Archivo de la categoría: Criptografía

Homenaje al profesor Juan Tena Ayuso con motivo de su jubilación


El Instituto de Matemáticas de la Universidad de Valladolid (IMUVa) celebrará del 29 de junio al 3 de julio de 2015  en el edificio histórico de la Universidad, sede de la Facultad de Derecho, las VI Jornadas de Teoría de Números.

  • Cerca de 50 matemáticos se darán cita en la Universidad de Valladolid (UVa) en un encuentro referente en torno a la Teoría de Números
  • La Teoría de Números es uno de los campos dentro de las Matemáticas que más empleos genera
  • Las Jornadas servirán para homenajear al catedrático de Álgebra de la Universidad de Valladolid Juan Tena Ayuso con motivo de su jubilación

En la organización de las Jornadas, que suponen un lugar de encuentro de matemáticos interesados en la Teoría de Números en sus diferentes vertientes (algebraica, analítica, geométrica, combinatoria y computacional), colaboran la Real Sociedad Matemática Española (RSME) y las universidades de Valladolid y de Salamanca.

El encuentro, que se ha convertido en referente en la materia, se celebra cada dos años con el fin de mostrar los avances de grupos de investigación formados por científicos españoles e iberoamericanos. También fomenta la actividad de jóvenes que presentan comunicaciones en el congreso con resultados de sus primeros proyectos de investigación o tesis doctorales.

El programa de las Jornadas, a las que asistirán cerca de medio centenar de investigadores, consiste en 22 conferencias invitadas y nueve plenarias seleccionadas por el comité científico y el objetivo es promover la discusión y el debate entre todos los participantes.

Tras la inauguración a cargo del rector de la Universidad de Valladolid, Daniel Miguel San José, que tendrá lugar a las 12 horas del lunes 29 de junio en la Sala de Grados de la Facultad de Derecho, se desarrollará la conferencia inaugural de la catedrática de la Universidad de Barcelona Pilar Bayer con el título Parametrización automorfa de las curvas de Fermat. Asistirán a la inauguración, entre otros, el nuevo director electo del IMUVa, Félix Delgado, decano de la Facultad de Ciencias, y el presidente de la RSME y del comité organizador de las Jornadas, Antonio Campillo, quien apunta que se darán cita en la UVa “los principales referentes españoles y algunos extranjeros en Teoría de Números».

Homenaje al profesor Juan Tena

Una de las conferencias plenarias, que lleva por título De curvas elípticas sobre los números racionales hasta curvas elípticas sobre los enteros módulo p, será impartida por el catedrático de Álgebra de la Universidad de Valladolid Juan Tena Ayuso. Esta conferencia, que se celebrará también en la Sala de Grados a las 18.30 horas del día 2 de julio, junto a la que le precede, Contando conjuntos libres de configuraciones finitas, del catedrático de la Universidad Libre de Berlín Juanjo Rué Perna, forma parte de un homenaje que los participantes y colegas de varias universidades ofrecerán al profesor Juan Tena con motivo de su jubilación.

Campillo ensalza la figura del profesor Tena, “uno de los pioneros en España en el campo de la criptografía, un área con una sólida raíz matemática», así como la relevancia de las Matemáticas en general, y del Álgebra y la Geometría en particular, en la Universidad de Valladolid, donde se realiza un trabajo “puntero» a nivel internacional.

El resto de conferencias plenarias estarán a cargo de Adolfo Quirós (Universidad Autónoma de Madrid), Nicolás Thériault (Universidad de Bio-Bio, Chile), Jesús Guillera (Universidad de Zaragoza), Julia Wolf (Universidad de Bristol), Jorge Jiménez (Universidad Politécnica de Cataluña) y José Ignacio Burgos (ICMAT-CSIC de Madrid).

Una disciplina con importantes implicaciones prácticas

Entre los asuntos que se abordarán en las conferencias plenarias se encuentran los resultados recientes sobre la descripción de las famosas curvas del paradigmático problema de Fermat, la explicitación de las cifras decimales del número “pi» vía series del célebre matemático indio Ramanujan, el conocimiento de series generales del tipo de la famosa hipótesis de Riemann, la aplicación de la teoría de grafos a la combinatoria aplicada, los principales métodos o algoritmos de cifrado secreto o avances recientes en geometría aritmética.

Las Jornadas finalizarán a las 14 horas del viernes 3 de julio de 2015.

Antonio Campillo recuerda que la Teoría de Números “es una de las disciplinas que más impacto tiene dentro de las Matemáticas y uno de los campos que más empleos genera». “Los graduados que se especializan en Teoría de Números acceden a puestos de trabajo destacados en diversas empresas por ejemplo del campo de la criptografía. Es una disciplina que necesita una formación específica de posgrado pero que compensa», asegura.

Las Jornadas de Teoría de Números se celebran bianualmente desde 2005. Tras una exitosa primera edición en Vilanova i la Geltrú (Barcelona), se llevaron a cabo en 2007 en Madrid, en 2009 en Salamanca, en 2011 en Bilbao y en 2013 en Sevilla.

Campillo ensalza la figura del profesor Tena, “uno de los pioneros en España en el campo de la criptografía, un área con una sólida raíz matemática»

Ponentes del Congreso Internacional sobre buzones seguros y cajas fuertes en Internet


El 17 Junio de 2015. se celebra en el Parque Tecnológico de Miramón (Guipuzcoa) el Primer Congreso Internacional sobre buzones seguros y cajas fuertes en Internet. Al interés de la temática hay que añadir el de los propios ponentes y la actualidad que otorga la reciente publicación del Reglamento UE 910/2014 del Parlamento Europeo y del Consejo (#EIDAS), relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas.

