Electrónicas – Honorable Tribunal de Cuentas Disposición DPSIT N° 2/16: Certificación de Deudores Alimentarios Morosos – Ministerio de Justicia Disposición DPSIT N° 3/16: Sistema de Emisión de Constancias Únicas de Inscripción y Certificados de Saldo de Capacidad – Registro de Licitadores Disposición N° 4/16: Proyectos de la Municipalidad de Bahía Blanca

54 Suscriptores de Certificados Digitales
En el marco de la Prueba Piloto implementada, sólo podrán ser suscriptores de certificados aquellos agentes y/o funcionarios que requieran un certificado digital para su uso en alguno de los Proyectos incorporados a la misma. Los suscriptores solicitan turno a la DPSIT vía mail o telefónicamente. Se presentan el día y horario acordado con la documentación requerida: DNI (original y copia) Constancia de CUIL Certificación de Servicios Acto de designación, en caso de corresponder.

55 Suscriptores de Certificados Digitales
Requisitos: mail institucional a su nombre y traer el dispositivo criptográfico listo para la generación y descarga del certificado. El proceso de emisión de certificados digitales funciona bajo el Sistema de Gestión de Calidad de la DPSIT certificado por IRAM y cumple con los requisitos establecidos en la Norma ISO 9001:2008.

56 Revocación de Certificados Digitales
Autorizados a solicitar la revocación: Suscriptor del certificado Responsable de la Autoridad de Registro Autoridad competente del Organismo del que depende el suscriptor Autoridad de Aplicación Autoridad Judicial Competente Tres tipos de revocación solicitada por el suscriptor: Con Clave Privada Con PIN de Revocación Presentándose con DNI ante la Autoridad de Registro

57