Me uno al humilde reconocimiento de Joshua Novik en su post «Somos unos afortunados trabajando en este sector«
Chicos con suerte
Deja un comentario
Archivo por años: 2009
Firmas XAdES en Office 2010
Estamos colaborando con Microsoft en lo que creemos será un importante instrumento asociado a Office 2010, que previsiblemente se lanzará en la primera mitad de 2010.
En el programa de desarrollo para partners, hemos tenido ocasión de probar betas de diferentes productos, y particularmente de los entornos de desarrollo y del propio Office 2010 .
La verdad es que es un conjunto de herramientas tremendamente potente que puede redefinir las formas de integración de las suites ofimáticas en la próxima generación de aplicaciones en la nube de forma colaborativa.
Nosotros ya estamos proponiendo a muchas empresas iniciarse en los nuevos conceptos a través de adaptaciones personalizadas de FactOffice, el premiado gestor de facturas electrónicas que hemos desarrollado para Microsoft y que Microsoft ha liberado como Software de Fuentes Abiertas.
Ya tenemos una versión interna de FactOffice generando facturas en formato UBL y facturae funcionando en Office 2010 (además de, por supuesto, Office 2007), y proponemos extender la funcionalidad de las opciones de menú incluyendo además diferentes formas de conexión a entornos «en la nube» (in the cloud), mediante webservices y generación y comprobación de firmas electrónicas. Estamos pensando en extensiones muy interesantes para banca electrónica y administración electrónica, con acceso al registro telemático.
Y aunque nosotros disponemos de nuestras propias librerías para generar y comprobar firmas electrónicas XAdES-XL (las famosas librerías de BackTrust), una de las novedades del Office 2010 es el soporte nativo a la firma electrónica avanzada XAdES según el estándard TS 101 903.
De esto trata la información publicada en el Blog de desarrolladores de Office 2010: Digital Signatures in Office 2010. En el artículo, preparado por Shelley Gu, Program Manager del equipo Trustworthy Computing Security, se describe de forma detallada la firma electrónica en Office 2010, y las diferentes modalidades de firmas XAdES. En la versión beta de Office, el nivel de firma alcanzado es el XAdES-T (el más importante a los efectos de comprobación del momento de firma, que incide en la vigencia del certificado empleado), pero se alcanzará el nivel XAdES-XL en la versión final (incluyendo además el estado de comprobación del certificado).
De esta forma se podrán generar y comprobar firmas electrónicas en aplicaciones de usuario, y por otro lado, comprobar las firmas en servidor de documentos generados en aplicaciones tan ubicuas como Word. Y de esto sabemos bastante en Albalia.
24 uvas
Esta es la noticia que he oído esta mañana en una radio musical (no olvidemos el día que es hoy):
El alcalde de Madrid, Alberto Ruiz Gallardón, ha anunciado que este año se sustituye el tradicional reloj de la Puerta de Sol por uno digital, para anunciar el cambio de año.
Por este motivo, en vez de 12 campanadas sonarán 24 pitidos al alcanzar la hora 24 del 31 de diciembre de 2009 que se transformará en las 00 del 1 de enero de 2010.
Efectivamente, en vez de las campanadas de los 4 cuartos previos a las de las horas, doce, sonarán 2 pitidos largos, que indican la fase de «preparados» y «listos» y a continuación 24 pitidos cortos que señalan las horas del día que se alcancen en ese momento, veinticuatro.
Un representante de los vendedores de uva navideña ha elogiado la medida, señalando que este avance tecnológico situará a España como referente mundial.
Constelación de EURión
La Constelación de EURión es un patrón de 5 círculos pequeños en color que se encuentra en varios diseños recientes de billetes (a partir de 1996) de diferentes denominaciones, y en particular, en las de euro, dólar y libra esterlina.
Ésta es una medida contra la falsificación, próxima a la esteganografía, que puede ser detectada en una imagen digital y varios programas rechazan el escaneo del billete o la impresión de imágenes que lo contengan.