Destaco seguidamente las iniciativas que se presentarán y sus ponentes:


E-BOKS (DINAMARCA)

e-Boks (DINAMARCA)
Dinamarca constituye, al día de hoy, el país más digitalizado de Europa. En ello tiene mucho que ver e-Boks, el sistema de buzón y caja fuerte que es utilizado por el 100% de la población. La clave en el despegue en la adopción de e-Boks residió en una decisión del Parlamento Danés que, por unanimidad de todos los partidos políticos, impulsó la extensión decidida del sistema a todos los ámbitos de la sociedad. Al día de hoy, más de 20.000 empresas e instituciones remiten documentos a e-Boks.Coincidiendo con la adopción generalizada de e-Boks en Dinamarca, el Parlamento Danés aprobó la obligatoriedad de la relación digital de las empresas (en 2013) y de la ciudadanía (en 2014) con el conjunto de la administración pública danesa. Previamente, en el año 2006, Dinamarca fue el primer país del mundo en la adopción obligatoria de la factura electrónica por el conjunto de las empresas.e-Boks.dk ha captado ya el 40% del tráfico postal existente hace una década en Dinamarca y se ha convertido en una de las empresas de referencia del sector TIC en Dinamarca, con beneficios que alcanzan los 29 M de dólares.

Herik Andersen. e-Boks (DINAMARCA)
Ponente: Herik Andersen.
Henrik Andersen creó e-Boks como Director Ejecutivo en 2001. Anteriormente, trabajó en los departamentos de ventas, marketing y venta minorista internacional de Shell, McDonald’s Nordic, France Telecom y Dell.

DATA BOX (REPÚBLICA CHECA)

DATA BOX (REPÚBLICA CHECA)
DATA BOX es un sistema promovido por el Gobierno Checo, gestionado por Correos de Chequia y que cuenta con la colaboración del conjunto de la administración pública checa.El Gobierno de la República Checa está acelerando la adopción del servicio DATA BOX con el propósito de implantar la relación de los ciudadanos y las empresas exclusivamente a través de los medios digitales. A tales efectos, DATA BOX se haya integrado con los servicios del Czech POINT, el portal unificado de la Administración Pública Checa.

DATA BOX (REPÚBLICA CHECA)
Ponente: Radek Horácek
Radek Horáček es Jefe de la Unidad de Comunicaciones de la Administración Electrónica, perteneciente al Departamento de Administración Electrónica del Ministerio del Interior de la República Checa. Como jefe de dicha unidad, se encarga de coordinar la puesta en práctica, a escala nacional, del reglamento relativo a la identificación electrónica y los servicios de confianza (eIDAS, por sus siglas en inglés) y de actualizar la legislación nacional relativa a la firma electrónica y los sistemas informáticos de la administración pública.

VIACTT (PORTUGAL)

viactt
Es un sistema dependiente de Correos de Portugal. ViaCTT cuenta con una creciente adhesión de empresas y de la administración pública, habiendo obtenido importantes referencias de implementación en la banca, seguros, energía, telefonía, aguas, ayuntamientos…. e incluso en clubs de futbol como el Sporting de Portugal.

VIACTT (PORTUGAL)
Ponente: André Gonçalves Silva
Como Jefe de Negocio y de Operaciones de ViaCTT, se encarga de gestionar y coordinar las principales áreas del servicio ViaCTT, entre las que destacan Desarrollo Empresarial y Plan Estratégico, Operaciones de los Servicios, Gestión de Proveedores y Subcontratación, Gestión de Proyectos y Gestión de Asuntos Legales.

MINA MEDDELANDEN (SUECIA)

MINA MEDDELANDEN (SUECIA)
Es un sistema de buzón ciudadano gestionado por el Gobierno Sueco. Mina Meddelandenestá articulado con el servicio de caja fuerte y buzón seguro Digimail; el cual es utilizado por el Gobierno, las Administraciones Locales y las Empresas. Uno de los ámbitos de experimentación recientes del sistema ha correspondido a la sanidad, siendo utilizado como soporte a una versión resumida del dossier médico ciudadano.

Hakan Johansson
Ponente: Hakan Johansson
Líder de proyecto en la Agencia tributaria sueca

MESSAGE BOX (HOLANDA)

MESSAGE BOX (HOLANDA)
MESSAGE BOX es una caja fuerte integrada en el buzón ciudadano (MijnOverheid) de la infraestructura ha sido desarrollado para su uso por el conjunto de la administración pública holandesa.

Paul ZEEF
Ponente: Paul Zeef
Paul Zeef es el Consultor Jefe Empresarial de la Caja Fuerte de MijnOverheid, de Holanda. Fue uno de los creadores de la Página de Internet Personal para Ciudadanos (MijnOverheid) en 2006, de la cual pasó a formar parte la Caja Fuerte. Como consultor empresarial, es responsable de las conexiones y adaptaciones del sistema de Caja Fuerte y de las normas impuestas por diferentes organismos gubernamentales. Cuenta con una amplia experiencia en administración electrónica como director de programas y jefe de varias unidades del gobierno holandés y es Doctor en Administración Pública por la Universidad de Rotterdam.

Wouter Welling
Ponente: Wouter Welling
Wouter Welling es jefe de producto de la Caja Fuerte de MijnOverheid, de Holanda. Es el responsable de desarrollo futuro y calidad del portal para ciudadanos MijnOverheid, del que forma parte la Caja Fuerte. Es, asimismo, responsable de la investigación (internacional) sobre posibles desarrollos futuros de MijnOverheid.

DE-MAIL (ALEMANIA)

DE-MAIL (ALEMANIA)
De-Mail es un sistema mixto de (Caja Fuerte + Correo Electrónico + Notificación Electrónica) que puede ser utilizado tanto para recibir y almacenar documentos, como soporte certificado para la relación oficial entre personas, empresas y administración pública.Es un sistema gestionado por el Ministerio del Interior, responsable del conjunto de las acciones de eAdministración en Alemania. De-Mail cuenta con una especificación estándar, de manera que proveedores privados de correo electrónico y cajas fuertes puedan ofrecer un servicio compatible con De-Mail.

Dr. Kai Schmitz-Hofbaner
Ponente: Dr. Kai Schmitz-Hofbaner
Director de Producto & Portfolio de De-Mail en T-Systems Internacional GmBH (parte de Telecom Alemania AG). Anteriormente, Consultor Senior de Enterpise Content Management (ECM) en T-Systems Internacional GmBH, responsable de la implantación de De-Mail dentro de las infraestructuras y procesos de los clientes corporativos incluyendo Proveedores públicos de Servicio TIC y Gobierno. Socio en W3L, responsable para el desarrollo de soluciones para la Enterprise Content Management (ECM) y Document Related Technologies (DRT).

MA PREUVE (FRANCIA)

MA PREUVE (FRANCIA)
En nuestros días y en el contexto de una defensa preventiva de la propiedad industrial e intelectual de las empresas, es creciente el interés de las empresas por crear evidencias digitales fehacientes de desarrollos tecnológicos, prototipos o proyectos antes incluso de que estos hayan alcanzado un estadio que permita registrarlos ante organismos especializado de registro, o porque interesa mantenerlos como secreto industrial.La difusión ubicua de ordenadores personales, aparatos de laboratorio y sistemas digitales de fotografía, video y sonido permite efectivamente la fácil generación de evidencias digitales que pueden ser sujetas a mecanismos digitales de constancia, tales como lafirma electrónica y sellado de tiempo, y su posterior custodia legal.El 14 de Septiembre de 2014 entró en vigor el Reglamento (UE) Nº 910 /2014 del Parlamento Europeo y del Consejo relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas. El Reglamento, también conocido bajo las siglas eIDAS, regula para el conjunto de la Unión Europea la creación, verificación y validación de firmas electrónicas, sellos de tiempo electrónicos, servicios de entrega electrónica certificada y certificados relativos a estos servicios.Son crecientes las referencias de servicios privados que ofrecen sistemas de buzón y caja fuerte electrónica como medio para la protección de la propiedad intelectual mediante la aplicación de la firma electrónica y el estampillado de tiempo. Uno de los países más activos en la materia es Francia, que aportará a la Conferencia la experiencia del sistema MA PREUVE.


Gaétan Paccou
Ponente: Gaétan Paccou
Gaëtan Paccou es el Desarrollador Comercial de MaPreuve.com. Es el responsable de la Promoción y Desarrollo Empresarial de MaPreuve en Francia, Europa y Regiones Internacionales.

METAPOSTA (EUSKADI)

METAPOSTA (EUSKADI)
Creada por el Gobierno Vasco a través de la SPRI desde su inclusión en la Agenda Digital 2010, posteriormente pasó a capital público-privado y se mantiene dentro de la Agenda Digital 2015.Proporciona a ciudadanos y empresas un buzón y caja fuerte seguros, donde almacenartodo tipo de documentos provenientes de diferentes emisores (entidades financieras, administraciones, operadores telefónicos y energéticos, proveedores, clientes, centros de formación etc.). Permite la utilización de firmas digitales y realiza la Custodia Legal de los documentos que lo necesiten. Igualmente sirve para que el propietario del buzón lo utilice como caja fuerte aportando sus propios documentos digitales.Ofrece a las entidades emisoras y usuarias una serie de aplicaciones y utilidades para la interacción con otras entidades usuarias.

Gaétan Paccou
Ponente: Javier Gómez
Como Director Gerente de METAPOSTA es el responsable, además de las funciones habituales de gestión y de la representación institucional de la empresa, de la definición de las líneas estratégicas tanto técnicas como comerciales, de la búsqueda y puesta en marcha de nuevos productos y servicios y la evolución de los mismos

 

Se publican más borradores de las normas de ETSI sobre firma electrónica


Los pasados 16, 17 y 19 de febrero se han añadido en el servidor de ETSI un nuevo lote de documentos «drafts» (borradores) relativos al esfuerzo de normalización de la firma electrónica bajo el Mandato M460, necesario también para aplicar el Reglamento UE 910/2014.

El mapa descriptivo del nuevo modelo de normalización se describe en tr_119000v003-rationalised_framework_document_COMPLETE-draft.pdf

Están  abiertos a comentarios por parte de los especialistas, con la vista puesta en su mejora antes de que se publiquen como definitivos. Para enviar comentarios se puede usar la siguiente plantilla: Template-for-comments.doc

16 de febrero de 2015

17 de febrero de 2015

19 de febrero de 2015

Electronic signature framework draft standards documents


Since october 2013 ETSI has made available a set of drafts for public reviews. The comment period has ended.

The documents are available at http://docbox.etsi.org/ESI/Open/Latest_Drafts/

The list includes the following:

TR 119 000     Rationalised structure for Electronic SignatureStandardisation

Signature Creation and validation

TR 119 100    Business Driven Guidance for implementing Signature Creation and Validation

TS 119 101    Policy and Security Requirements for Electronic Signature Creation and Validation

Cryptographic Suites

TR 119 300    Business Driven Guidance for Cryptographic Suites

TS 119 312    Cryptographic Suites for Secure Electronic Signatures

Trust Service Providers Supporting Electronic Signatures

TR 119 400    Business Driven Guidance for TSPs Supporting Electronic Signatures

EN 319 412    Profiles for TSPs issuing Certificates

319 412-1: Overview and common data structures

319 412-2: Certificate profile for certificates issued to natural persons

319 412-3: Certificate profile for certificates issued to legal persons

319 412-4: Certificate profile for web site certificates issued to organisations

319 412-5: Qualified certificate statements for qualified certificate profiles

EN 319 422    Profiles for TSPs providing Time-Stamping Services

EN 319 403    Trust Service Provider Conformity Assessment – Requirements for conformity assessment bodies assessing Trust Service Providers

Trust Application Service Providers

TR 119 500    Guidance for Trust Application Service Provider

SR 019 530    Study on standardisation requirements for e-Delivery services applying e-Signatures

Trust Service Status Lists Providers

TR 119 600    Business Driven Guidance for Trust Service Status Lists Providers

Draft eSignature Standards Second batch

A second batch came a couple of months later:

Rationalized Framework

SR 019 020 Rationalised Framework of Standards for Advanced Electronic Signatures in Mobile Environment