La denominación es un juego de palabras, al parecer acuñado por el especialista en seguridad Markus Kuhn, que lo identificó en torno al año 2002. Otra denominación para este concepto es el de «Anillos de OMROM» ya que parece ser que se describieron por primera vez en una solicitud de patente de OMROM Corporation.
Los círculos pueden ser de color amarillo, verde o naranja, dependiendo de la denominación del billete.
Esta técnica de protección es una de las utilizadas en el marco del Counterfeit Deterrence System (CDS).
Más información en Wikipedia
Feliz Navidad
Esta noche es Nochebuena, el inicio de la Navidad, un buen momento para reconectar con toda la familia y los amigos.
Os deseo lo mejor en estas fiestas y también en el próximo 2010.
Financial Tech Magazine cumple 200 números
Esta semana, FinancialTech Magazine llega a la edición número 200. En palabras de Oski Goldfryd, su director «un nuevo hito que convive con una realidad confusa, pero que pone a todos lo que llevamos por delante un proyecto empresarial frente a nuevos desafíos.»
Call for Experts for Specialist Task Force UT on REM Interchange: e-mail Interchange between Registered E-Mail (REM) systems
Estos dias se ha publicado en ETSI una invitación para participar en el desarrollo del nuevo estándar de Correo Electrónico Registrado o Certificado (REM: Registered Electronic Mail).
Aunque los perfiles buscados en los expertos son muy concretos, es posible que tanto entre los especialistas académicos como los que existen en el mundo de la empresa, pueda surgir algún español que participe en el proyecto.
Transcribo una parte importante de la invitación:
ETSI is looking for experts to establish the Specialist Task Force (STF) UT on REM Interchange: e-mail Interchange between Registered E-Mail (REM) systems based on different transmission protocols.
The project will be organized either over long continuous periods or in sessions so that the experts can carry out their normal duties in their respective organisations. The sessions plan will be agreed during the Preparatory Meeting, to achieve the best compromise between the STF organization and the requirements of the experts and their Companies.
Candidatures must be proposed by ETSI Members (including Observers and Associate). If experts with the required qualification are not directly employed by the ETSI Member, candidates from a non ETSI Member Company may be nominated.
Candidates should send a questionnaire duly completed and his/her Curriculum Vitae, in English, in electronic form to the STF Support Unit Director Alberto Berrini, before 21 January 2010.
A short list of candidates will be set up in coordination with the reference TC, as soon as possible after the deadline. These candidates will be invited to attend the Preparatory Meeting to set up the STF.
The project time scale, the qualification required for the candidates and references for additional information are:
Target date for the start of work: February/March 2010Expected duration: Final deliverables to be completed by May 2011
Total manpower required: 249 working days
Expected number of experts: 7
The actual number of experts will be decided during the Preparatory Meeting, depending on the mix of skills in the actual applications received.
Qualification required:
- One or two experts in the SOAP protocol. It is mandatory to bring to the group knowledge of UPU specifications. Knowledge of ongoing work in the specification of the transport protocol will also be valued. These experts will play a relevant role in WP1 (UPU, PEPPOL and STF Common work-plan definition), WP2 (ETSI TS on «Interoperability between REM solutions based on different transport protocols»), and WP4 “Interoperability test suite definition”.
- At least two experts in SMTP, MIME and S/MIME that also have proven experience in ETSI TS 102 640, Parts 1 to 5 (DTS/ESI-000053 and DTS/ESI-000056). These experts will play a crucial role in WP1 (UPU, PEPPOL and STF Common work-plan definition), WP2 (ETSI TS on «Interoperability between REM solutions based on different transport protocols»), and WP4 “Interoperability test suite definition”.
- One expert with deep knowledge of existing and prospective regulations (it is mandatory to have a deep knowledge of legal matters), and with experience in the ETSI TS 102 042 and of the ISO/IEC 2700x family. This expert will co-operate with the other experts in WP1 and WP2, and will play a relevant role in WP5, and WP6.