Signature Creation and validation

EN 319 102: Procedures for Signature Creation and Validation

EN 319 122 CMS Advanced Electronic Signatures (CAdES)

Part 1: Core Specification

Part 2: Baseline Profile

EN 319 132 XML Advanced Electronic Signatures (XAdES)

Part 1: Core Specification

Part 2: Baseline Profile

EN 319 142 PDF Advanced Electronic Signature Profiles (PAdES)

Part 1: PAdES Overview – a framework document for PAdES

Part 2: PAdES Basic – Profile based on ISO 32000-1

Part 3: PAdES Enhanced – PAdES-BES and PAdES-EPES Profiles

Part 4: PAdES Long Term – PAdES-LTV Profile

Part 5: PAdES for XML Content – Profiles for XAdES signatures

Part 6: Visual Representations of Electronic Signatures

Part 7: PAdES Baseline Profile

EN 319 162 Associated Signature Containers (ASiC)

Part 1: Core Specification

Part 2: Baseline Profile

EN 319 172 Signature Policies

Trust Service Providers Supporting Electronic Signatures

EN 319 411 Policy and security requirements for Trust Service Providers issuing certificates

Part 1: Policy requirements for Certification Authorities issuing web site certificates

Part 2: Policy requirements for certification authorities issuing qualified certificates

Part 3: Policy requirements for Certification Authorities issuing public key certificates

Part 4: Policy requirements for certification authorities issuing Attribute Certificates

EN 319 421 Policy and Security Requirements for Trust Service Providers providing Time-Stamping Services

Let’s Encrypt – Cifremos


The Internet Security Research Group (ISRG), en español, Grupo de Investigación de Seguridad de Internet (GISI), se ha constituido recientemente como entidad sin ánimo con el objetivo de impulsar la seguridad de Internet, especialmente a través de su iniciativa  ”Let’s Encrypt“Cifremos” que pretende distribuir gratuita y automáticamente certificados de servidor web basados en el protocolo “Secure Sockets Layer/Transport Layer Security” (SSL/TLS)ca todos los servidores del mundo.

En el Consejo del ISRG estarán representadas las entidades MozillaAkamai,Cisco, la Universidad de Michigan, la  Stanford Law School, CoreOS, IndenTrust, y la Fundación EFF (Electronic Frontier Foundation).

Estos son los miembros:

  • Josh Aas (Mozilla) — ISRG Executive Director
  • Stephen Ludin (Akamai)
  • Dave Ward (Cisco)
  • J. Alex Halderman (University of Michigan)
  • Andreas Gal (Mozilla)
  • Jennifer Granick (Stanford Law School)
  • Alex Polvi (CoreOS)
  • Peter Eckersley (EFF) — Observer

La iniciativa Let’s Encrypt, en español  “Cifremos” tiene entre sus destinatarios a los webmasters de las empresas, que instalan y mantienen servidores web. Si en la actualidad  conseguir los certificados de servidor es un engorro, por ser relativamente costosos y difíciles de instalar, con Let’s Encrypt se pretende resolver estos problemas creando una nueva Autoridad de Certificación (CA) que prepare e instale los certificados gratuita y automáticamente cuando se instalan los servidores o se reconfigura el software de un proyecto.

La gran ventaja de una internet en la que todos los servidores web usan SSL/TLS es que las comunicaciones se cifran siempre, y por tanto sus contenidos no son accesibles ni para atacantes maliciosos ni para gobiernos con pretensiones de espiar o censurar a sus ciudadanos (o a ciudadanos de otros países).

Let’s Encrypt ya ha comenzado a desarrollar los protocolos y el software necesario.

La Autoridad de Certificación (CA) de Let’s Encrypt dialoga con un software de gestión específico instalado en los servidores mediante el protocolo ACME (“Automated Certificate Management Environment”). Ya existe un borrador de la especificación ACME. Se pretende promover esta especificación para que sea parte del cuerpo normativo de la Internet Engineering Task Force (IETF) en el plazo más breve posible, y de esta forma garantizar su evolución como estándar abierto.

Tanto el software utilizado por la CA (Certification Authority) como el de las aplicaciones que acceden a ella y que facilitan a los administradores de sistemas la configuración de certificados SSL/TLS en servidores web como Apache, Nginx y Microsoft IIS, serán de fuentes abiertas. La CA pretende operar de forma transparente de modo que el repositorio de certificados emitidos y revocados estará a disposición de quien quiera inspeccionarlos.

Let’s Encrypt se someterá a los procesos de auditoría habituales de todas las CA y cumplirá los requerimientos básicos (baseline requirements) establecidos por la organización de cooperación entre desarrolladores de navegadores y autoridades de certificación  CA/Browser Forum en cuanto a la emisión y gestión de certificados digitales.

El Internet Security Research Group (ISRG) solicitará que sus certificados raíz se incluyan en los programas definidos por los desarrolladores de navegadores como Mozilla y Microsoft, para que estos navegadores confíen en los certificados emitidos por la CA de ISRG por defecto (sin requerir una aprobación expresa por los usuarios). Dado que este proceso puede ser largo y laborioso y que puede llegar a necesitar hasta 3 años por cada navegador, inicialmente ISRG solicitará a IdenTrust  (cuyas CA raíz ya están integradas en los navegadores) que firme sus certificados.   IdenTrust es uno de los impulsores del proyecto.

Para colaborar en España con esta iniciativa, contactar con Julian (@) inza.net

XVII Edición Master en Negocio y Derecho de las Telecomunicaciones, Internet y Audiovisual


Este año se celebra la XVII Edición del Master en Negocio y Derecho de las Telecomunicaciones, Internet y Audiovisual organizado por el despacho Cremades & Calvo-Sotelo, en colaboración con el Centro Universitario Villanueva, y al que amablemente me han invitado, una vez más, como profesor.

El MNDTIA tiene como objetivo la formación altamente cualificada de abogados que deseen ejercer la abogacía en el sector de las telecomunicaciones, combinando los conocimientos teóricos específicos de esta rama del derecho con la realización de prácticas en empresas líderes del sector y en nuestro Despacho.

El MNDTIA es el master pionero en materia de telecomunicaciones & TIC en España, se viene impartiendo desde hace 16 años y ha sido diseñado por reputados profesionales especialistas del sector, y pensado para aquellos que quieran crecer profesionalmente adquiriendo conocimientos especializados en una rama del derecho que abarca uno de los sectores que más profundamente se ha visto transformado en los últimos años y uno de los que mayor potencial de futuro aguarda debido a la revolución digital.

Yo impartiré la sesión de Firma Digital, introduciendo algunos conceptos de Diplomática Digital.

DUKPT – Derived Unique Key Per Transaction – clave derivada única por transacción


En criptografía, clave derivada única por transacción (DUKPT)  es un sistema de gestión de claves en la que para cada transacción, se utiliza una clave única que se deriva de una clave establecida. Por lo tanto, si se llega a ver comprometida una clave derivada, los datos de las transacciones anteriores y posterioressiguen protegidas ya que las claves siguientes o anteriores no se pueden determinar fácilmente. La especificación DUKPT se detalla en la norma ANSI X9.24 parte 1.

DUKPT permite que el procesamiento del cifrado se haga en un lugar diferente del que gestiona la clave. El cifrado se realiza con una clave derivada, que no se vuelve a utilizar después de la transacción. DUKPT se utiliza para cifrar transacciones de comercio electrónico. Aunque podría utilizarse  para proteger la información entre dos empresas o bancos, normalmente se utiliza para cifrar la información de PIN adquirida por los terminales punto de venta (TPV) .

DUKPT por sí mismo no es un estándar de cifrado; más bien es una técnica de gestión de claves . Las características de un entorno de uso de DUKPT son:

  • permite  a las partes que intervienen en una transacción acordar la clave que se utiliza para una transacción dada
  • cada transacción tendrá una clave distinta de todas las demás transacciones , excepto por coincidencia vcasual
  • si llega comprometerse una clave derivada, las  anteriores y posteriores (y por lo tanto los datos de transacciones cifradas con ellas) no están en riesgo
  • cada dispositivo genera una secuencia de claves diferente
  • los extremos de la comunicación no necesitan preacordar de forma interactiva la clave.

 

Descripción

Hay dos componentes principales en la creación de un entorno de transacción DUKPT: una Clave de Derivación Base (Base Derivation Key, BDK) y un Número de Serie de Clave (Key Serial Number, KSN) único.

El módulo de seguridad de hardware responsable de inyectar las claves contiene un contador que se incrementa cada vez que se añade un nuevo dispositivo a la red. Este contador se cifra utilizando la BDK, lo que da como resultado la clave inicial DUKPT que se inyecta en el dispositivo.

Esta clave inicial se utiliza posteriormente para crear un conjunto de claves de transacción, cada una con un modificador para diferentes usos de la clave. El contador también se utiliza para formar el KSN del dispositivo.

Todas las transacciones que utilicen DUKPT incluirán el KSN. Los números de serie de las claves desempeñan un papel integral en el proceso DUKPT, ya que permiten al HSM identificar qué clave inicial se utilizó para cifrar los datos.

Tal como se especifica en la norma ANS X9.24-1, DUKPT utiliza un KSN de 10 bytes, que suele representarse como una secuencia de 20 caracteres hexadecimales en la que cada byte del KSN está representado por un par de caracteres hexadecimales.

Cuando se introduce un PIN en el terminal de punto de venta, se formatea en un bloque de PIN. A continuación, este bloque de PIN se cifra mediante Triple DES utilizando la clave de transacción actual, que se elige del conjunto de claves creado por la clave inicial.

Junto con información como el KSN, el bloque PIN se envía a la aplicación host, donde la información se utiliza para verificar la identidad del dispositivo de origen.

Una vez en manos de la aplicación host, el bloque PIN puede traducirse utilizando un esquema de gestión de claves diferente.

Una vez enviado el bloque PIN a la aplicación host, el KSN se incrementa en una cantidad definida por el usuario, normalmente 1, y luego se utiliza con la clave de transacción actual para crear más claves futuras.

Una vez generadas las claves futuras, la clave de transacción actual se borra del sistema, eliminando del dispositivo cualquier información sobre una transacción anterior. Después, el dispositivo estará listo para extraer una clave futura para la siguiente transacción.

Al utilizar la clave de cifrado actual para formar la clave que se utilizará en la siguiente transacción, DUKPT forma un sistema de autorreciclado que fomenta la seguridad, la eficacia y la facilidad de implementación.

SSL: Error de concepto en Gmail. Lo correcto: mejor cifrar (con certificados sub-standard) que no cifrar


Algunos usuarios de Gmail aprovechan la posibilidad de recoger su correo en otras cuentas y consolidarlas en una única interfaz de usuario.

Si el prestador del servicio de correo electrónico cuenta con una conexión SSL, Google se posiciona en plan tikismikis, e implide el acceso al correo si se utiliza un certificado autofirmado o un certificado de un Prestador de Servicios de Certificación que no está en el repositorio de Mozilla.

Este es el texto explicativo del mensaje de error: Utilizar siempre una conexión SSL (conexión segura) para recuperar mensajes de correo electrónico:

Si la cuenta de correo electrónico con la que obtienes mensajes admite la encriptación SSL1 (capa de conexión segura o Secure Sockets Layer), puedes seleccionar esta opción para que toda la información se envíe a través de una conexión segura.

Si seleccionas esta opción y tu proveedor de correo electrónico admite SSL, Gmail te avisará de que hay un error en la configuración. En este caso, al hacer clic en Mostrar detalles del error se mostrará, probablemente, un Error de protocolo. Antes de continuar, tendrás que desmarcar esa selección.

¿Cuáles son las ventajas de SSL?

Gmail utiliza la seguridad SSL “estricta”. Por eso, siempre preferimos que el servidor remoto de tu otro proveedor de servicios tenga un certificado SSL válido, pues ofrece un nivel más alto de seguridad y una protección mayor de tus datos.