- One expert with knowledge of ETSI TS 101 733 and/or ETSI TS 101 903 and of ETSI TS 102 734 and or ETSI TS 102 904, and with experience in preparing interoperability tests. This expert will closely work in the most technical WPs (namely WP1, WP2, and WP4).
ECC en TLS – SSL
La criptografía de curva elíptica (Elliptic Curve Cryptography – ECC) se está convirtiendo en un tipo de criptografía de elección para entornos de criptografía de clave pública, no solo en entornos móviles en los que se está implantando desde hace años sino también en el uso más convencional de securización de entornos web en los que se usa el protocolo TLS (o SSL, ya que son prácticamente iguales).
Comparados con los criptosistemas basados en el algoritmo RSA, los ECC ofrecen una seguridad equivalente con tamaños menores de clave. Esto se ilustra en la siguiente tabla (basada en el artículo de Arjen K. Lenstra y Eric R. Verheul «Selecting Cryptographic Key Sizes», Journal of Cryptology 14 – 2001) que permite comparar la robustez relativa de ambos métodos de cifrado en función del tamaño de la clave y en relación con algoritmos de cifrado simétrico:
Simétrico | ECC | DH/DSA/RSA ------------+------------+------------- 80 | 163 | 1024 112 | 233 | 2048 128 | 283 | 3072 192 | 409 | 7680 256 | 571 | 15360
A la luz de estos datos no es de extrañar que definiera la propuesta de norma RFC 4492 que permite utilizar los algoritmos de curvas elípticas en entornos criptográficos tan ubicuos como las comunicaciones seguras entre navegadores web y servidores web. Es decir en el protocolo TLS –Transport Layer Security o SSL – Secure Sockets Layer (existen pequeñas diferencias entre SSL 3.0 y TLS 1.0, pero el protocolo permanece sustancialmente igual)
ECC – Criptografía de curvas elípticas
El 3 de diciembre de 2007 se celebró el DISI 2007. Todos los años Jorge Ramió organiza unas jornadas interesantísimas, con ponentes de alto nivel, pero ese año fue especial, con la presencia de Mr Martin Hellman y la interesante propuesta de D. Hugo Scholnik respecto a la factorización de primos que componen el algoritmo RSA y que podría simplificar la forma de obtener la clave privada a partir de la pública.
Para mi fue un motivo de reflexión.
Ya se hablaba de criptografía de curva elíptica el año 1997 cuando me incorporé a FESTE (recuerdo que el tema salió en alguna de las charlas con D. José de Calasanz Pastor Franco, miembro del Patronato de la Fundación auspiciada por el Consejo General del Notariado, y con sus colaboradores en la Universidad de Zaragoza, Miguel Angel Sarasa López y José Luis Salazar Riaño).
La novedad es la sensación de que cada vez estamos más cerca de que el algoritmo RSA no sea suficiente para proteger las firmas electrónicas del futuro.
Por otro lado, desde hace algún tiempo se comentaba en círculos académicos que algunos algoritmos de hash no eran suficientemente robustos como para evitar colisiones en documentos alternativos al firmado, conservando el sentido que corresponde a la aplicación. Especialmente el algoritmo MD5.
Con estas ideas en mente, comenté con colegas de la Comisión de Seguridad de ASIMELEC (una de las principales patronales del Sector TIC) la posibilidad de presentar conjuntamente un proyecto de I+D al Plan Avanza que intentara resolver el reto que supone la gestión a largo plazo de firmas electrónicas. Jorge Gómez, de IDONEUM, fue quien percibió las implicaciones y pensó que podían ser interesantes para posicionar a su empresa (como yo a la mia).