¿Qué hago si veo un mensaje de error?

Te aconsejamos que te dirijas al servicio de atención al cliente de tu otro proveedor de correo electrónico y que les describas el error para que te ayuden a configurar su SSL. Si no se soluciona el error, inhabilitaremos la obtención de tus mensajes y dejaremos de recuperarlos de tu otra cuenta. Como solución alternativa, puedes inhabilitar el uso de SSL en Gmail: ve a la pestaña Cuentas e importación de la configuración de tu correo y desmarca la opción Utilizar siempre una conexión SSL (conexión segura) para recuperar mensajes de correo electrónico. Pero eso implica que tu contraseña y dirección de correo ya no se enviarán protegidas por Internet, así que no te recomendamos que inhabilites esa opción.

¿Qué autoridades certificadoras admite SSL?

No aceptamos certificados autofirmados. Solo consideramos válidos los certificados emitidos por una autoridad de certificación (CA) válida, como son las incluidas en la lista de CA de Mozilla.

  1. SSL: Una SSL (del inglés «Secure Socket Layer» o capa de conexión segura) es una manera de cambiar datos mediante códigos mientras viajan por Internet, como tu nombre de usuario y tu contraseña, de manera que los datos permanecen seguros y son privados.

El SSL es un protocolo que utiliza una clave de sesión para cifrar la información que viaja y evitar que transite «en claro» por los sistemas informáticos intermedios. La clave de sesión se cifra con la pública del ordenador de destino, extraída del certificado, de modo que solo este es capaz de descifrar la información (usa la clave de sesión descifrada con su privada).

El Certificado no aporta mucho: aporta un incremento extra de seguridad en casos de ataques man-in-the-middle (en los que el atacante puede usar un certificado autofirmado tan imposible de verificar como el autofirmado «legítimo» que usa el servidor de correo) y un chequeo de coincidencia de los datos de dominio que figuran en el certificado con los reales (que no es muy util salvo que intervenga un PSC «de los de verdad»).

La verdadera utilidad del SSL es el cifrado, y por eso, muchos sistemas advierten del riesgo de los certificados autofirmados, o caducados, o referidos a URLs que no coinciden con la real, dejando que el usuario tome la decisión final de aceptarlos. O no.

Gmail toma la decisión por el usuario al adoptar la política de seguridad que impone la modalidad «estricta» de SSL y como opción para el usuario ofrece la posibilidad de usar conexiones sin cifrar.

En mi opinión, lo correcto es explicar los riesgos, y dejar que sea el usuario que tome la decisión, porque es mejor usar conexiones cifradas aunque los certificados sean «sub-standard» que conexiones sin cifrar.

Por cierto, aunque el correo se obtenga por una conexión cifrada, esa no es la verdadera aportación del SSL en relación con IMAP o POP3, ya que el correo transita sin cifrar entre servidores SMTP. La verdadera aportación es que la clave de usuario se cifre al inicio de la comunicación.

Uso de medios electrónicos en relación con la convocatoria de Juntas de Accionistas


Logo EAD Trust El Real Decreto Legislativo 1/2010, de 2 de julio, por el que se aprueba el texto refundido de la Ley de Sociedades de Capital, ha sufrido diversas modificaciones, la más importante de las cuales ha tenido lugar con la publicación de la  Ley 25/2011, de 1 de agosto, de reforma parcial de la Ley de Sociedades de Capital y de incorporación de la Directiva 2007/36/CE, del Parlamento Europeo y del Consejo, de 11 de julio, sobre el ejercicio de determinados derechos de los accionistas de sociedades cotizadas.

 Ahora que muchas sociedades cotizadas están preparando las juntas y deben realizar la convocatoria, conviene recordar que es obligatoria la publicación de la convocatoria en la página web de la sociedad, con al menos 30 días de antelación y de forma ininterrumpida hasta la celebración de la Junta y que es conveniente contar con algún medio de prueba del cumplimiento de dicho requisito.

EADTrust proporciona un servicio que acredita fehacientemente la publicación de la convocatoria y de los documentos conexos en la sede electrónica de la sociedad, del que se puede obtener más información en este sitio: Publicación Fehaciente. Se puede obtener más información llamando al 902 365 612.

Los artículos de la norma que conviene tener en cuenta, son los siguientes:

Artículo 11 bis. Sede electrónica.

1. La creación de una página web corporativa deberá acordarse por la junta general de la sociedad. El acuerdo de creación deberá ser inscrito en el Registro Mercantil o bien ser notificado a todos los socios.

La supresión y traslado de la página web de la sociedad podrá ser acordada por el órgano de administración, salvo disposición estatutaria en contrario. Dicho acuerdo deberá inscribirse en el Registro Mercantil o ser notificado a todos los socios y, en todo caso, se hará constar en la propia página web suprimida o trasladada, durante los treinta días posteriores a la adopción de dicho acuerdo de traslado o supresión.

2. Será a cargo de los administradores la prueba de la certeza del hecho de la inserción de contenidos en la web y de la fecha en que se hicieron. Para acreditar el mantenimiento de dicho contenido durante el plazo de vigencia será suficiente la manifestación de los administradores que podrá ser desvirtuada por el perjudicado mediante cualquier prueba admisible en Derecho.

Artículo 173. Forma de la convocatoria.

1. Salvo disposición contraria de los estatutos, la junta general será convocada mediante anuncio publicado en el Boletín Oficial del Registro Mercantil y en la página web de la sociedad. Con carácter voluntario y adicional a esta última o cuando la sociedad no tenga página web, la convocatoria se publicará en uno de los diarios de mayor circulación en la provincia en que esté situado el domicilio social.

2. Los estatutos podrán establecer que la convocatoria se realice mediante anuncio publicado en la página web de la sociedad o por cualquier procedimiento de comunicación, individual y escrita, que asegure la recepción del mismo por todos los socios en el domicilio designado al efecto o en el que conste en la documentación de la sociedad. En el caso de socios que residan en el extranjero, los estatutos podrán prever que sólo serán individualmente convocados si hubieran designado un lugar del territorio nacional para notificaciones.