Así iniciamos el Proyecto Binum. El uso simultáneo de algoritmia de firma electrónica en firmas duales, mucho más difíciles de quebrar, incluso en el supuesto de que cada uno de los algoritmos individuales utilizados fuera menos robusto de lo esperado. El proyecto lo presentamos en el año 2008 y fue finalmente aprobado por el Ministerio de Industria, Turismo y Comercio, dentro del Plan Nacional de Investigación Científica, Desarrollo e Innovación Tecnológica 2008-2011,con referencia TSI-020100-2008-681.
En el proyecto, Idoneum desarrolla la tarjeta chip que permitirá el uso de criptografía RSA y ECC simultáneamente, y Albalia lleva a cabo el estudio de los estándares para intentar lograr que las firmas sean compatibles con los estándares actuales. Posteriormente desarrolla un entorno de referencia con una PKI dual y un sistema de firma electrónica (en este caso XAdES) que genera firmas dobles y las comprueba (con el matiz de que una aplicación «Binum-aware» detecta una firma dual, y una aplicación convencional detecta dos firmas).
Sin embargo, ya hemos dado un paso más de lo previsto en el proyecto. Hemos iniciado la actividad como Prestador de Servicios de Certificación de EADTrust (European Agency of Digital Trust) con una filosofía que intenta ser «future-proof». Esta nueva empresa (relativamente nueva), se inicia con algunas novedades:
- No está prevista la emisión de certificados a entidades finales (al menos a personas físicas).
- Se prevé que gestione servicios de confianza de la Sociedad de la Información, especialmente favoreciendo la creación de firmas electrónicas de alta calidad con servicios de timestamping, validación de certificados y custodia digital de documentos electrónicos
- Proporcionará servicios avanzados a precios competitivos
- Dispone de CAs root vinculadas que combinan criptografía RSA y criptografía ECC (Elliptic curve cryptography)
Este último es un hito significativo, al ser la primera autoridad de certificación del mundo con tecnología dual, y, posiblemente, la primera autoridad de certificación europea que cuenta con una jerarquía PKI basada en curvas elípticas.
Ya es posible acceder a los certificados de las root :
- RSA (sha1RSA). Tamaño clave RSA 2048 bits
- ECC (sha1ECDSA). Tamaño clave ECC: 256 bits (equivalente a 3020 bits en RSA)
Ambas root se generaron en presencia notarial, siguiendo un procedimiento que hemos ido perfeccionando en sucesivas ceremonias de generación de claves de CA (Certification Authority) en FESTE, Camerfirma, Banesto y ANCERT.
La autoridad de certificación basada en algoritmo de Curva Elíptica utiliza, en particular, ECDSAFp de 256 BITS aleatorios (secp256r1), según se indica en los documentos generados por el NIST (National Institute of Standards and Technology) FIPS (Federal Information Processing Standards) 186-2 y FIPS 186-3 en sus apéndices 6 y D respectivamente en sus secciones referentes a las Curvas Elípticas Recomendadas para Uso del Gobierno Federal (Estados Unidos)
Por cierto, desde que iniciamos el proyecto, se han producido algunas noticias importantes que revelan hasta qué punto es necesario contar con tecnología como la anunciada. Por ejemplo, la demostración de que el algoritmo de Hash MD5 utilizado en muchos de los certificados de Root, admite colisiones provocadas que ponen en cuestión la tecnología PKI. En el artículo MD5 considered harmful today (MD5 se considera dañino a dia de hoy) Alexander Sotirov, Marc Stevens, Jacob Appelbaum, Arjen Lenstra, David Molnar, Dag Arne Osvik y Benne de Weger generan un certificado de root capaz de suplantar a una autoridad de certificación genuina. Sin necesidad de atacar la criptografía RSA, sino solo el algoritmo de Hash.
Estudio sobre la seguridad de la información y la e-confianza de los hogares españoles
Recientemente se ha publicado por el Observatorio de la Seguridad de la Información de INTECO la 9ª oleada del “Estudio sobre la seguridad de la información y la e-confianza de los hogares españoles”, que ofrece los resultados del segundo trimestre de 2009.
Todo es electrónico 