Con carácter voluntario y adicional, la convocatoria se podrá publicar en uno de los diarios de mayor circulación en la provincia en que esté situado el domicilio social.

3. Por excepción a lo dispuesto en el apartado anterior, en el caso de sociedad anónima con acciones al portador, la convocatoria deberá realizarse, al menos, mediante anuncio en el Boletín Oficial del Registro Mercantil.

Artículo 518. Información general previa a la junta.

Desde la publicación del anuncio de convocatoria y hasta la celebración de la junta general, la sociedad deberá publicar ininterrumpidamente en su página web, al menos, la siguiente información:

  1. El anuncio de la convocatoria.
  2. El número total de acciones y derechos de voto en la fecha de la convocatoria, desglosados por clases de acciones, si existieran.
  3. Los documentos que se presentarán a la junta general y, en particular, los informes de administradores, auditores de cuentas y expertos independientes.
  4. Los textos completos de las propuestas de acuerdo o, en el caso de no existir, un informe de los órganos competentes, comentando cada uno de los puntos del orden del día. A medida que se reciban, se incluirán también las propuestas de acuerdo presentadas por los accionistas.
  5. Los formularios que deberán utilizarse para el voto por representación y a distancia, salvo cuando sean enviados directamente por la sociedad a cada accionista. En el caso de que no puedan publicarse en el sitio de Internet por causas técnicas, la sociedad deberá indicar en el sitio de Internet cómo obtener los formularios en papel, que deberá enviar a todo accionista que lo solicite.

Artículo 519. Derecho a completar el orden del día y a presentar nuevas propuestas de acuerdo.

1. Los accionistas que representen al menos el cinco por ciento del capital social podrán solicitar que se publique un complemento a la convocatoria de la junta general ordinaria, incluyendo uno o más puntos en el orden del día, siempre que los nuevos puntos vayan acompañados de una justificación o, en su caso, de una propuesta de acuerdo justificada. En ningún caso podrá ejercitarse dicho derecho respecto a la convocatoria de juntas generales extraordinarias.

El ejercicio de este derecho deberá efectuarse mediante notificación fehaciente que habrá de recibirse en el domicilio social dentro de los cinco días siguientes a la publicación de la convocatoria. El complemento deberá publicarse con quince días de antelación como mínimo a la fecha establecida para la reunión de la junta. La falta de publicación en plazo del complemento será causa de nulidad de la junta.

2. Los accionistas que representen al menos el cinco por ciento del capital social podrán, en el mismo plazo señalado en el apartado anterior, presentar propuestas fundamentadas de acuerdo sobre asuntos ya incluidos o que deban incluirse en el orden del día de la junta convocada. La sociedad asegurará la difusión de estas propuestas de acuerdo y de la documentación que en su caso se adjunte, entre el resto de los accionistas, de conformidad con lo dispuesto en la letra d) del artículo anterior.

Artículo 520. Ejercicio del derecho de información del accionista.

1. El ejercicio del derecho de información de los accionistas se rige por lo previsto en el artículo 197. Además, los accionistas podrán solicitar a los administradores, por escrito hasta el séptimo día anterior al previsto para la celebración de la junta, o verbalmente durante su celebración, las aclaraciones que estimen precisas acerca de la información accesible al público que la sociedad hubiera facilitado a la Comisión Nacional del Mercado de Valores desde la celebración de la última junta general y acerca del informe del auditor.

2. Los administradores no estarán obligados a responder a preguntas concretas de los accionistas cuando, con anterioridad a su formulación, la información solicitada esté clara y directamente disponible para todos los accionistas en la página web de la sociedad bajo el formato pregunta-respuesta.

Artículo 521. Participación a distancia.

1. La participación en la junta general y el voto de las propuestas sobre puntos comprendidos en el orden del día de cualquier clase de junta general podrán delegarse o ejercitarse directamente por el accionista mediante correspondencia postal, electrónica o cualquier otro medio de comunicación a distancia, en los términos que establezcan los estatutos de la sociedad, siempre que se garantice debidamente la identidad del sujeto que participa o vota y la seguridad de las comunicaciones electrónicas.

2. De conformidad con lo que se disponga en los estatutos, el reglamento de la junta general podrá regular el ejercicio a distancia de tales derechos incluyendo, en especial, alguna o todas las formas siguientes:

  1. La transmisión en tiempo real de la junta general.
  2. La comunicación bidireccional en tiempo real para que los accionistas puedan dirigirse a la junta general desde un lugar distinto al de su celebración.
  3. Un mecanismo para ejercer el voto antes o durante la junta general sin necesidad de nombrar a un representante que esté físicamente presente en la junta.

Artículo 522. La representación del accionista en la junta general.

1. Las cláusulas estatutarias que limiten el derecho del accionista a hacerse representar por cualquier persona en las juntas generales serán nulas. No obstante, los estatutos podrán prohibir la sustitución del representante por un tercero, sin perjuicio de la designación de una persona física cuando el representante sea una persona jurídica.

2. En caso de que se hayan emitido instrucciones por parte del accionista representado, el representante emitirá el voto con arreglo a las mismas y tendrá la obligación de conservar dichas instrucciones durante un año desde la celebración de la junta correspondiente.

3. El nombramiento del representante por el accionista y la notificación del nombramiento a la sociedad podrán realizarse por escrito o por medios electrónicos. La sociedad establecerá el sistema para la notificación electrónica del nombramiento, con los requisitos formales, necesarios y proporcionados para garantizar la identificación del accionista y del representante o representantes que designe. Lo dispuesto en este apartado será de aplicación a la revocación del nombramiento del representante.

4. El representante podrá tener la representación de más de un accionista sin limitación en cuanto al número de accionistas representados. Cuando un representante tenga representaciones de varios accionistas, podrá emitir votos de signo distinto en función de las instrucciones dadas por cada accionista.

5. En todo caso, el número de acciones representadas se computará para la válida constitución de la junta.

Artículo 525. Resultado de las votaciones.

1. Para cada acuerdo sometido a votación de la junta general deberá determinarse, como mínimo, el número de acciones respecto de las que se hayan emitido votos válidos, la proporción de capital social representado por dichos votos, el número total de votos válidos, el número de votos a favor y en contra de cada acuerdo y, en su caso, el número de abstenciones.

2. Los acuerdos aprobados y el resultado de las votaciones se publicarán íntegros en la página web de la sociedad dentro de los cinco días siguientes a la finalización de la junta general.

Artículo 539. Instrumentos especiales de información.

1. Las sociedades anónimas cotizadas deberán cumplir los deberes de información por cualquier medio técnico, informático o telemático, sin perjuicio del derecho de los accionistas a solicitar la información en forma impresa.

2. Las sociedades anónimas cotizadas deberán disponer de una página web para atender el ejercicio, por parte de los accionistas, del derecho de información, y para difundir la información relevante exigida por la legislación sobre el mercado de valores.

En la página web de la sociedad se habilitará un Foro Electrónico de Accionistas, al que podrán acceder con las debidas garantías tanto los accionistas individuales como las asociaciones voluntarias que puedan constituir, con el fin de facilitar su comunicación con carácter previo a la celebración de las Juntas generales. En el Foro podrán publicarse propuestas que pretendan presentarse como complemento del orden del día anunciado en la convocatoria, solicitudes de adhesión a tales propuestas, iniciativas para alcanzar el porcentaje suficiente para ejercer un derecho de minoría previsto en la ley, así como ofertas o peticiones de representación voluntaria.

3. Al consejo de administración corresponde establecer el contenido de la información a facilitar en la página web, de conformidad con lo que establezca el Ministerio de Economía y Hacienda o, con su habilitación expresa, la Comisión Nacional del Mercado de Valores.

4. Los accionistas de cada sociedad cotizada podrán constituir Asociaciones específicas y voluntarias para el ejercicio de sus derechos y la mejor defensa de sus intereses comunes. Las Asociaciones de accionistas deberán inscribirse en un Registro especial habilitado al efecto en la Comisión Nacional del Mercado de Valores. Reglamentariamente se desarrollará el régimen jurídico de las Asociaciones de Accionistas que comprenderá, al menos, los requisitos y límites para su constitución, las bases de su estructura orgánica, las reglas de su funcionamiento, los derechos y obligaciones que les correspondan, especialmente en su relación con la sociedad cotizada.

5. Asimismo, se faculta al Gobierno y, en su caso, al Ministerio de Economía y Hacienda y, con su habilitación expresa, a la Comisión Nacional del Mercado de Valores, para desarrollar las especificaciones técnicas y jurídicas necesarias respecto a lo establecido en este artículo.

Normas técnicas relativas a la firma electrónica


En el marco de ETSI (European Telecommunications Standards Institute) se han desarrollado diferentes normas técnicas relacionadas con la firma electrónica que conviene conocer.

Las incluyo en la siguiente tabla:

Standard Título del Standard
TS 101 733 CMS Advanced Electronic Signatures (CAdES)
TS 102 734 Profiles of CMS Advanced Electronic Signatures based on TS 101 733 (CAdES)
TS 101 903 XML Advanced Electronic Signatures (XAdES)
TS 102 904 Profiles of XML Advanced Electronic Signatures based on TS 101 903 (XAdES)
TS 102 778-1 PDF Advanced Electronic Signature Profiles;
Part 1: PAdES Overview – a framework document for PAdES
TS 102 778-2 PDF Advanced Electronic Signature Profiles;
Part 2: PAdES Basic – Profile based on ISO 32000-1
TS 102 778-3 PDF Advanced Electronic Signature Profiles;
Part 3: PAdES Enhanced – PAdES-BES and PAdES-EPES Profiles
TS 102 778-4 PDF Advanced Electronic Signature Profiles;
Part 4: PAdES Long Term – PAdES LTV Profile
TS 102 778-5 PDF Advanced Electronic Signature Profiles;
Part 5: PAdES for XML Content – Profiles for XAdES signatures
TR 102 047 International Harmonization of Electronic Signature Formats
TR 102 438 Application of Electronic Signature Standards in Europe
TR 102 605 Registered E-Mail
TS 102 640-1 Registered Electronic Mail (REM); Architecture, Formats and Policies;
Part 1: Architecture
TS 102 640-2 Registered Electronic Mail (REM); Architecture, Formats and Policies;
Part 2: Data Requirements and Formats for Signed Evidences for REM
TS 102 640-3 Registered Electronic Mail (REM); Architecture, Formats and Policies;
Part 3: Information Security Policy Requirements for REM Management Domains
TS 102 231 Provision of harmonized Trust-service status information
TS 101 861 Time stamping profile
TS 101 862 Qualified Certificate profile
TR 102 272 ASN.1 format for signature policies
TS 102 280 X.509 V.3 Certificate Profile for Certificates Issued to Natural Persons
TS 101 456 Policy requirements for certification authorities issuing qualified certificates
TR 102 437 Guidance on TS 101 456 (Policy Requirements for certification authorities issuing qualified certificates)
TR 102 458 Mapping Comparison Matrix between the US Federal Bridge CA Certificate Policy and the European Qualified Certificate Policy (TS 101 456)
TS 102 023 Policy requirements for time-stamping authorities
TR 102 040 International Harmonization of Policy Requirements for CAs issuing Certificates
TS 102 042 Policy requirements for certification authorities issuing public key certificates
TS 102 158 Policy requirements for Certification Service Providers issuing attribute certificates usable with Qualified certificates
TR 102 572 Best Practices for handling electronic signatures and signed data for digital accounting
TS 102 573 Policy requirements for trust service providers signing and/or storing data for digital accounting
TS 102 176-1 Algorithms and Parameters for Secure Electronic Signatures;
Part 1: Hash functions and asymmetric algorithms
TS 102 176-2 Algorithms and Parameters for Secure Electronic Signatures;
Part 2: Secure channel protocols and algorithms for signature creation devices